Tivoli Public Key Infrastructure Manual de Administração do Sistema

Transcrição

1 Tivoli Public Key Infrastructure Manual de Administração do Sistema Versão 3 Release 7.1 S

2

3 Tivoli Public Key Infrastructure Manual de Administração do Sistema Versão 3 Release 7.1 S

4 Tivoli Public Key Infrastructure Manual de Administração do Sistema Aviso sobre Direitos Autorais Copyright 1999, 2001 by Tivoli Systems Inc., uma Empresa IBM, incluindo essa documentação e todo o software. Todos os direitos reservados. Só podem ser usados em conformidade com o Contrato de Licença de Software da Tivoli Systems, com o Adendo para Produtos Tivoli para Clientes IBM ou com o Contrato de Licença. É proibido reproduzir, transmitir, transcrever, armazenar em um sistema de recuperação ou converter qualquer parte desta publicação em qualquer linguagem de programação, de qualquer forma ou meio, seja ele eletrônico, mecânico, magnético, ótico, químico, manual ou outro qualquer, sem o prévio consentimento fornecido por escrito pela Tivoli Systems. A Tivoli Systems concede a permissão limitada de fazer cópia impressa ou outras reproduções de qualquer documentação legível por máquina para seu próprio uso, sob a condição de que em tal reprodução conste o aviso de direitos autorais da Tivoli Systems. Contudo, sem seu consentimento prévio por escrito, a Tivoli Systems não fornece nenhum outro tipo de direito coberto por seus direitos autorais. O documento não se destina à produção e é fornecido no estado em que se encontra, sem qualquer tipo de garantia. Toda e qualquer garantia, inclusive garantias de comercialização e de adequação a finalidades específicas, ficam, por meio deste documento, sem validade.

5 Marcas Os nomes de produto a seguir são marcas da Tivoli Systems Inc. ou da International Business Machines Corp. nos Estados Unidos, em outros países ou em ambos: AIX, AIX/6000, DB2, DB2 Universal Database, IBM, RISC System/6000, RS/6000, SecureWay, Tivoli e WebSphere. O programa Tivoli PKI ( o Programa ) inclui partes do IBM WebSphere Application Server e do IBM HTTP Web Server ( Servidores IBM ). Você não está autorizado a instalar ou utilizar os Servidores IBM sem a utilização licenciada do Programa. Os Servidores IBM devem se localizar na mesma máquina que o Programa, e você não está autorizado a instalar ou utilizar os Servidores IBM separadamente. O Programa inclui partes do DB2 Universal Database. Só é permitido instalar e utilizar estes componentes em conjunto com o uso licenciado do Programa e do IBM WebSphere Application Server para o armazenamento e gerenciamento de dados utilizados ou gerados pelo Programa e pelo IBM WebSphere Application Server, mas não para outras finalidades de gerenciamento de dados. Por exemplo, esta licença não inclui conexões de recepção ao banco de dados a partir de outros aplicativos para consultas ou geração de relatórios. Você está autorizado a instalar e utilizar estes componentes apenas e na mesma máquina do Programa. Microsoft, Internet Explorer, Windows, Windows NT e o logotipo do Windows são marcas ou marcas de serviço da Microsoft Corporation. UNIX é marca de serviço nos Estados Unidos e em outros países licenciada exclusivamente por The Open Group. Java e todas as marcas ou logotipos baseados em Java são marcas da Sun Microsystems, Inc. Pentium é marca da Intel Corporation nos Estados Unidos, em outros países ou em ambos. Este programa contém software de segurança da RSA Data Security, Inc. Copyright 1994 RSA Data Security, Inc. Todos os direitos reservados. Este programa contém o software Standard Template Library (STL) da Hewlett-Packard Company. Copyright (c) A permissão para utilizar, copiar, modificar, distribuir e vender este software e sua documentação para qualquer propósito é concedida sem encargos, contanto que o aviso de direitos autorais acima apareça em todas as cópias e que, tanto o aviso de direitos autorais quanto este aviso de permissão apareçam na documentação de suporte. A Hewlett-Packard Company não faz declarações sobre a adequação deste software para qualquer propósito. Ele é fornecido no estado em que se encontra sem garantia explícita ou implícita. Este programa contém o software Standard Template Library (STL) da Silicon Graphics Computer Systems, Inc. Copyright (c) A permissão para utilizar, copiar, modificar, distribuir e vender este software e sua documentação para qualquer propósito é concedida sem encargos, contanto que o aviso de direitos autorais acima apareça em todas as cópias e que, tanto o aviso de direitos autorais, quanto este aviso de permissão, apareçam na documentação de suporte. Silicon Graphics não faz declarações sobre a adequação deste software para qualquer propósito. Ele é fornecido no estado em que se encontra sem garantia explícita ou implícita. Outros nomes de empresas, produtos e serviços podem ser marcas ou marcas de serviço de terceiros. Tivoli PKI Manual de Administração do Sistema iii

6 Avisos As referências encontradas nesta publicação a produtos, programas ou serviços da Tivoli Systems ou da IBM não pretendem deixar subentendido que eles estarão disponíveis em todos os países em que a Tivoli Systems ou a IBM operam. Todas as referências a esses produtos, programas ou serviços não significam que apenas os produtos, programas ou serviços da Tivoli Systems ou da IBM possam ser usados. Qualquer produto, programa ou serviço funcionalmente equivalente pode ser empregado no lugar do produto, programa ou serviço mencionado, ficando sujeitos apenas aos direitos válidos de propriedade intelectual ou a outros direitos protegíveis por lei da Tivoli System ou da IBM. No entanto, a avaliação e a verificação da operação conjunta com outros produtos, exceto aqueles expressamente designados pela Tivoli Systems ou pela IBM, são de responsabilidade do usuário. Pode ser que a Tivoli Systems ou a IBM tenham patentes registradas ou pedidos de registro de patentes relativos a assuntos tratados neste documento. O fornecimento deste documento não lhe garante nenhum direito sobre tais patentes. Dúvidas a respeito de licenças podem ser encaminhadas por escrito à: Gerência de Relações Industriais e Comerciais da IBM do Brasil: Av. Pasteur, 138/146, Botafogo - Rio de Janeiro, CEP: , Brasil. O parágrafo a seguir não se aplica ao Reino Unido nem a nenhum outro país em que tais disposições sejam incompatíveis com a legislação local: A INTERNATIONAL BUSINESS MACHINES CORPORATION FORNECE ESTA PUBLICAÇÃO NO ESTADO EM QUE SE ENCONTRA, SEM GARANTIA DE NENHUMA ESPÉCIE, NEM EXPLÍCITA NEM IMPLÍCITA, INCLUINDO, MAS NÃO SE LIMITANDO A, AS GARANTIAS DE NÃO INFRAÇÃO, DE COMERCIALIZAÇÃO OU ADEQUAÇÃO A FINALIDADES ESPECÍFICAS. Alguns países não permitem a exclusão de garantias explícitas ou implícitas em certas transações; portanto, esta disposição pode não se aplicar a você. Esta publicação pode incluir imprecisões técnicas ou erros tipográficos. São feitas alterações periódicas nas informações aqui contidas; tais alterações serão incorporadas em futuras edições destas informações. A IBM pode fazer aperfeiçoamentos e/ou alterações nos produtos e/ou programas descritos nestas informações, a qualquer momento, sem aviso prévio. Quaisquer referências nesta publicação a sites Web que não sejam controlados pela IBM são fornecidas apenas por conveniência e não constituem endosso ou recomendação desses sites Web. Os materiais contidos nesses sites da Web não fazem parte dos materiais deste produto IBM e a utilização desses sites Web é de inteira responsabilidade do cliente. iv Versão 3 Release 7.1

7 Índice Tabelas... ix Prefácio... xi Quem Deve Ler Este Guia... xi Informações Relacionadas... xi O Que Este Guia Contém... xii Convenções Usadas Neste Guia.... xii Entrando em Contato com o Suporte ao Cliente... xiii Informações do Tivoli PKI na web... xiii Capítulo 1. Sobre o Tivoli PKI... 1 Capítulo 2. Visão Geral... 3 Capítulo 3. Como Posso Fazer Para...?... 5 Administrar o Tivoli PKI Digitar Comandos no Windows NT... 5 Alterar Senhas do Tivoli PKI Iniciar e Parar os Componentes do Servidor Alterar os Endereços IP do Tivoli PKI Fazer o Backup e Restaurar o Sistema... 9 Acompanhar Números de Usuários e Certificados Acompanhar Atividade de Certificado Administrar o WebSphere Application Server Verificar o Status do WebSphere Application Server Verificar os Logs do WebSphere Application Server Administrar o HTTP Server Verificar o Status do HTTP Server Verificar os Logs do HTTP Server Administrar o CA Server Alterar a Porta Interceptadora do Servidor CA Alterar o Intervalo de Polling do CA Alterar as Definições CRL Alterar os Critérios de Proteção da ICL Alterar a Chave de Proteção da ICL Verificar a Integridade do Banco de Dados do Servidor CA Solicitar um Certificado CA Usando Certificação Cruzada Solicitar um Certificado CA Usando o Modelo de Hierarquia Tivoli PKI Manual de Administração do Sistema v

8 Receber um Certificado CA a partir de Outros Fornecedores CA Fazer Atualizações depois de Alterar uma Hierarquia de CA Atualizar o Anel da Chave do Servidor Web após Estabelecer a Hieraquia CA Atualizar a Chave CA Verificar os Logs do Servidor CA Verificar o Status do Servidor CA Ativar os Pontos de Distribuição CRL Administrar o Servidor RA Incluir Registradores Ativar a Criptografia para o Banco de Dados do RA Alterar a Porta Interceptadora do Servidor RA Alterar o Intervalo de Polling do RA Alterar o Intervalo de Repetição do RA Verificar os Logs do Servidor RA Verificar o Status do Servidor RA Alterar as Definições do RA Usadas na Comunicação com o Directory Ativar ou Desativar a Distribuição por Cadeia Confiável Instalar RAs Múltiplos Administrar o Subsistema Audit Exibir Registros de Auditoria Pesquisar os Registros de Audit Alterar a Porta do Servidor Audit no Cliente Audit Alterar o Modo Como os Eventos são Enviados a partir do Cliente Audit Alterar a Porta em que o Servidor Audit faz Interceptações Alterar as Tentativas de Vinculação do Cliente Audit para o Servidor Audit Alterar o Intervalo Entre as Tentativas de Vinculação Alterar as Definições do Log Gerar Relatórios de Audit Arquivar e Assinar Arquivos de Log de Audit Verificar a Integridade do Banco de Dados e de Arquivos Acumulativos do Servidor Audit Verificar o Status do Servidor Audit Verificar os Logs do Servidor Audit Administrar o Bancos de Dados do DB Verificar o Status dos Bancos de Dados do DB Verificar os Logs do DB Administrar o Servidor Directory Verificar o Status do Servidor Directory Verificar os Logs do Servidor Directory Administrar o 4758 Cryptographic Coprocessor vi Versão 3 Release 7.1

9 Capítulo 4. Fale-me sobre Segurança do Tivoli PKI Listas de Controle de Acesso Autoridades de Certificados Hierarquias de CA Extensões de Certificados Lista de Revogação de Certificado Certificação cruzada Certificação Certificados Digitais Nomes Distintos Listas de Certificados Emitidos Assinatura e Validação de Assinatura Autoridades de Registro Registradores Domínios de Registro Registration Authorities Múltiplos Distribuição por Cadeia Confiável Cryptographic Coprocessor Opção Conservar comparada com a Opção Não-conservar Funções e Perfis Instalação e Clonagem do 4758 no Ambiente do Tivoli PKI Audit Registros de Auditoria Eventos de Auditoria Máscaras de Evento de Auditoria Eventos de Auditoria Obrigatórios Versus Opcionais Verificação de Integridade Selo de Integridade Arquivamento de Logs de Auditoria Bancos de Dados DB Servidores Web IBM WebSphere Application Server IBM HTTP Server Criação de Alias de IP Servidores Directory Identificadores de Objeto Capítulo 5. Referência Tivoli PKI Manual de Administração do Sistema vii

10 Arquivos de Configuração Descrição do Arquivo Arquivo de Configuração do Servidor CA Arquivo de Configuração do Servidor RA Arquivo de Configuração do Servidor Audit Arquivo de Configuração do Cliente Audit Utilitários de Linha de Comandos Utilitário CA Certification Utilitário Add RA User Utilitário Enable RA Database Encryption Utilitário Audit Archive and Sign Utilitário Audit Integrity Check Utilitário Create New RA Utilitário Multiple RA Enrollment Authorization Utilitário Bulk Certificate Issuance Utilitário CA Key Update Campos do Evento de Auditoria Eventos de Audit Dados do Banco de Dados de Audit Tabela de Chaves Tabela de Gravidade dos Eventos Tabela de Controle dos Eventos Tabela de Fontes Tabela de Entidades Autorizadas Tabela de Funções Autorizadas Tabela de Tipos de Entidade Afetadas Tabela de Tipos de Componentes Tabela de Log de Auditoria Tabela do Sistema Resolução de Problemas Detecção Básica de Problemas Detectando Problemas por meio da Ativação de Mensagens com Nível de Depuração Glossário Índice Remissivo viii Versão 3 Release 7.1

11 Tabelas 1. Logs de transações do WebSphere Application Server com o Assistente de Configuração Logs de transações do WebSphere Application Server com o recurso de registro log do HTTP server Logs do servidor CA Logs do servidor RA Descrições de colunas para as exibições do banco de dados de Audit do Tivoli PKI Logs do servidor Audit Localizações de bancos de dados Logs do servidor Directory Extensões de certificados Modelo em três servidores e três portas para IBM HTTP Servers Arquivos de configuração do Tivoli PKI Arquivo de configuração do servidor CA Arquivo de configuração do servidor RA Arquivo de configuração do servidor Audit Arquivo de configuração do cliente Audit processo de mudança da chave de CA Campos de evento de auditoria Eventos de auditoria Campos da tabela de chaves Campos da tabela de Gravidades de Eventos Campos da tabela de Controle de Eventos Campos da tabela de Fontes Campos da tabela de Entidades Autorizadas Campos da tabela de Funções Autorizadas Campos da tabela de Tipos de Entidade Afetada Campos da tabela de Tipos de Componentes Campos da tabela de Log de Auditoria Campos da tabela do sistema Tivoli PKI Manual de Administração do Sistema ix

12 x Versão 3 Release 7.1

13 Prefácio Este manual explica como administrar o sistema Tivoli PKI. Ele inclui procedimentos para iniciar e encerrar os servidores, alterar senhas, administrar os componentes de servidor, executar auditorias e verificações de integridade de dados. Este release do produto só suporta plataformas AIX. Ignore todo material que fale do Microsoft Windows. Quem Deve Ler Este Guia Este manual é fornecido para administradores de sistema com informações dirigidas a cada tarefa, destinados à operação e administração do sistema Tivoli PKI. Os usuários deste guia devem ter experiência prática no seguinte: Sistema operacional AIX ou UNIX Sistema operacional Windows NT Arquitetura de sistema Administração de rede Administração de banco de dados Administração do servidor Web Administração do Directory Informações Relacionadas A documentação de produto do Tivoli PKI está disponível nos formatos Portable Document Format (PDF) e HTML no site web da Tivoli. As versões em HTML de algumas publicações são instaladas com o produto e estão acessíveis nas interfaces do usuário. Esteja ciente de que o produto pode sofrer alterações desde a produção da publicação. Para obter as informações mais recentes, bem como informações sobre como acessar uma publicação no idioma e no formato de sua escolha, leia as Notas de Release. A versão mais recente das Notas de Release está disponível no site web Tivoli Public Key Infrastructure: A biblioteca do Tivoli PKI inclui a seguinte documentação: Instalação e Uso Este manual fornece uma visão geral do produto. Ela lista os requisitos do produto, inclui procedimentos de instalação e fornece informações sobre como acessar a ajuda online, disponível para cada componente do produto. Este manual é impresso e distribuído com o produto. Manual de Administração do Sistema Este manual contém informações gerais sobre como administrar o sistema Tivoli PKI. Ele inclui procedimentos para iniciar e encerrar os servidores, alterar senhas, administrar os componentes de servidor, executar auditorias e verificações de integridade de dados. Tivoli PKI Manual de Administração do Sistema xi

14 Manual de Configuração Este manual contém informações sobre como utilizar o Assistente de Configuração para configurar um sistema Tivoli PKI. Você pode acessar a versão em HTML deste manual enquanto exibe a ajuda online do Assistente. Registration Authority Desktop - Manual do Programa Ele contém informações sobre como utilizar o RA Desktop para administrar certificados em todo o ciclo de duração do certificado. Você pode acessar a versão em HTML deste manual enquanto exibe a ajuda online do Desktop. Manual do Usuário Este manual contém informações sobre como obter e gerenciar certificados. Ele fornece procedimentos para utilizar os formulários de inscrição de navegador do Tivoli PKI para solicitar, renovar e revogar certificados. Discute também como pré-registrar certificados compatíveis com PKIX. Customization Guide Este manual mostra como personalizar o recurso de registro do Tivoli PKI para suportar o registro e a certificação de critérios da empresa. Por exemplo, você pode aprender como personalizar páginas HTML e Java Server, cartas de notificação, perfis de certificados e saídas de critérios. O Que Este Guia Contém Este guia contém as seguintes informações: Sobre o Tivoli PKI na página 1 descreve em poucas palavras os recursos e as possibilidades do Tivoli PKI. Visão Geral na página 3 explica como usar este manual ao administrar o sistema. Como Posso Fazer Para...? na página 5 oferece informações específicas para cada tarefa, destinadas à administração e operação do Tivoli PKI e seus componentes. Fale-me sobre... na página 59 descreve conceitos gerais relacionados ao registro, certificação e administração. Referência na página 75 inclui utilitários de linha de comandos, sintaxe e descrições de parâmetros, descrições de arquivos de configuração e seu conteúdo e tópicos relacionados a auditoria e detecção de problemas. Glossário na página 127 define os termos e abreviações empregados no manual que possam ser novos ou pouco familiares, além de termos que possam ser de interesse. Convenções Usadas Neste Guia Este guia adota diferentes convenções de tipos de letra para termos e ações especiais. As convenções possuem os seguintes significados: Convenção Negrito Itálicos Monoespaçada Significado Comandos, palavras-chaves, flags e outras informações que devem ser usadas literalmente aparecem em negrito. Variáveis que precisam ser fornecidas e termos novos aparecem em itálico. Palavras e frases enfatizadas também aparecem em itálico. Exemplos de código, saída e mensagens do sistema aparecem em letra monoespaçada. xii Versão 3 Release 7.1

15 Entrando em Contato com o Suporte ao Cliente Caso você encontre dificuldades com produtos Tivoli, acesse que é a home page de Suporte Tivoli. Depois de vincular e enviar o formulário de registro do cliente, você poderá acessar muitos serviços de suporte ao cliente oferecidos na web. Use os seguintes números de telefone para entrar em contato com o suporte ao cliente no Brasil: o número da Tivoli é Esse número conduz sua chamada para a Central de Atendimento ao Cliente. Temos grande interesse em seus comentários e em sua experiência com os produtos e documentação da Tivoli. Agradecemos e aceitamos com prazer sugestões de melhoria. Caso deseje fazer comentários ou sugestões sobre esta documentação, envie um para pubs@tivoli.com. Informações do Tivoli PKI na web Clientes Tivoli e IBM Tivoli podem encontrar informações online relativas a qualquer produto de segurança Tivoli e Tivoli PKI. Informações importantes sobre atualizações de última hora e serviços recentes do Tivoli PKI podem ser encontradas em: Para obter informações sobre o produto Tivoli Public Key Infrastructure, visite o site web: Para saber informações sobre outros produtos de gerenciamento de segurança Tivoli, visite o site: Tivoli PKI Manual de Administração do Sistema xiii

16 xiv Versão 3 Release 7.1

17 1 Sobre o Tivoli PKI 1. Sobre o Tivoli PKI O Tivoli Public Key Infrastructure (Tivoli PKI) permite que aplicações autentiquem usuários e garantam uma comunicação confiável: Permite às organizações emitir, divulgar e administrar certificados digitais de acordo com seus critérios de registro e certificação. O suporte para os padrões criptográficos Public Key Infrastructure para X.509 versão 3 (PKIX) e Common Data Security Architecture (CDSA) permite a interoperabilidade do fornecedor. A assinatura digital e os protocolos seguros fornecem o meio para autenticar todas as partes de uma transação. Recursos de registro baseados no navegador oferecem maior flexibilidade. Comunicação criptografada e armazenamento seguro de informações de registro ajudam a garantir o sigilo das informações. O sistema Tivoli PKI pode ser executado em plataformas de servidor IBM AIX/6000 e Microsoft Windows NT. Ele inclui os seguintes recursos de chaves: Um Autoridade de Certificado confiável (CA) gerencia o período de utilização da certificação digital. Para validar a autenticidade do certificado, o CA assina digitalmente cada certificado emitido. Assina também listas de revogação de certificado (certificate revocation lists - CRLs) para confirmar que um determinado certificado não tem mais validade. Para proteger ainda mais sua chave de assinatura, você pode usar um hardware criptográfico conhecido como módulo de segurança de hardware (hardware security module - HSM), como o IBM 4758 PCI Cryptographic Coprocessor. Um Autoridade de Registro (RA) manipula as tarefas administrativas relacionadas ao registro do usuário. O RA faz com que só sejam emitidos certificados que suportam suas atividades comerciais e que eles sejam emitidos apenas a usuários autorizados. As tarefas administrativas podem ser executadas através de processos automatizados ou por decisão humana. Semelhante ao CA, você também pode usar o IBM 4758 PCI Cryptographic Coprocessor para proteger a chave de assinatura do RA. Uma interface de inscrição com base na Web que facilita a obtenção de certificados para navegadores, servidores e outros objetivos, como dispositivos de rede privada virtual (virtual private network - VPN), smart cards e seguro. Uma interface de administração baseada na Web, o RA Desktop, que permite aos registradores autorizados aprovar ou recusar pedidos de inscrição e administrar certificados depois de sua emissão. Tivoli PKI Manual de Administração do Sistema 1

18 Um subsistema Audit que calcula um código de autenticação da mensagem (message authentication code - MAC) para cada registro de auditoria. Se os dados de auditoria forem alterados ou excluídos depois de terem sido gravados no banco de dados de auditoria, o MAC permite a detecção do intruso. Saídas de critérios e Objetos de Processos Comerciais (Business Process Objects - BPOs) permitem que desenvolvedores de aplicação personalizem os processos de registro. Suporte integrado para um mecanismo criptográfico. Para autenticar as comunicações, os componentes principais do Tivoli PKI são assinados com uma chave privada gerada pela fábrica. Os objetos de segurança, como chaves e MACs, são criptografados e armazenados em áreas protegidas chamadas KeyStores. Suporte integrado para IBM Directory. O Directory armazena informações sobre certificados válidos e revogados em um formato compatível com LDAP. Suporte integrado para o IBM WebSphere Application Server e para o IBM HTTP Server. O servidor Web trabalha com o servidor RA para criptografar mensagens, autenticar pedidos e transferir certificados para o destinatário desejado. Suporte integrado para IBM DB2 Universal Database. 2 Versão 3 Release 7.1

19 2 Visão Geral Este documento explica como operar e administrar o sistema Tivoli PKI. Ele assume que você tem conhecimento ou experiência no seguinte: Sistema operacional AIX ou UNIX Sistema operacional Windows NT Arquitetura de sistema Administração de rede Administração de banco de dados Administração do servidor Web Administração do Directory 2. Visão Geral O Como Posso Fazer Para...? na página 5 fornece as informações de procedimento sobre como operar e administrar o sistema Tivoli PKI. Ele informa como iniciar e parar o sistema, como alterar senhas, como utilizar o editor de arquivo de configuração, como fazer backup e restaurar o sistema e como administrar os componentes do sistema: IBM WebSphere Application Server IBM HTTP Server Servidor CA Servidor RA Subsistema Audit IBM DB2 Universal Database (UDB) IBM Directory 4758 Cryptographic Coprocessor Fale-me sobre... na página 59 fornece informações técnicas mais detalhadas sobre os assuntos discutidos nos procedimentos. O Referência na página 75 fornece informações de referências como os parâmetros do arquivo de configuração, sintaxe dos utilitários da linha de comandos e informações em forma de tabelas sobre o subsistema Audit. Tivoli PKI Manual de Administração do Sistema 3

20 4 Versão 3 Release 7.1

21 3 Como Posso Fazer Para...? Este capítulo explica como administrar o Tivoli PKI e seus componentes. Administrar o Tivoli PKI Esta seção descreve as ferramentas e processos de administração do Tivoli PKI. Os itens abordados são: Digitando comandos na linha de comandos do Windows NT Alterando as senhas do Tivoli PKI Iniciando e parando os componentes do servidor Alterando os arquivos de configuração Verificando os logs de configuração do Tivoli PKI Alterando os endereços IP do Tivoli PKI Efetuando Backup e restaurando o sistema Acompanhando as atividades de certificado Acompanhando os números dos usuários e dos certificados Digitar Comandos no Windows NT Se tiver instalado o Tivoli PKI no Windows NT, existem várias tarefas que não possuem ícones de programa e devem ser executadas a partir de uma linha de comandos do DOS. Por exemplo, você deve executar manualmente add_rauser para definir registradores. 3. Como Posso Fazer Para...? Ao especificar um comando que requer um caminho de diretório como um parâmetro e o caminho contiver espaços incorporados, você deverá colocar o caminho entre aspas duplas ( ). Por exemplo, especifique o parâmetro de caminho no comando add_rauser desta forma: add_rauser "c:\arquivos de programas\ibm\trust Authority\bin" Alterar Senhas do Tivoli PKI O Tivoli PKI dispõe do utilitário Alterar Senha. Você pode utilizá-lo para alterar as senhas padrão definidas durante a configuração do sistema. Você deve alterar as senhas pelo menos uma vez após a configuração inicial do sistema e antes que o sistema fique disponível para os seus usuários. Estas senhas controlam o acesso aos seguintes componentes funcionais: Mecanismo de inicialização segura A senha do Programa de Controle permite que o sistema inicie ou encerre automaticamente todos os componentes do Tivoli PKI. Ela fornece acesso à chave de criptografia de inicialização segura. Tivoli PKI Manual de Administração do Sistema 5

22 Directory A senha do Administrador do Directory controla o acesso aos elementos que podem ser alterados no Directory. servidor Audit A senha do Administrador de Audit fornece acesso aos logs de auditoria e às ferramentas de administração de auditoria. Perfil CA 4758 A senha do Perfil CA 4758 controla o acesso ao perfil do 4758 Cryptographic Coprocessor CA. Perfil RA 4758 A senha do Perfil RA 4758 controla o acesso ao perfil do 4758 Cryptographic Coprocessor RA. Para alterar senhas, é possível utilizar uma de várias abordagens. Se tiver instalado o Tivoli PKI em uma plataforma AIX, utilize o procedimento da linha de comandos descrito em Procedimento da Linha de Comandos. Se estiver executando em uma plataforma Windows NT, você poderá utilizar o procedimento descrito em Procedimento de Ícones de Programas do Windows NT na página 7 ou o procedimento da linha de comandos para executar o utilitário Change Password. Procedimento da Linha de Comandos 1. Vá até o diretório bin do Tivoli PKI utilizando um dos seguintes caminhos: No AIX, o caminho padrão é: /usr/lpp/iau/bin No Windows NT, o caminho padrão é: c:\arquivos de programas\ibm\trust Authority\bin 2. Dependendo do seu sistema operacional, digite um dos seguintes comandos: No AIX, o comando é: changepwd.sh No Windows NT, o comando é: changepwd.bat O seguinte menu aparece: Alterar Senhas do Tivoli PKI Digite o número da opção do componente que deseja alterar. Será solicitado que você digite a senha atual e, em seguida, a nova senha Alterar semnha para 1) Abandonar 2) Programa de Controle 3) Administrador do Directory 4) Administrador de Audit 5) Perfil CA ) Perfil RA 4758 Digite a Opção: 3. Selecione a opção para a senha que deseja alterar digitando o número correspondente no campo Digite a Opção. 4. Quando o sistema solicitar, forneça e confirme a senha da opção que você escolheu. 6 Versão 3 Release 7.1

23 Nota: Na primeira vez que você utilizar esta ferramenta, a senha atual será a senha definida durante a configuração. No caso da senha do Programa de Controle e do Administrador de Audit, especifique a senha do Programa de Controle, definida no programa CfgPostInstall como senha atual. No caso do Directory Administrator, senhas do Perfil de CA 4758 e do Perfil de RA 4758, especifique as senhas definidas no Assistente de Configuração como a senha atual. 5. Quando o sistema solicitar, forneça e confirme a nova senha da opção escolhida. A senha deve ter oito caracteres ou menos (as senhas do Perfil RA e CA 4758 devem ter exatamente oito caracteres cada). O utilitário exibe uma mensagem informando se suas alterações foram bem-sucedidas. Quando o processamento estiver concluído, o utilitário retorna ao menu principal. Nota: Após a alteração de qualquer senha, você deverá encerrar e depois reiniciar o Tivoli PKI. Procedimento de Ícones de Programas do Windows NT Se estiver executando o Tivoli PKI em um plataforma Windows NT e preferir selecionar ícones de programa a digitar o comando em uma janela do DOS, utilize o seguinte procedimento para executar o utilitário Change Password: 1. Selecione Iniciar Programas IBM SecureWay Trust Authority Ferramenta Alterar Senhas O menu Alterar Senhas do Tivoli PKI é mostrado. 2. Siga as etapas iniciando com a etapa 3 na página 6 no Procedimento da Linha de Comandos na página 6. Iniciar e Parar os Componentes do Servidor O Tivoli PKI utiliza um mecanismo de inicialização automatizado e seguro chamado Programa de Controle Tivoli PKI para iniciar ou parar todos os componentes numa determinada máquina. O Programa de Controle Tivoli PKI (um por máquina, no caso de máquinas remotas) possui sua própria chave de criptografia e decodificação na qual são criptografadas ou decodificadas as senhas dos componentes, de acordo com a necessidade. Se tiver instalado qualquer componente do servidor do Tivoli PKI em máquinas remotas, consulte a seção Iniciar e Parar os Servidores Remotos na página Como Posso Fazer Para...? Iniciar e Parar os Componentes do Servidor Localmente Para iniciar ou encerrar todos os componentes em uma determinada máquina, você pode utilizar qualquer um dos métodos a seguir: Digite os seguintes comandos no AIX para iniciar ou encerrar os componentes do servidor. Siga as instruções online para digitar a senha do Programa de Controle. Note que para iniciar e parar o sistema, você precisa conectar-se como usuário de configuração do Tivoli PKI (cfguser). cd /usr/lpp/iau/bin Start_TA.sh ou Stop_TA.sh Caso tenha instalado o Tivoli PKI em uma plataforma Windows NT, selecione o ícone apropriado a partir do menu de programas do Windows NT. Por exemplo, selecione: Iniciar > Programas > IBM SecureWay Trust Authority > Iniciar Trust Authority Iniciar > Programas > IBM SecureWay Trust Authority > Encerrar Trust Authority Tivoli PKI Manual de Administração do Sistema 7

24 Caso você use o método de comando no Windows NT, digite numa linha de comandos do DOS os seguintes comandos para iniciar ou parar os componentes do servidor. Siga as instruções online para digitar a senha do Programa de Controle. Start_TA.bat ou Stop_TA.bat Diretrizes de Uso para o AIX As diretrizes para iniciar e encerrar o sistema no AIX são as seguintes: Se, por algum motivo, os servidores de CA e RA não pararem quando você executar o Programa de Controle no AIX, use o comando ps para ver a relação dos processos em execução, e use então o comando kill para pará-los. São mostrados abaixo exemplos de como usar esses comandos com a saída de amostra: $ ps -ef grep irgautoca root Oct 24-76:34 /usr/lpp/iau/bin/irgautoca /usr/lpp/iau/etc/trustauthority/irgautoca.ini cfguser :58:20 pts/4 0:00 grep irgautoca $ kill $ ps -ef grep irgrasvr root Oct :46 /usr/lpp/iau/bin/irgrasvr -c /usr/lpp/iau/pkrf/etc/domain.cfg -d YourDomain cfguser :57:16 pts/0 0:00 grep irgrasvr $ kill A ação de parar o Tivoli PKI deverá parar automaticamente os programas do servidor Web no AIX. Se eles não pararem por alguma razão, use o comando ps para identificar o ID do processo da instância do seu domínio a ser interrompida e use então comando kill para pará-lo. Por exemplo: ps -ef grep httpserver grep YourDomain kill process_id A ação de parar o Tivoli PKI deve parar automaticamente o domínio da aplicação do Tivoli PKI no WebSphere no AIX. Se a aplicação do Tivoli PKI não parar por alguma razão e o script Stop_TA.sh exibir algum erro ao parar o domínio da aplicação do Tivoli PKI com o WebSphere no AIX, use o WebSphere Administrative Console para parar completamente o domínio da aplicação do Tivoli PKI. Consulte a documentação do WebSphere para saber como usar o WebSphere Administrative Console. Iniciar e encerrar o Tivoli PKI inicia e encerra automaticamente o servidor Directory. Se não quiser que o Directory seja automaticamente iniciado ou encerrado, edite a seção [AutoStopN] do arquivo TrustAuthControl.cfg para remover a entrada do componente Directory. Diretrizes de Uso no Windows NT As diretrizes para iniciar e encerrar o sistema no Windows são as seguintes: Encerrar o Tivoli PKI não encerrará automaticamente os programas do servidor Web no Windows NT. Após encerrar o Tivoli PKI, encerre manualmente a instância do WebSphere iniciada para o domínio de registro. Para isso, use o Gerenciador de Tarefas do Windows NT para encerrar os processos java.exe e reqdbagent.exe. Para que o desempenho do sistema seja o melhor possível, antes de reiniciar os componentes do servidor no Windows NT, reinicie a máquina. Quando você utiliza o Programa de Controle para iniciar os componentes do servidor do Tivoli PKI no Windows NT, a janela na qual o programa é lançado não pode ser 8 Versão 3 Release 7.1

25 fechada. Isso ocorre porque alguns componentes estão conectados a esta janela de console. Depois que os componentes do servidor do Tivoli PKI são parados, esta janela poderá ser fechada. Iniciar e encerrar o Tivoli PKI inicia e encerra automaticamente o servidor Directory. Se não quiser que o Directory seja automaticamente iniciado ou encerrado, edite a seção [AutoStopN] do arquivo TrustAuthControl.cfg para remover a entrada do componente Directory. Iniciar e Parar os Servidores Remotos Se tiver instalado qualquer componente do Tivoli PKI em máquinas remotas, você deverá utilizar o Programa de Controle para iniciar e encerrar os componentes que estão em execução em cada máquina. Os componentes remotos devem ser iniciados na seguinte ordem: 1. Servidor Directory 2. Servidor CA e Audit 3. Servidor RA (incluindo o IBM HTTP Server e o WebSphere Application Server) Para encerrar o sistema, encerre os programas do servidor na ordem inversa em que eles foram instalados. Alterar os Endereços IP do Tivoli PKI Se o sistema Tivoli PKI foi instalado e configurado numa só máquina, com um único nome de host, você poderá alterar o endereço IP da máquina por meio do seguinte procedimento: 1. Pare o sistema Tivoli PKI. 2. Altere o endereço IP da máquina de acordo com os critérios de sua organização. 3. Edite e altere o endereço IP mencionado no arquivo /usr/lpp/iau/pkrf/domains/yourdomain/etc/httpd-rd_0.conf para o novo endereço IP. 4. Encerre e reinicialize a máquina. 5. Inicie o sistema Tivoli PKI. Fazer o Backup e Restaurar o Sistema Esta seção trata de questões relacionadas a backup e restauração de endereços do Tivoli PKI. De modo específico, são abordados os seguintes itens: Diretrizes para backup e restauração dos bancos de dados do Tivoli PKI. Backup e recuperação dos sistemas operacionais AIX e Windows NT. Clonagem do IBM 4758 Cryptographic Coprocessor. Fazer Backup e Restaurar no AIX e no Windows NT Para fazer o backup do Tivoli PKI, usando o AIX ou o Windows NT, é preciso antes encerrar todos os processos do Tivoli PKI na seguinte ordem: 1. Tivoli PKI 2. Bancos de dados DB2 Você deve fazer isto independentemente de qual utilitário de backup planeja utilizar. O servidor Directory e o DB2 utilizam gravações assíncronas e, a menos que esses processos estejam completamente encerrados, não há garantia de que os dados nos buffers de memória serão gravados no disco quando você fizer backup do sistema. Quanto mais perto você 3. Como Posso Fazer Para...? Tivoli PKI Manual de Administração do Sistema 9

26 estiver do sistema do modo de manutenção de usuário único, melhor será seu backup. Para obter instruções sobre como encerrar e iniciar o Tivoli PKI, veja a seção Iniciar e Parar os Componentes do Servidor na página 7. Consulte o IBM DB2 Universal Database Command Reference para saber como parar e iniciar os bancos de dados. Quanto aos utilitários de backup, use os seguintes: Para AIX, use os utilitários de backup do sistema internos, mksysb e savevg ou ADSM (outro produto IBM). Se você utilizar os utilitários mksysb e savevg, consulte a documentação do AIX para obter os procedimentos corretos. Se você usar o ADSM, use-o em conjunto com o mksysb. Para Windows NT, use qualquer utilitário que faça uma imagem do sistema a partir da qual seja possível recuperar o sistema inteiro. Se você usar o ADSM, use-o em conjunto com o utilitário de imagem do sistema. Siga os procedimentos de restauração apropriados para o utilitário de backup que você escolher. Clonar o 4758 Cryptographic Coprocessor Para fazer o backup do IBM 4758 Cryptographic Coprocessor, é preciso clonar, a partir da máquina na qual o sistema Tivoli PKI foi instalado para uma máquina separada, a chave principal. Para saber como fazê-lo, consulte a documentação 4758 encontrada em: Acompanhar Números de Usuários e Certificados Seu contrato de licença exige o monitoramento do número de usuários do Tivoli PKI. Para ajudá-lo a obter esta informação, o Tivoli PKI fornece uma ferramenta de relatório de utilização, o Relatório de Utilização. Essa ferramenta acompanha o número de usuários ativos e inativos no sistema e o número de certificados ativos e revogados assinados pelo CA do Tivoli PKI desde que o produto foi instalado. Os itens de dados específicos do Relatório de Utilização estão descritos conforme segue: Usuários ativos Usuários com pelo menos um certificado ativo, onde user é definido como uma entrada que tem um nome distinto (distinguished name - DN) exclusivo. Usuários inativos Usuários que não têm nenhum certificado ativo; ou seja, os certificados previamente emitidos a esses usuários expiraram ou foram revogados. Certificados ativos Certificados assinados pelo CA do Tivoli PKI que não expiraram nem foram revogados. Certificados revogados Certificados que foram revogados. Procedimento de Ícones de Programas do Windows NT Se estiver executando o Tivoli PKI em uma plataforma Windows NT e preferir selecionar ícones do programa a digitar o comando em uma janela de comando do DOS, utilize o seguinte procedimento para gerar um relatório de utilização. Consulte Saída de Amostra do Relatório de Utilização na página 11 para obter um exemplo da saída de relatório. 10 Versão 3 Release 7.1

27 1. Efetue login como o usuário de configuração do Tivoli PKI na máquina onde instalou o componente do servidor CA do Tivoli PKI. O nome de usuário padrão sugerido é cfguser; sua organização pode ter utilizado um valor diferente. 2. Selecione Iniciar Programas IBM SecureWay Trust Authority Relatório de Utilização do Trust Authority. Procedimento da Linha de Comandos Caso o Tivoli PKI esteja sendo executado em plataforma AIX ou caso você prefira digitar o comando, em vez de selecionar ícones de programa no Windows NT, use o procedimento a seguir para gerar um Relatório de Utilização. Consulte Saída de Amostra do Relatório de Utilização para obter um exemplo da saída de relatório. 1. Efetue login como o usuário de configuração do Tivoli PKI na máquina onde instalou o componente do servidor CA do Tivoli PKI. O nome de usuário padrão e sugerido é cfguser. Se tiver instalado o Tivoli PKI no Windows NT, sua organização poderá ter utilizado um valor diferente. 2. Vá para o subdiretório bin do diretório de instalação do Tivoli PKI. Os seguintes exemplos mostram o caminho de diretório padrão: No AIX: /usr/lpp/iau/bin No Windows NT: c:\arquivos de programas\ibm\trust Authority\bin 3. Digite o seguinte comando: TAUsageReport Saída de Amostra do Relatório de Utilização Relatório de Utilização do Tivoli PKI Relatório Gerado em : Set 28, :10:20 EDT 3. Como Posso Fazer Para...? Total de usuários ativos = 42 Total de certificados ativos = 53 Total de usuários inativos = 6 Total de certificados revogados = 3 Acompanhar Atividade de Certificado Você pode utilizar o utilitário de Relatório de Atividade do Tivoli PKI para monitorar o número de certificados que são aprovados, rejeitados ou revogados em um dia específico ou durante uma semana. O Relatório de Atividade está dividido nas duas seguintes partes: Parte 1 A primeira parte do relatório lista os registradores (administradores RA) no sistema e mostra a atividade de certificado em cada registrador (administrador). Parte 2 A segunda parte do relatório lista o número total de certificados que foram aprovados, rejeitados ou revogados durante o período de tempo solicitado, seja manualmente por um registrador ou automaticamente pelas saídas de critério. Procedimento de Ícones de Programas do Windows NT Se estiver executando o Tivoli PKI em um plataforma Windows NT e preferir selecionar ícones do programa a digitar o comando em uma janela de comando do DOS, utilize o Tivoli PKI Manual de Administração do Sistema 11

28 seguinte procedimento para gerar um Relatório de Atividade. Consulte Saída de Amostra do Relatório de Atividade para obter um exemplo da saída de relatório. 1. Efetue login como o usuário de configuração do Tivoli PKI na máquina onde instalou o componente do servidor RA do Tivoli PKI. O nome de usuário sugerido é cfguser; sua organização pode ter utilizado um valor diferente. 2. Selecione Iniciar Programas IBM SecureWay Trust Authority Relatório de Atividade Trust Authority. 3. Quando o sistema solicitar o tipo de relatório, digite 1 para um relatório semanal ou 2 para exibir um resumo da atividade ocorrida em um dia específico. 4. Quando o sistema solicitar a data, digite a data de início para a semana na qual deseja obter um relatório ou a data exata na qual deseja um relatório diário. Você deve digitar a data no formato yyyy-mm-dd; por exemplo Procedimento da Linha de Comandos Se estiver executando o Tivoli PKI em uma plataforma AIX ou preferir digitar o comando a selecionar ícones de programa no Windows NT, utilize o seguinte procedimento para gerar um Relatório de Atividade. Consulte Saída de Amostra do Relatório de Atividade para obter um exemplo da saída de relatório. 1. Efetue login como o usuário de configuração do Tivoli PKI na máquina onde instalou o componente do servidor RA do Tivoli PKI. O nome de usuário padrão e sugerido é cfguser. Se tiver instalado o Tivoli PKI no Windows NT, sua organização poderá ter utilizado um valor diferente. 2. Altere para o subdiretório bin do diretório de instalação do Tivoli PKI. Os seguintes exemplos mostram o caminho de diretório padrão: No AIX: /usr/lpp/iau/bin No Windows NT: c:\arquivos de programas\ibm\trust Authority\bin 3. Digite o seguinte comando: TAActivityReport 4. Quando o sistema solicitar o tipo de relatório, digite 1 para um relatório semanal ou 2 para exibir um resumo da atividade ocorrida em um dia específico. 5. Quando o sistema solicitar a data, digite a data de início para a semana na qual deseja obter um relatório ou a data exata na qual deseja um relatório diário. Você deve digitar a data no formato yyyy-mm-dd; por exemplo Nota: Para ignorar os avisos, você pode especificar os seguintes parâmetros de comando na linha de comandos: TAActivityReport [-t reporttype(1/2)] [-d startdate(yyyy-mm-dd)] Por exemplo: TAActivityReport -t 2 -d Saída de Amostra do Relatório de Atividade O seguinte exemplo mostra um relatório de atividade diário. O relatório semanal parece igual, mas fornece um resumo dos totais semanais. 12 Versão 3 Release 7.1

29 Relatório de Atividade do Tivoli PKI Relatório gerado em : 28 de setembro de :59:23 EDT Data do relatório diário : Relatório de Atividade Diário para Administradores RA DN do Administrador RA Aprovado Rejeitado Revogado CN=RAadmin1, OU=PKI, O=IBM, C=US CN=RAadmin2, OU=PKI, O=IBM, C=US CN=RAadmin3, OU=PKI, O=IBM, C=US Relatório de Atividade Diário para o Sistema Aprovado = 92 Rejeitado = 16 Revogado = 5 Administrar o WebSphere Application Server O IBM WebSphere é um conjunto de produtos de software que ajudam as organizações a desenvolverem e gerenciarem sites Web de alto desempenho. O WebSphere Application Server, com o IBM HTTP Server, ajuda a fornecer a infra-estrutura para a funcionalidade do servidor Web no Tivoli PKI. Verificar o Status do WebSphere Application Server Dependendo do ambiente, você pode verificar o status do WebSphere Application Server executando um dos seguintes conjuntos de procedimentos: No AIX: 1. Efetue login no AIX como root. 2. Verifique a tabela de processos e procure: ManagedServer Se você ver este processo, vá para a etapa 3. Se não ver o processo, veja a seção Resolução de Problemas na página 124 para obter instruções. 3. Consulte a documentação WebSphere para usar o WebSphere Administrative Console e determinar o status do servidor. No Windows NT: 1. Efetue login no Windows NT como administrador do sistema. 2. Inicie o Gerenciador de Tarefas pressionando as teclas Ctrl Alt e Delete. 3. Selecione o separador Processos. 4. Procure pelo menos uma instância do processo java.exe. Se você ver este processo, vá para a etapa 5. Se não ver o processo, veja a seção Resolução de Problemas na página 124 para obter instruções. 5. Consulte a documentação do WebSphere para acessar as páginas de administração do WebSphere e determinar o status do servidor. Verificar os Logs do WebSphere Application Server Você pode verificar os logs que registram transações entre o WebSphere Application Server e o Tivoli PKI Assistente de Configuração nos locais mostrados na Tabela 1 na página Como Posso Fazer Para...? Tivoli PKI Manual de Administração do Sistema 13

30 Tabela 1. Logs de transações do WebSphere Application Server com o Assistente de Configuração Localização de arquivo padrão de AIX Localização de arquivo padrão de Windows NT Comentários /usr/websphere/appserver/logs/tivolipki- Cfg_stderr.log /usr/websphere/appserver/logs/tivolipki- Cfg_stdout.log c:\arquivos de programas\ibm\trust Authority\etc\logs\ jvm_stderr.log c:\arquivos de programas\ibm\trust Authority\etc\logs\ jvm_stdout.log A saída de erro padrão da Java Virtual Machine (JVM). A saída padrão da JVM. Você pode verificar os logs que registram transações entre o WebSphere Application Server e o recurso de registro nas localizações mostradas na Tabela 2. Tabela 2. Logs de transações do WebSphere Application Server com o recurso de registro Localização de arquivo padrão de AIX Localização de arquivo padrão de Windows NT Comentários /usr/websphere/appserver/logs/ TivoliPKI_stderr.log /usr/websphere/appserver/logs/ TivoliPKI_stdout.log c:\arquivos de programas\ibm\trust Authority\pkrf\Domains\ YourDomain\ etc\logs\jvm_stderr.log c:\arquivos de programas\ibm\trust Authority\pkrf\Domains\ YourDomain\ etc\logs\jvm_stdout.log A saída de erro padrão da Java Virtual Machine (JVM). A saída padrão da JVM. Administrar o HTTP Server O IBM HTTP Server é o produto servidor Web que manipula as comunicações baseadas na Web com navegadores e outros programas. O daemon HTTP (HTTPD) é o processo persistente que é o coração do HTTP Server. O Tivoli PKI emprega vários daemons HTTP. Essas instâncias de daemon HTTP tratam conexões públicas, criptografadas e autenticadas pelo cliente. Veja informações detalhadas sobre servidores da Web e os diferentes tipos de conexão utilizados no Tivoli PKI para tratar diferentes tipos de transações na seção Servidores Web na página 72. Verificar o Status do HTTP Server Dependendo do seu ambiente, você pode verificar o status do HTTP Server executando um dos seguintes conjuntos de procedimentos: No AIX: 1. Efetue login no AIX como root. 2. Verifique a tabela de processos e procure estas instâncias de processos: v 1desidd v pelo menos 2 de httpd Se você ver todos esses três processos, vá para 3. Se não ver todos as três instâncias, veja instruções na seção Resolução de Problemas na página Vá para o diretório bin que tem o seguinte caminho padrão: /usr/lpp/iau/bin 4. Verifique as portas digitando este comando para cada porta: 14 Versão 3 Release 7.1