# Migrando as Conexões SSL (Secure Sockets Layer) do Windows

Esta seção descreve a migração das conexões SSL (Secure Sockets Layer) do Windows a partir do WebSphere MQ Versão 5.3 para o WebSphere MQ Versão 7.0.

## Introdução Geral

O WebSphere MQ Versão 7.0 fornece o GSKit (Global Security Toolkit) em plataformas Windows para o suporte SSL (Secure Sockets Layer) melhorado para gerenciadores de filas e canais de cliente do WebSphere MQ. Siga as orientações desta seção para determinar se os gerenciadores de filas ou os clientes do WebSphere MQ Versão 5.3 foram configurados para utilizar as conexões SSL, e verificar se esses canais continuam funcionando com o WebSphere MQ Versão 7.0. O processo de migração faz com que uma cópia dos certificados armazenados nos Armazenamentos de Certificados do WebSphere MQ, utilizados pelo WebSphere MQ Versão 5.3, sejam migrados a um banco de dados GSKit Chave.

## Pontos a Serem Considerados

- Se você pretender desinstalar o WebSphere MQ Versão 5.3 antes de instalar o WebSphere MQ Versão 7.0, deverá proceder da seguinte maneira:
  - Antes de desinstalar o WebSphere MQ Versão 5.3, verifique se as cadeias de certificados estão completas. Se não estiverem, utilize o utilitário AMQMCERT fornecido com o WebSphere MQ Versão 5.3 para completar as cadeias.
  - Após instalar o WebSphere MQ Versão 7.0, execute o comando AMQTCERT a partir da linha de comandos para migrar os armazenamentos de certificados.
  Se você instalar o WebSphere MQ Versão 7.0 depois de desinstalar o WebSphere MQ Versão 5.3, o verificador da cadeia de certificados não poderá verificar as cadeias e o AMQMCERT não estará mais disponível para repará-las. Isto também significa que os processos usados na instalação para migrar os armazenamentos não podem localizá-los e é necessário verificar manualmente as cadeias e migrar os armazenamentos manualmente. Consulte os Comandos de Controle para obter detalhes dos comandos AMQMCERT e AMQTCERT.
- A Barra de Lançamento de Pré-instalação é executada no início do processo de instalação. Ela poderá ser executada a partir deste Assistente para Verificação do Armazenamento de Certificados do WebSphere MQ. Isso verifica se as cadeias de certificados nos armazenamentos de certificados estão completas, isto é, se cada certificado na cadeia está assinado pela entidade identificada pelo próximo certificado na cadeia, finalizando um certificado CA raiz assinado pelo CA. Se você decidir não executar o Assistente Verificar Armazenamento de Certificados do WebSphere MQ, o Assistente Preparação Pós-Instalação não apresentará nenhum painel de migração e os armazenamentos de certificados não poderão ser planejados para migração automática.
- O aplicativo verificador de cadeia, usado para verificar se todos os certificados necessários estão lá, antes de migrar certificados do armazenamento do WebSphere MQ para Windows V5.3 para o armazenamento do GSKit, estará disponível no WebSphere MQ V5.3 Fix Pack 10 (CSD10) ou posterior.
- Na instalação do cliente, o Assistente Verificar Armazenamento de Certificados do WebSphere MQ é executado diretamente a partir dos painéis de Instalação, porque não há nenhuma Barra de Ativação na instalação do cliente para executá-lo.
- O Assistente Verificar Armazenamento de Certificados do WebSphere MQ e o Assistente Preparação Pós-Instalação para planejar migração de certificados se tornarão disponíveis apenas se você estiver migrando de uma instalação do WebSphere MQ Versão 5.3 diretamente para uma instalação do WebSphere MQ Versão 7.0. Se você desinstalar o WebSphere MQ Versão 5.3 e em seguida instalar o WebSphere MQ Versão 7.0, o processo de instalação não saberá se a versão anterior foi WebSphere MQ Versão 5.3 e não exibirá o Assistente Verificar Armazenamento de Certificado do WebSphere MQ ou qualquer um dos painéis de migração SSL. Neste caso, você poderá considerar a execução da Barra de Ativação de Pré-instalação e do Assistente Verificar Armazenamento de Certificados do WebSphere MQ antes de desinstalar o WebSphere MQ Versão 5.3. Isto confirma a integridade das cadeias de certificados e permite que elas sejam importadas usando o AMQTCERT após a instalação do WebSphere MQ Versão 7.0.
- Se você instalar o WebSphere MQ Versão 7.0 silenciosamente, haverá opções que poderão ser transmitidas silenciosamente para o Assistente de Preparação de Pós-instalação para que a migração dos certificados seja planejada. Se esse processo for seguido, o Assistente para Verificação do Armazenamento de Certificados do WebSphere MQ não será executado para verificar as cadeias de certificados. Se você pretende executar uma instalação silenciosa, deverá executar a Barra de Ativação de Pré-instalação e o Assistente Verificar Armazenamento de Certificados do WebSphere MQ para verificar a integridade das cadeias de certificados ou verificar manualmente os armazenamentos utilizando AMQCCERT antes da instalação.

## Certificados Não Migrados

Diversos certificados não são migrados durante este processo. São eles:

- Certificados que correspondem ao conjunto padrão do GSKit fornecido. Eles não são migrados, pois o GSKit fornece seu próprio conjunto, que é assumido como tão ou mais atualizado.
- Certificados órfãos que não possuem uma cadeia completa e válida de certificados da Autoridade de Certificação. Um certificado só poderá ser importado para um arquivo de banco de dados de chave do GSkit se um certificado de sua autoridade de certificação já estiver presente ou se for um certificado raiz. Os certificados só poderão ser incluídos no banco de dados de chaves do GSkit se começarem com o certificado da Autoridade de Certificação raiz, continuarem com a cadeia de certificados da Autoridade de Certificação intermediária abaixo, se existir, e terminarem com o certificado pessoal emitido pelo último membro da cadeia da Autoridade de Certificação, também se existir.
- Certificados que foram expirados.

## Tipos de Migração de Certificados

Há dois tipos de migração de certificados.

- Migração Automática. Para um gerenciador de filas a migração real ocorre quando ele é iniciado pela primeira vez. Quando a migração é concluída, não haverá uma nova tentativa, mesmo se houver falha no processo de migração. O gerenciador de filas tenta iniciar, sem restrição ao sucesso ou a falha da migração. Para um cliente, a migração real ocorre quando o cliente se conecta primeiro ao gerenciador de filas usando um canal SSL. Se a migração for concluída com êxito, não haverá uma nova tentativa. O início do cliente é dependente do resultado da migração. Se a migração falhar, o cliente falhará também. O Assistente para Preparação da Pós-instalação utilizará o método de migração automático para cada um dos armazenamentos de clientes e gerenciadores de filas especificado, onde um armazenamento de certificados tiver sido validado com êxito na fase de pré-instalação.
- Migração manual. Ocorre quando o novo comando de controle AMQTCERT (Transferir Certificados) é executado. A migração manual requer a utilização de AMQTCERT para cada cliente e gerenciador de filas. É necessário especificar o local e a raiz do nome do Armazenamento de Certificados do WebSphere MQ e o banco de dados de chave do GSKit a ser utilizado.

A migração automática tem a vantagem de que não é necessário especificar o local e os nomes de todos os Armazenamentos de Certificados do WebSphere MQ e os bancos de dados de chaves GSKit correspondentes para todos os gerenciadores de filas e os clientes, porque isso é derivado das informações reunidas durante o processo de pré-instalação.

## Atributo Nome Amigável

No arquivo do Armazenamento de Certificados do WebSphere MQ, há um certificado atribuído ao gerenciador de filas ou ao cliente. Durante a migração, a cópia desse certificado é modificada antes de ser importada no banco de dados do GSKit. A modificação define o atributo Nome Amigável do certificado para a cadeia `ibmwebspheremq`, em letra minúscula, pelo ID de logon do cliente ou do nome do gerenciador de filas. O valor do Nome Amigável torna-se a identificação do certificado no banco de dados de chave do GSKit.O valor anterior de Nome Amigável, se houver algum, é perdido.

## Trabalhando com Certificados Migrados

Depois de instalar completamente o WebSphere MQ Versão 7.0 e os certificados dos Armazenamentos de Certificados do WebSphere MQ forem migrados para o banco de dados GSKit, você poderá utilizar o utilitário IBM Key Management (iKeyman) para visualizar e gerenciar os seus certificados. Detalhes completos do utilitário iKeyman podem ser localizados no manual WebSphere MQ Segurança.Como alternativa, você poderá usar as interfaces da linha de comandos iKeycmd e GSKCapiCmd para gerenciar chaves e certificados digitais. Essas interfaces estão descritas em Gerenciando chaves e certificados .

- Determinando Se as Conexões SSL Foram Configuradas
  Esta seção descreve como determinar se conexões SSL foram configuradas para o WebSphere MQ.
- Etapas de Migração de SSL
  Esta seção descreve as etapas para migrar as conexões SSL (Secure Sockets Layer) para trabalhar com o WebSphere MQ Versão 7.0.

Tópico pai: Instalando o WebSphere MQ