Guia de Personalização

Transcrição

1 IBM SecureWay Trust Authority Guia de Personalização Versão 3 Release 1.2 S

2

3 IBM SecureWay Trust Authority Guia de Personalização Versão 3 Release 1.2 S

4 Nota! Antes de utilizar estas informações e o produto suportado por elas, leia as informações gerais em Aisos na página 107. Segunda Edição (Junho de 2000) Esta edição se aplica ao programa IBM SecureWay Trust Authority, 5648-D09, ersão 3 release 1, modificação 2ea todos os releases e modificações subseqüentes até que seja indicado o contrário em edições futuras. Copyright International Business Machines Corporation 1999, Todos os direitos reserados.

5 Índice Capítulo 1. Sobre o Trust Authority... 1 Capítulo 2. Visão Geral Capítulo 3. Como Fazer para...? Planejar uma Personalização Editar Arquios Personalizáeis Personalizar a Inscrição Criar Entradas de Diretório Durante a Inscrição. 6 Adicionar um Campo de Inscrição Adicionar um Valor a uma Lista de Seleção... 8 Alterar uma Ilustração em uma Página de Inscrição Alterar o Texto em uma Página de Inscrição... 8 Alterar o Texto na Carta de Notificação Vincular-se a uma Inscrição a partir de Outro URL 9 Atiar Processamento de Pedido Automático.. 9 Atiar Notificação por no Windows NT.. 9 Personalizar a Saída de Política Identificar o Nome da Saída de Política Alterar a Saída de Política de Amostra Substituir a Saída de Política de Amostra Personalizar Certificados Adicionar um Perfil de Certificado Adicionar uma Descrição de um Tipo de Certificado Alterar um Perfil de Certificado Alterar a Descrição de um Tipo de Certificado.. 13 Alterar o Nome de Exibição de um Tipo de Certificado Excluir um Perfil de Certificado Excluir a Descrição de um Tipo de Certificado.. 14 Incluir Extensões de Usuário em um Perfil de Certificado Alterar o URL para Sair do RA Desktop Capítulo 4. Sobre Personalização Elementos Personalizáeis Alterações que Requerem Reinício do Sistema.. 15 Suporte para Personalização Inscrição Recurso de Inscrição Páginas de Inscrição da Web Pré-registro Aplicatio Cliente do Trust Authority Suporte ao Web Browser Saídas de Política Limitações da Saída de Política Interfaces para a Saída de Política Registro Política de Negócio Atributos do Registro Autoridades de Registro Bancos de Dados de Registro Domínios de Registro Registros Certificação Autoridades de Certificados Listas de Reogação de Certificados Diretórios Nomes Distintos Certificados Certificados de Naegador Certificados CA Certificados de Seridor ou de Dispositio Extensões de Certificados Possibilidade de Renoação Perfis de Certificados Processamento de Perfil Organização, Conteúdo e Estrutura de Perfil.. 26 Variáeis de Substituição de Perfil Regras e Definições de Perfil Administração Controle de Acesso Autenticação e Autorização Administração Simultânea RA Desktop Serlet de Suporte do RA Desktop Perfis de Pedidos Interações do WebSphere Capítulo 5. Referência Ferramentas de Personalização Localizações de Arquios Estrutura de Diretórios Elementos que Você Pode Personalizar Arquios Fonte da Página da Web Arquios de Exemplo Arquio de Descrições de Tipos de Certificados 38 Arquio de Configuração de Perfil de Certificado 38 Carta de Notificação por Texto da Mensagem de Erro Página do Jaa Serer Arquio de Saída de Política Arquio de Configuração do Recurso de Registro 44 Detalhes da Página da Web Variáeis do Formulário de Inscrição Razões de Reogação Detalhes do Certificado Tipos de Certificados Extensões Definidas pelo Usuário Formato do Certificado X Detalhes do Registro Atributos de Pedidos e Certificados Ações do RA Status dos Pedidos de Inscrição Capítulo 6. Exemplo de Personalização 61 Planejamento de Personalização Copyright IBM Corp. 1999, 2000 iii

6 Árore de Diretórios da Organização Identificando Requisitos de Personalização Identificando Arquios que Requerem Alterações 62 Fazendo as Modificações Páginas da Web: Alterando Títulos e Descrições da Página Coletando Informações do Cliente/Funcionário Relacionadas à Empresa: Verificando Informações Pessoais Especificando a Página de Retorno Depois do Download do Certificado Substituindo Gráficos Atualizando Carta de Notificação Alterando Tipos de Certificados Adicionando Valores a Listas de Seleção Processando Aproações Personalizando o Seridor Directory Verificando as Alterações Aisos Marcas Registradas e Marcas de Seriço Informações Relacionadas Glossário Índice Remissio i Trust Authority: Guia de Personalização

7 Capítulo 1. Sobre o Trust Authority IBM SecureWay Trust Authority fornece aplicatios com a intenção de autenticar usuários e garantir comunicações confiáeis: Permite que as organizações emitam, publiquem e administrem certificados digitais de acordo com suas políticas de registro e certificação. O suporte para os padrões criptográficos PKIX (Public Key Infrastructure for X.509) ersão 3 e CDSA (Common Data Security Architecture) permite a interoperabilidade do fornecedor. Assinatura digital e protocolos seguros fornecem os meios para autenticar todas as partes em uma transação. As capacidades de registro com base no naegador e no cliente fornecem o máximo de flexibilidade. As comunicações criptografadas e o armazenamento seguro das informações de registro garantem a confiabilidade. Um sistema Trust Authority pode ser executado nas plataformas do seridor do IBM AIX/6000 e Microsoft Windows NT. Ele inclui os seguintes recursos de chaes: Um CA (Autoridade de Certificado) confiáel que gerencia o ciclo completo de duração do certificado digital. Para garantir a autenticidade de um certificado, o CA assina digitalmente cada um dos certificados que ele emite. Também assina as CRLs (listas de reogação de certificado) para garantir que um certificado não seja mais álido. Para proteger ainda mais sua chae de assinatura, ocê pode utilizar hardware criptográfico, como o Co-processador Criptográfico PCI 4758 IBM SecureWay. Um RA (Autoridade de Registro) lida com tarefas administratias referentes ao registro do usuário. O RA garante que apenas os certificados que suportam suas atiidades comerciais sejam emitidos, e que eles sejam emitidos apenas para usuários autorizados. As tarefas administratias podem ser manipuladas atraés de processos automatizados ou da tomada de decisão do usuário. Uma interface de inscrição com base na Web que facilita a obtenção de certificados para naegadores, seridores e outros objetios, como dispositios VPN (rede priada irtual), smart cards e seguro. Um aplicatio Windows, o Cliente do Trust Authority, atia usuários finais para obter e gerenciar certificados sem utilizar o Web browser. Uma interface de administração com base na Web, o Trust Authority Autoridade de Registro Desktop, permite que registradores autorizados aproem ou rejeitem pedidos de inscrição e certificados de administrador depois de terem sido emitidos. Um subsistema de Auditoria que calcula um MAC (código de autenticação da mensagem) para cada registro de auditoria. Se os dados de auditoria forem alterados ou excluídos depois de terem sido graados no banco de dados de auditoria, o MAC permite a detecção do intruso. Saídas de política permitem que os desenoledores do aplicatio personalizem os processos de registro. Suporte integrado para mecanismo criptográfico. Para autenticar as comunicações, os componentes principais do Trust Authority são assinados com Copyright IBM Corp. 1999,

8 uma chae priada gerada pela fábrica. Objetos de segurança, como chaes e MACs, são criptografados e armazenados em áreas protegidas chamadas KeyStores. Suporte integrado para o Diretório IBM SecureWay. O programa Directory armazena informações sobre certificados álidos e reogados em um formato compatíel com LDAP. Suporte integrado para o IBM WebSphere Application Serer e o IBM HTTP Serer. O seridor da Web trabalha com o seridor RA para criptografar mensagens, autenticar pedidos e transferir certificados para o destinatário desejado. Suporte integrado para o IBM DB2 Uniersal Database premiado. 2 Trust Authority: Guia de Personalização

9 Capítulo 2. Visão Geral Quando a organização possui aplicatios seguros protegidos pelo Trust Authority, apenas usuários com as credenciais apropriadas podem acessar esses aplicatios. Os recursos seguros e as políticas de negócios para concessão de credenciais de acesso a eles constituem um domínio de registro. O recurso de registro do Trust Authority fornece os arquios e processos que suportam o domínio de registro, permitindo personalizar e controlar os tipos de certificados concedidos e as regras de acesso aos aplicatios. O recurso de registro inclui recursos de inscrição, funções de registro e certificação, um banco de dados seguro e uma interface administratia. Alguém que deseje um certificado digital pode solicitá-lo fornecendo informações apropriadas nas páginas de inscrição da Web. Dados do pedido de inscrição formam a base para decidir se o pedido será aproado ou rejeitado. A aaliação de pedidos de inscrição e a administração desses registros são tarefas administratias. Às ezes, sua organização configura o Trust Authority para automatizar partes dessas tarefas, e um programa aalia os dados de registro. Outras ezes, um registrador faz todos os julgamentos. O RA do Trust Authority processa cada pedido e, se um pedido for aproado, o CA do Trust Authority emitirá um Certificado. Os pedidos e os certificados de inscrição são mantidos em um banco de dados criptografado. O recurso de registro do Trust Authority para o domínio de registro tem os seguintes recursos e elementos, alguns dos quais podem ser personalizados: Inscrição Esse software inclui páginas de inscrição da Web, nas quais os candidatos solicitam certificados e posteriormente os recebem atraés dos Web browsers. Você pode aplicar suas próprias políticas de negócios no processo de inscrição, incluindo a aparência e o comportamento das páginas da Web e o feedback fornecido aos usuários sobre seus pedidos. Aplicatio Cliente Usuários que se pré-registraram utilizando o recurso de inscrição podem solicitar e gerenciar seus certificados utilizando o aplicatio Cliente do Trust Authority, que está instalado em suas estações de trabalho. Processamento de Aproação O processo do aproador suporta registro e certificação. Ele inclui uma saída de política que ocê pode utilizar para automatizar o registro ou, de alguma outra forma, aplicar as políticas de negócios da organização no registro e na certificação. Você também pode utilizar uma saída de política para fornecer informações para um de seus aplicatios. Autoridade de Registro O seridor RA interage na inscrição e no seridor CA para fornecer processamento de registro. Autoridade de Certificado O seridor CA interage no seridor RA e fornece processamento de certificação. Copyright IBM Corp. 1999,

10 Perfis de Certificados O Trust Authority fornece perfis de certificados para uma ariedade de usos. Você pode personalizar esses perfis e criar outros com base nos perfis fornecidos. Directory O Directory suportado pelo Trust Authority utiliza o protocolo LDAP. Banco de Dados de Registro Os registros de pedidos de inscrição e os Certificados residem em um banco de dados de registro criptografado. Interface Administratia Os registradores autorizados utilizam o RA Desktop para aaliar os pedidos de inscrição e gerenciar pedidos e certificados. Como é possíel personalizar muitos aspectos do domínio de registro, isso pode realmente refletir o que é importante para a organização: Suas políticas organizacionais podem goernar a inscrição, o registro, a certificação e a administração. As páginas de inscrição da Web podem ser semelhantes a outros documentos e aplicatios da organização. Você pode oferecer certificados que atendam a necessidades específicas de funcionários e clientes. 4 Trust Authority: Guia de Personalização

11 Capítulo 3. Como Fazer para...? Planejar uma Personalização Os tópicos nesta seção fornecem instruções passo a passo para as tarefas que ocê deseja concluir para personalizar o domínio de registro, como: Alterar a aparência das páginas de inscrição. Fazer alterações em um perfil de certificado. Para planejar uma personalização: 1. Faça uma lista dos requisitos da organização, como o seguinte: Quais recursos deseja oferecer com certificados. Qual terminologia os usuários acharão mais útil quando estierem nas páginas de inscrição da Web. Para onde os usuários deem ser retornados quando saírem da página de inscrição da Web. O que informar a um candidato em uma notificação por depois de um pedido de inscrição ser processado. Quais dados são necessários coletar durante o registro e a certificação. Quais outros processamentos gostaria de fazer durante o registro. Quais outros aplicatios gostaria de executar durante o registro. Conforme prepara a lista, talez seja útil consultar o tópico Personalização na seção Sobre Mapeie os requisitos para os elementos personalizáeis da saída de inscrição e de política e para suas respectias localizações. 3. Determine o impacto da personalização planejada. Pode ser necessário reiniciar o Trust Authority. 4. Depois da instalação, faça cópias de backup de todos os arquios que deseja alterar. 5. Faça as alterações diretamente ou utilize esses elementos personalizáeis como gabaritos para criar outros noos. Em suas alterações, é possíel criar um aplicatio de registro personalizado para o domínio de registro. O Capítulo 6. Exemplo de Personalização na página 61 fornece um exemplo de um aplicatio de registro personalizado criado por meio das alterações de personalização. Editar Arquios Personalizáeis Tenha muito cuidado quando fizer alterações nos arquios que deseja personalizar para o domínio de registro. Antes de fazer quaisquer alterações em um arquio, crie uma cópia de backup dele. Manter uma cópia de backup disponíel é especialmente importante para arquios JSP, para o arquio de configuração raconfig.cfg e para arquios de perfis de certificados. Se estier executando o aplicatio em um idioma diferente do inglês, utilize também um editor de unicode capaz de salar dados na página de códigos natia, como no formato UTF-8. No Windows NT, o Microsoft Notepad e o Microsoft Wordpad não são editores adequados para fazer as alterações. Por exemplo, Copyright IBM Corp. 1999,

12 Personalizar a Inscrição quando utilizar o Wordpad para salar um arquio no chinês tradicional, o Wordpad substituirá caracteres e salará os dados no formato Big5, mesmo que o arquio original esteja no formato UTF-8. Consulte Ferramentas de Personalização na página 35 para obter informações sobre editores capazes de salar dados na página de códigos natia. Nota: Se ocê instalou o Trust Authority no Windows NT, atribua nomes em letra minúscula a todos os arquios de recursos que ocê criar para o recurso de registro (tais como todos os arquios HTML e JSP). O HTTP Serer retorna ERRO 404 NÃO ENCONTRADO para nomes de arquios que contêm todos os caracteres em maiúscula ou caracteres em maiúscula e minúscula. Por exemplo, utilize meu.html, não MEU.html ou Meu.html. Esse problema do HTTP Serer não afeta as instalações do Trust Authority no AIX. Você pode personalizar o recurso de inscrição. As alterações podem ajudar a organização a atender às suas necessidades de inscrição específicas. Você também pode ajustar a aparência e o comportamento do recurso de inscrição para refletir os padrões e o estilo da organização para páginas da Web. Criar Entradas de Diretório Durante a Inscrição Parte do processo na criação de entradas de Diretório durante a inscrição requer que ocê especifique os seguintes parâmetros no arquio aconfig.cfg: ldap_autocreate_entries=false // essa ariáel é um booleano erdadeiro ou falso O objeto de processo de negócios LDAPCreateEntries tem dois modos de operação: Se o parâmetro ldap_autocreate_entries= for definido como falso, o objeto de processo de negócios LDAPCreateEntries será retornado e nenhuma entrada será criada no Diretório. Esse modo é a operação padrão. Se o parâmetro ldap_autocreate_entries= for definido como erdadeiro, o objeto de processo de negócios LDAPCreateEntries inocará o seriço LDAPPolicy. Se o argumento PolicyClass= estier azio, nenhuma política será executada e uma entrada será criada no Diretório automaticamente. Adicionar um Campo de Inscrição Se planeja adicionar uma extensão definida pelo usuário a um dos perfis de certificados, será possíel adicionar um campo ao formulário de inscrição para acomodar essa extensão: 6 Trust Authority: Guia de Personalização 1. Faça uma cópia de backup do arquio JSP que contém o formulário de inscrição que deseja alterar. 2. Abra o arquio com um editor apto para UTF Encontre a localização onde deseja inserir o noo campo. Ela dee ficar entre a caixa de texto do campo precedente e o texto descritio do campo que a segue. 4. Insira a definição para o noo campo (eja o exemplo a seguir). 5. Sale e feche o arquio. 6. Se ainda não o tier feito, adicione a extensão definida pelo usuário desejada a um perfil de certificado fornecido ou crie uma noa definição de perfil e adicione a extensão. O seguinte exemplo ilustra a adição de um campo Número de Telefone entre os campos Segundo Nome e .

13 <% // O campo segundo nome %> <TR> <TD ALIGN="LEFT" BGCOLOR="#BBE2EC"> <FONT SIZE="2"> <%= secondfieldhelp %> </FONT> </TD> <TD ALIGN="LEFT" BGCOLOR="#9FD5E3"> <FONT SIZE="2"> <%= secondfieldlbl %> </FONT> <BR> ++<INPUT TYPE="Text" NAME="<%= secondfieldname %>" onfocus="oldname=this.alue;" onchange="createdefaultcn( this.alue );" SIZE="<%= sizeofinputfields %>" MAXLENGTH="<%= secondfieldmaxlength %>" VALUE="<%= secondfieldreturnvalue %>"> </TD> </TR> <% // Número de Telefone %> <TR> <TD ALIGN="LEFT" BGCOLOR="#BBE2EC"> <FONT SIZE="2"> digite seu número de telefone. </FONT> </TD> <TD ALIGN="LEFT" BGCOLOR="#9FD5E3"> <FONT SIZE="2"> <STRONG> Número do Telefone: </STRONG> </FONT> <BR> <INPUT TYPE="Text" NAME="phone_number" SIZE="16" MAXLENGTH="16" VALUE=""> </TD> </TR> <% // %> <TR> <TD ALIGN="LEFT" BGCOLOR="#BBE2EC"> <FONT SIZE="2"> <%= STRING_InputFieldHelps[3] %> </FONT> </TD> <TD ALIGN="LEFT" BGCOLOR="#9FD5E3"> <FONT SIZE="2"> <STRONG> <%= STRING_InputFieldLbls[3] %><%= STRING_Colon %> </STRONG> <%= STRING_Spacer %> <%= STRING_OptionalLbl %> <%= errorflags[3] %> </FONT> <BR> <INPUT TYPE="Text" NAME="<%= inputfieldnames[3] %>" SIZE="<%= sizeofinputfields %>" MAXLENGTH="128" VALUE="<%= inputfieldreturnvalues[3] %>"> </TD> </TR> Capítulo 3. Como Fazer para...? 7

14 Adicionar um Valor a uma Lista de Seleção Você pode adicionar um alor a uma lista de seleção que os usuários êem em uma página de inscrição da Web, como um tipo de certificado. Para adicionar um alor: 1. Faça uma cópia de backup do arquio raconfig.cfg. 2. Abra o arquio com um editor apto para UTF Para adicionar dois noos perfis ao formulário de inscrição do certificado do naegador Netscape, faça as alterações destacadas a seguir: CertProfiles_NSBrowserSSLCert=SSLBrowserCert1Year,SSLBrowserCert2Year, S/MIMECert1Year,S/MIMECert2Year,NewProfile1Year,NewProfile2Year 4. Para adicionar apenas um noo perfil ao formulário de inscrição do certificado do naegador Internet Explorer, faça as alterações destacadas a seguir: CertProfiles_IEBrowserSSLCert=SSLBrowserCert1Year,SSLBrowserCert2Year, S/MIMECert1Year,S/MIMECert2Year,NewProfile1Year 5. Para adicionar um noo perfil ao formulário de inscrição do Seridor e do Dispositio, faça as alterações destacadas a seguir: CertProfiles_PKCS107Cert=SSLSererCert1Year,SSLSererCert2Year, IPSecCert1Year,IPSecCert2Year,NewProfile1Year 6. Para adicionar um noo perfil ao formulário de inscrição de pré-registro do certificado e exibi-lo depois do IPSecCert2Year, faça as alterações destacadas a seguir: CertProfiles_PreReg=S/MIMECert1Year,S/MIMECert2Year,IPSecCert1Year,IPSecCert2Year, NewProfile1Year,SSLSererCert1Year,SSLSererCert2Year,SSLBrowserCert1Year, SSLBrowserCert2Year,SignatureOnlyCert1Year,SignatureOnlyCert2Year, KeyEnciphermentCert1Year,KeyEnciphermentCert2Year,DataEnciphermentCert1Year, DataEnciphermentCert2Year,NonRepudiationCert1Year,NonRepudiationCert2Year, CACrossCertificationRequest 7. Sale e feche o arquio. Nota: Os noos perfis deem ser predefinidos no arquio certificate_profiles.cfg. Alterar uma Ilustração em uma Página de Inscrição Para adicionar uma ilustração a uma página de inscrição: 1. Sale a ilustração como um arquio.gif. 2. Faça uma cópia de backup do arquio JSP para a página de inscrição que deseja alterar. 3. Abra o arquio com um editor apto para UTF Localize a marcação da ilustração que deseja substituir. Ela será semelhante ao seguinte: IMG SRC="<%= UE_SERVER_AUTH_URL_PATH %><%= JSP_MOUNT_POINT %>SW_Banner.gif" WIDTH="600" HEIGHT="27" BORDER="0" ALT="IBM SecureWay"> 5. Substitua o nome do arquio.gif, conforme destacado a seguir: IMG SRC="<%= UE_SERVER_AUTH_URL_PATH %><%= JSP_MOUNT_POINT %>MyBanner.gif" WIDTH="600" HEIGHT="27" BORDER="0" ALT="IBM SecureWay"> Alterar o Texto em uma Página de Inscrição Para alterar o texto em uma página de inscrição: 8 Trust Authority: Guia de Personalização 1. Faça uma cópia de backup do arquio JSP para a página de inscrição que deseja alterar. 2. Abra o arquio com um editor apto para UTF Edite o texto e faça a marcação, conforme necessário.

15 4. Sale e feche o arquio. Alterar o Texto na Carta de Notificação A carta de notificação informa aos candidatos que seus pedidos de inscrição foram processados, mas não se foram aproados. Você pode alterar o texto da carta, mas não seu propósito. Para alterar o texto: 1. Faça uma cópia de backup do arquio de gabarito de correspondência que deseja personalizar (Mail_*.ltr). 2. Abra o arquio com um editor apto para UTF Edite o texto e faça a marcação, conforme necessário. 4. Sale e feche o arquio. Vincular-se a uma Inscrição a partir de Outro URL Para incular-se à página de inscrição da Web a partir de uma de suas páginas da Web: 1. Abra a origem para o arquio da página da Web com um editor apto para UTF Encontre a localização onde deseja colocar o link. 3. Insira a seguinte linha, na qual <URL para index.jsp> é o URL completamente qualificado para a página index.jsp: <A HREF="<URL para index.jsp>">inscrição de Certificado</A> Por exemplo: 4. Sale e feche o arquio. Atiar Processamento de Pedido Automático A aproação e a possibilidade de renoação de um pedido de inscrição são definidas pelo perfil de certificado selecionado durante o pedido de inscrição. Por padrão, um perfil de certificado coloca automaticamente um pedido no status pendente (pend) e o torna não-renoáel (falso). Para alterar essa ação, por exemplo, aproar pedidos e torná-los renoáeis automaticamente, uma ou ambas as definições a seguir deem ser adicionadas à sub-rotina do perfil de certificado no arquio certificate_profiles.cfg: ; --- Auto: approe or pend decision_default=approe ; --- renewable: true or false credential_renewable=true Atiar Notificação por no Windows NT O recurso de inscrição do Web browser permite que ocê seja notificado por sobre o status dos pedidos de certificado. Para atiar esse recurso no ambiente Windows NT, é necessário configurar um seridor local SMTP para o seridor RA, ou apontá-lo para um host SMTP no arquio de configuração do recurso de registro. Para apontar para um seridor SMTP: 1. Edite o arquio raconfig.cfg. O caminho de instalação padrão para esse arquio é C:\Program Files\IBM\Trust Authority\pkrf\Domains\domain_name\etc\. Capítulo 3. Como Fazer para...? 9

16 2. Adicione a seguinte linha no final do arquio, onde host.domain.com representa o seridor SMTP: SMTP_HOST_NAME=host.domain.com Nota: Tenha muito cuidado quando fizer alterações no arquio raconfig.cfg. Consulte Ferramentas de Personalização na página 35 para obter informações sobre a utilização de um editor apto para UTF-8 para atualizar o arquio. Consulte Arquio de Configuração do Recurso de Registro na página 44 para obter informações completas sobre o arquio raconfig.cfg. Personalizar a Saída de Política Você pode personalizar a saída de política ou adicionar sua própria saída para fazer processamento adicional ou interagir com outros aplicatios na organização. A saída de política pode ser de qualquer tipo de executáel, como C++, shell e assim por diante. A saída exibe mensagens de entrada que contêm nomes=pares de alor a partir da entrada padrão (STDIN). Ela graa mensagens de saída que contêm nomes=pares de alor na saída padrão (STDOUT). Identificar o Nome da Saída de Política A entrada afserice.policyexit no arquio raconfig.cfg identifica o programa de saída de política a ser inocado por um processo de negócios. O seguinte exemplo ilustra essa entrada, onde install_path é a especificação do caminho completo para o executáel do programa de saída de política personalizado. afserice.policyexit=com.ibm.irg.ra.afw.serices.spawnpolicyexitlongrunningfactory, install_path\custom_program_name Notas: 1. O Trust Authority suporta somente uma única entrada de saída de política. 2. Se ocê estier executando o Trust Authority no Windows NT, utilize letras minúsculas para noos nomes de arquios. Atualmente, o HTTP Serer não localiza arquios com nomes que contêm letras maiúsculas. Para obter mais informações sobre como graar uma saída de política, consulte Limitações da Saída de Política na página 18 e Interfaces para a Saída de Política na página 19. Para er uma lista da saída de política de amostra, consulte Arquio de Saída de Política na página 42. Alterar a Saída de Política de Amostra Você pode modificar a saída de política auto_approe de amostra fornecida com o Trust Authority ou substituí-la por sua própria saída personalizada para executar qualquer processamento de negócios específico requerido pela organização ou interagir em outros aplicatios na organização. Se quiser modificar a saída de política de amostra: 1. Crie cópias de backup do arquio de origem de amostra auto_approe.cpp existente e do executáel auto_approe.exe e armazene-as em um local seguro. 2. Modifique a origem de amostra, conforme requerido. Lembre-se de que os processos de negócios fornecidos com o Trust Authority têm dependências em alores eniados para a saída de política (como decision_default), bem como em alores retornados pela saída de política (como reqstatus e ffstatus). Se precisar modificar a forma como esses alores são utilizados pela saída de 10 Trust Authority: Guia de Personalização

17 política fornecida, ocê terá de pensar profundamente nas alterações e certificar-se de que a lógica não interrompa seu uso existente pelos processos de negócios do Trust Authority. 3. Depois de modificá-la e compilá-la, copie o executáel da saída de política para o mesmo local onde o executáel fornecido reside, por exemplo: No AIX: /usr/lpp/iau/pkrf/domains/yourdomain/bin No Windows NT: C:\Program Files\IBM\Trust Authority\pkrf\Domains\YourDomain\bin 4. Contanto que ocê não renomeie o executáel criado pelos makefiles de amostra associados, não será necessário atualizar nenhuma entrada no arquio raconfig.cfg. 5. Pare e reinicie o Trust Authority. Para obter mais informações sobre como graar uma saída de política, consulte Limitações da Saída de Política na página 18 e Interfaces para a Saída de Política na página 19. Para er uma lista da saída de política de amostra, consulte Arquio de Saída de Política na página 42. Substituir a Saída de Política de Amostra Utilize este procedimento para substituir a saída de política auto_approe de amostra fornecida com o Trust Authority: Personalizar Certificados 1. Crie cópias de backup do arquio de origem de amostra auto_approe.cpp existente e do executáel auto_approe.exe e armazene-as em um local seguro. 2. Desenola o código fonte personalizado. Lembre-se de que os processos de negócios fornecidos com o Trust Authority têm dependências em alores eniados para a saída de política (como decision_default), bem como em alores retornados pela saída de política (como reqstatus e ffstatus). Se precisar modificar a forma como esses alores são utilizados pela saída de política fornecida, ocê terá de pensar profundamente nas alterações e certificar-se de que a lógica não interrompa seu uso existente pelos processos de negócios do Trust Authority. 3. Depois de modificá-la e compilá-la, copie o executáel da saída de política para o mesmo local onde o executáel fornecido reside, por exemplo: No AIX: /usr/lpp/iau/pkrf/domains/yourdomain/bin No Windows NT: C:\Program Files\IBM\Trust Authority\pkrf\Domains\YourDomain\bin 4. Modifique a entrada afserice.policyexit no arquio raconfig.cfg para que ela aponte para o noo executáel da saída de política. (Consulte Identificar o Nome da Saída de Política na página 10 para obter um exemplo.) 5. Pare e reinicie o Trust Authority. Para obter mais informações sobre como graar uma saída de política, consulte Limitações da Saída de Política na página 18 e Interfaces para a Saída de Política na página 19. Para er uma lista da saída de política de amostra, consulte Arquio de Saída de Política na página 42. Você pode personalizar as ofertas de certificados, alterando os perfis de certificados existentes ou criando noos. Você também pode adicionar as extensões de usuário X Capítulo 3. Como Fazer para...? 11

18 Para auxiliar os usuários, ocê pode alterar os nomes de exibição e as descrições de ofertas existentes. Adicionar um Perfil de Certificado Você pode criar um perfil de certificado para oferecer uma combinação diferente de características, como: O período de alidade padrão; As capacidades que ele inclui. Nota: Antes de adicionar uma noa definição de perfil de certificado ou modificar um perfil fornecido na instalação padrão do Trust Authority, certifique-se de que tenha entendido as regras e os requisitos de processamento discutidos em Perfis de Certificados na página 24. Para criar um noo perfil: 1. Faça uma cópia de backup do arquio certificate_profiles.cfg para o domínio de registro. 2. Abra o arquio com um editor apto para UTF Localize a sub-rotina (denotada por colchetes: [ ]) similar à que deseja criar. 4. Copie-a, cole-a no arquio e modifique-a para incluir as características adequadas. 5. Sale e feche o arquio. 6. Adicione uma descrição do tipo de certificado àquelas que o candidato pode exibir. Adicionar uma Descrição de um Tipo de Certificado Durante a inscrição, os candidatos êem uma lista de tipos de certificados disponíeis. O formulário de inscrição contém um link para descrições desses tipos de certificado para auxiliar o candidato a selecionar um tipo. Depois de adicionar um noo perfil de certificado e dar a ele um nome de exibição, ocê poderá adicionar sua descrição em outras descrições: 1. Faça uma cópia de backup do CertTypes.jsp, o arquio que descree os tipos de certificados que os candidatos êem e selecionam. 2. Abra o arquio com um editor apto para UTF Encontre a localização onde deseja descreer o noo tipo de certificado. 4. Copie e cole um texto que descrea um tipo de certificado similar. 5. Altere o texto conforme desejar. 6. Sale e feche o arquio. Alterar um Perfil de Certificado Você pode alterar algumas características de um perfil de certificado, como: O período de alidade padrão; As utilizações de tecla para o tipo de certificado. Nota: Antes de modificar uma definição de perfil de certificado existente, certifique-se de que tenha entendido as regras e os requisitos de processamento discutidos em Perfis de Certificados na página 24. Para alterar um perfil: 12 Trust Authority: Guia de Personalização

19 1. Faça uma cópia de backup do arquio certificate_profiles.cfg para o domínio de registro. 2. Abra o arquio com um editor apto para UTF Localize a sub-rotina (denotada por colchetes: [ ]) que identifica o perfil que deseja alterar. 4. Modifique as linhas que controlam a alteração que deseja fazer, como o período de alidade padrão. 5. Sale e feche o arquio. 6. Altere a descrição do tipo de certificado para refletir as alterações feitas no perfil. Alterar a Descrição de um Tipo de Certificado Durante a inscrição, os candidatos êem uma lista de tipos de certificados disponíeis. O formulário de inscrição contém um link para descrições desses tipos de certificado para auxiliar o candidato a selecionar um tipo. Você pode alterar a descrição de um tipo de certificado: 1. Faça uma cópia de backup do CertTypes.jsp, o arquio que descree os tipos de certificados. 2. Abra o arquio com um editor apto para UTF Localize as linhas que contêm a descrição que deseja alterar. 4. Altere o texto conforme desejar. 5. Sale e feche o arquio. Alterar o Nome de Exibição de um Tipo de Certificado Você pode alterar os nomes dos tipos de certificados que os usuários êem e selecionam no formulário de inscrição: 1. Faça uma cópia de backup do arquio certificate_profiles.cfg para o domínio de registro. 2. Abra o arquio com um editor apto para UTF Localize a sub-rotina (denotada por colchetes: [ ]) que define o tipo de certificado que deseja renomear. 4. Localize a linha display_name e altere-a conforme desejar. O seguinte exemplo mostra a definição original e uma reisão que ocê pode fazer: ;---S/MIME Cert 1 Year--- [S/MIMECert1Year] display_name=proteção de (1 Ano) required_fields=first_name,last_name, _address ;---S/MIME Cert 1 Year--- [S/MIMECert1Year] display_name= Seguro (1 Ano) required_fields=first_name,last_name, _address 5. Sale e feche o arquio. Excluir um Perfil de Certificado Você pode excluir um perfil de certificado se não quiser oferecer esse tipo de certificado para candidatos: Nota: Antes de excluir uma definição de perfil de certificado, certifique-se de que tenha entendido as regras e os requisitos de processamento discutidos em Perfis de Certificados na página 24. Capítulo 3. Como Fazer para...? 13

20 1. Faça uma cópia de backup do arquio certificate_profiles.cfg para o domínio de registro. 2. Abra o arquio com um editor apto para UTF Localize a sub-rotina (denotada por colchetes: [ ]) que define o perfil que deseja excluir. Não exclua nenhum alor de perfil global. 4. Utilizando o caractere de ponto-e-írgula (;), faça comentários na sub-rotina inteira. 5. Sale e feche o arquio. 6. Exclua a descrição do tipo de certificado para que o candidato não eja sua descrição. Excluir a Descrição de um Tipo de Certificado Para remoer a descrição de um tipo de certificado do texto que os candidatos êem para obter informações adicionais: 1. Faça uma cópia de backup do CertTypes.jsp, o arquio que descree os tipos de certificados. 2. Abra o arquio com um editor apto para UTF Localize as linhas que contêm a descrição que deseja remoer. 4. Utilizando o caractere de ponto-e-írgula (;), faça comentários na sub-rotina inteira. 5. Sale e feche o arquio. Incluir Extensões de Usuário em um Perfil de Certificado Você pode adicionar extensões definidas pelo usuário a um perfil de certificado: 1. Faça uma cópia de backup do arquio certificate_profiles.cfg para o domínio de registro. 2. Abra o arquio com um editor apto para UTF Localize a sub-rotina (denotada por colchetes: [ ]) que define o perfil que deseja alterar. 4. Insira as extensões definidas pelo usuário desejadas. 5. Sale e feche o arquio. Alterar o URL para Sair do RA Desktop Para alterar a página da Web que os registradores êem quando saem do RA Desktop: 1. Faça uma cópia de backup do radesktop.jsp, o arquio utilizado para personalizar o RA Desktop. O caminho de instalação padrão para esse arquio é No AIX: /usr/lpp/iau/domains/yourdomain/webpages No Windows NT: C:\Program Files\IBM\Trust Authority\Domains\YourDomain\webpages 2. Abra o arquio com um editor apto para UTF Procure a linha que contém a cadeia exit_url. 4. Edite a linha e certifique-se de que o alor do parâmetro exit_url aponte para o URL que deseja ir quando sair do RA Desktop. Por exemplo: <PARAM NAME="exit_url" VALUE=" 5. Sale e feche o arquio. 14 Trust Authority: Guia de Personalização

21 Capítulo 4. Sobre... Personalização Esta seção contém informações de background sobre a forma como os elementos do Trust Authority trabalham juntos para suportar todas as funções do recurso de registro. Os tópicos definem ou descreem conceitos relacionados à inscrição, ao registro, à certificação e à administração porque suportam seu trabalho na personalização, ou na decisão de personalização, do recurso de registro. Esta seção contém dicas para ajudá-lo a planejar a sincronização e o planejamento de tarefas personalizadas que são interdependentes. Elementos Personalizáeis Você pode personalizar os seguintes componentes de aplicatios: Páginas de inscrição da Web, na qual as pessoas solicitam certificados. Notificações por a eniar após um pedido ser processado. Os tipos e os recursos de certificados que ocê oferece. A saída de política para aplicar sua política de negócios no registro e na certificação. Alterações que Requerem Reinício do Sistema Algumas tarefas de personalização não têm impacto até o sistema ser reiniciado. Se for necessário fazer essas alterações quando o Trust Authority estier executando, ele deerá ser encerrado e iniciado noamente para que elas funcionem. Para o seguinte item, trabalhe atentamente com o administrador do sistema, que marcará quando dee ocorrer o procedimento de reinício: A saída de política para aplicar a política de negócios no processamento de registro e certificação. Suporte para Personalização As informações mais recentes sobre o Trust Authority estão sempre disponíeis no arquio Leia me. Antes de entrar em contato com a IBM para obter suporte, certifique-se de ter a ersão mais recente deste arquio. A ersão mais recente do Leia me está disponíel no site do IBM SecureWay Trust Authority: Com a ersõa mais recente do arquio Leia me, ocê encontrará outras diretrizes suplementares. Elas incluem diretrizes sobre como integrar o Trust Authority com outros produtos no ambiente. Se os recursos na página Biblioteca não responderem as suas questões, entre em contato com o IBM Support Desk no seguinte número de telefone: Obsere que ocê pode solicitar o IBM Support apenas se tier um número de cliente álido e uma concessão de direito de suporte em dia. Copyright IBM Corp. 1999,

22 Inscrição A inscrição é uma solicitação para um certificado. O Trust Authority oferece mais de um método de inscrição, e as políticas de sua organização indicam quais métodos estão disponíeis. Os usuários podem executar um dos seguintes procedimentos: Concluir e submeter um formulário de inscrição do Trust Authority atraés de seus Web browsers. Nas instalações padrão do Trust Authority, os formulários de inscrição estão em uma página da Web chamada Central de Credenciais. Pré-registrar informalmente e fornecer alores de pré-registro ao Trust Authority atraés de um aplicatio Trust Authority Cliente instalado em sua estação de trabalho. Os dados dos formulários de inscrição ão para os registros de bancos de dados que um registrador pode exibir a partir do RA Desktop. Como parte da personalização, sua organização pode dar a essa página um nome diferente ou, de alguma outra forma, alterá-la para dar a ela a aparência e o comportamento dos documentos da organização. Para obter mais informações sobre a inscrição, conforme fornecida na instalação padrão, consulte o Guia do Usuário do Trust Authority. Recurso de Inscrição O recurso de inscrição faz parte do recurso de registro do Trust Authority. Ele inclui as páginas de inscrição da Web e o processamento associado a elas. O recurso de inscrição tem interfaces para os Web browsers de candidatos, para o aplicatio Cliente do Trust Authority e para a saída de política. Você pode personalizar o recurso de inscrição: Altere os elementos das páginas da Web que formam um front-end para o recurso de registro. Altere o texto na carta de notificação por para candidatos. As alterações feitas permitem aplicar as políticas de negócios no processo de inscrição. Páginas de Inscrição da Web Usuários podem solicitar um certificado nas páginas de inscrição da Web do Trust Authority, que podem ser acessadas a partir do Web browser em um URL no seridor da Web público. O nome padrão para essas páginas da Web é Central de Credenciais. Em sua primeira isita, os usuários fazem download de um certificado CA para que o recurso de inscrição possa autenticar o naegador. Depois de obter esse certificado, eles: 1. Selecionam o tipo de inscrição que desejam solicitar: inscrição do naegador; inscrição do seridor ou do dispositio; pré-registro do certificado. Essa opção controla os campos no formulário de inscrição e o tipo de certificado que pode ser especificado no pedido. 2. Preenchem o formulário exibido e o submetem. 3. Retornam posteriormente às páginas de inscrição da Web para descobrir se o pedido foi aproado. Se tier sido, receberão os arquios adequados. 16 Trust Authority: Guia de Personalização

23 Se receberem um certificado do naegador, será feito download para o naegador. Se receberem um certificado do seridor ou do dispositio, o download do certificado será feito de forma que os usuários o transfiram para o seridor ou para o dispositio. Para o pré-registro do certificado, os usuários recebem dados ou uma opção de qual tipo de arquio será feito download. As pessoas que obtêm um certificado do naegador a partir dessas páginas da Web podem retornar a elas para renoar ou reogar seu certificado. Pré-registro O Trust Authority permite a um programa ou a um administrador pré-registrar usuários em potencial. As informações necessárias durante o pré-registro podem ir do usuário em potencial ou de registros de organizações, como informações de um banco de dados. Depois de coletadas as informações, o administrador acessa a página de inscrição a partir de um Web browser. Por meio de um formulário de inscrição, especialmente para pré-registro, eles fornecem as informações de inscrição e solicitam o certificado. Se o pedido for aproado, eles receberão informações para passar ao proprietário do certificado em potencial. Essa pessoa poderá então fazer download do certificado utilizando o aplicatio Cliente do Trust Authority instalado na estação de trabalho. Para obter mais informações sobre pré-registro, consulte o Guia do Usuário do Trust Authority. Aplicatio Cliente do Trust Authority O aplicatio Cliente do Trust Authority oferece um processo simplificado para obtenção de certificado para o domínio de registro da organização. Ele é destinado a usuários que já foram pré-registrados. Utilizando o aplicatio Cliente instalado na estação de trabalho, eles podem solicitar um certificado depois de o pedido de pré-registro ser aproado. Esse aplicatio também fornece diálogos e comandos para ajudar esses usuários a gerenciar seus certificados. Para obter mais informações sobre o aplicatio Cliente, consulte o Guia do Usuário do Trust Authority. Suporte ao Web Browser O Trust Authority permite que usuários criem um pedido de inscrição preenchendo e submetendo um formulário de inscrição atraés de um dos seguintes Web browsers: Saídas de Política Microsoft Internet Explorer, release 4.0 ou posterior. Netscape Naigator ou Communicator, ersão 3.0 ou posterior. O naegador para o RA Desktop requer níeis mais recentes desses naegadores. Você pode modificar ou substituir a saída de política auto_approe de amostra entregue com o Trust Authority. Você também pode graar seus próprios programas de saída de política. Capítulo 4. Sobre... 17

24 Limitações da Saída de Política Deido à maneira na qual os processos de negócios do Trust Authority inocam e comunicam-se com programas de saída de política, as mensagens de entrada e saída da saída de política deem aderir a um formato específico. Esse formato consiste em conjuntos de nomes=pares de alor que são formatados de acordo com a codificação por URL padrão (de maneira similar ao formato de dados eniados a funções CGI quando utilizam o método POST de enio de formulários a partir de páginas HTML). A codificação por URL especifica que: nomes=pares de alor deem ser delimitados por caracteres e comercial (&); caracteres de espaço no alor deem ser substituídos por um sinal de mais (+); outros caracteres determinados que ocorrem em um alor (como os do conjunto x!#$% &()=+ \/ ) deem ser substituídos por um sinal de porcentagem (%) pré-pendente ao equialente hexadecimal do caractere que está sendo substituído. Por exemplo, os seguintes nomes=pares de alor: decision_default=approe username=john Q. Public serão codificados e eniados como: decision_default=approe&username=john+q.+public Obsere que esse formato permite o aninhamento de nomes=pares de alor. Em outras palaras, a parte alor de um par pode realmente incluir outros nomes=pares de alor codificados por URL. Para minimizar a complexidade enolida no uso desse formato de mensagem, a saída de política de amostra utiliza o objeto ramessage, que fornece uma série de métodos para criar mensagens, modificar conteúdo e dinamizar o conteúdo da mensagem real no formato apropriado, sem precisar se preocupar com os detalhes da codificação e decodificação por URL. Os processos de negócios fornecidos com o Trust Authority comunicam-se com as saídas de política por meio de um seriço que utiliza canais para STDIN e STDOUT de programas de saída de política para a troca de mensagens. As saídas de política deem ler os dados da mensagem de entrada a partir do STDIN. As saídas de política deem graar sua resposta no STDOUT. Para manter consistência com os processos de negócios do Trust Authority fornecidos, as saídas de política personalizadas deem definir os seguintes dados de retorno de acordo com a ação a ser executada pelos processos de negócios subseqüentes. Ação Desejada Aproar pedido Pender pedido Executar ação de reogação Rejeitar pedido Nomes=pares de alor a retornar a partir da saída de política reqstatus=aproado reqstatus=pendente ffstatus=reogado reqstatus=rejeitado 18 Trust Authority: Guia de Personalização

25 Registro Interfaces para a Saída de Política A saída de política é uma parte integral do recurso de registro do Trust Authority. Ela permite que uma organização insira lógica de negócios personalizada em ários pontos dos processos de inscrição, aproação e pós-aproação. Por exemplo, quando fornecido, o Trust Authority inoca a saída de política de amostra durante os seguintes processos: Pedidos de inscrição no certificado SSL do naegador. Pedidos de renoação do certificado SSL do naegador. Pedidos de inscrição nos certificados PKCS #10 e PKCS n#7. Pedidos de reogação iniciados pelo usuário final. Pedidos de pré-registro. Pedidos de renoação e reogação iniciados pelo aplicatio Cliente do Trust Authority. Depois de um certificado ser emitido a um Cliente. Durante as ações iniciadas pelo RA Desktop (Aproar, Rejeitar, Pender, Reogar). Sempre que os processos de negócios para suporte de inscrição e do RA Desktop do Trust Authority inocam um programa de saída de política, dois conjuntos importantes de dados são incluídos na mensagem: ariáeis de pedidos e ariáeis de processos de negócios. Variáeis de pedidos são partes de informações obtidas durante o processo de inscrição, tipicamente como o resultado do preenchimento de informações em um formulário pelo usuário, enquanto ariáeis de processos de negócios são partes de informação definidas programaticamente pelos processos de negócios e pela saída de política. Essas ariáeis são adicionadas às mensagens como um conjunto de nomes=pares de alor codificados por URL, conforme segue: request_ars= conjunto codificado por URL de nomes=pares de alor a partir do formulário de inscrição bp_ars= conjunto codificado por URL de nomes=pares de alor definidos por processos de negócios Ambas as ariáeis, de pedido e de processos de negócios para cada pedido processado, são mantidas nos registros de pedidos no banco de dados de registro. Depois de serem adicionadas a um registro de pedido no banco de dados, as ariáeis de pedidos jamais serão modificadas pelos processos de negócios. As ariáeis de processos de negócios, por outro lado, podem ser modificadas pelos processos de negócios, pelos administradores (registradores) que utilizam o RA Desktop ou pela própria saída de política. Registro é o processo de concessão de um Certificado digital a uma pessoa ou outra entidade. No Trust Authority, antes do registro, um programa ou um registrador aalia as informações no pedido de inscrição. Em seguida, independente de o pedido ser aproado ou não, o RA do Trust Authority cria um registro para o pedido no banco de dados de registro. Se o pedido for aproado, o Trust Authority CA emitirá o Certificado. Política de Negócio Quando um programa ou um registrador aalia um pedido de inscrição, eles aplicam as políticas de negócios de sua organização a algumas das informações de inscrição. O tipo de informação que um programa pode aaliar é menos complexo do que o tipo que um administrador aalia. Os alores tendem a ser precisos, como o número mínimo de anos em uma residência. O Trust Authority permite Capítulo 4. Sobre... 19