Como atualizar o certificado dos serviços Dell Encryption usando um certificado existente no keystore da Microsoft

1. Digite Iniciar | Execute | MMC.

Figura 56: (Somente em inglês) Executar o MMC

2. Clique em Arquivo | Adicionar/Remover snap-ins.

Figura 57: (Somente em inglês) Clique em Adicionar ou remover snap-ins

3. Na janela Adicionar ou Remover snap-ins, selecione Certificados e clique em Adicionar.

Figura 58: (Somente em inglês) Adicionar certificados

4. Selecione o botão de opção Conta de computador quando solicitado e clique em Avançar.

Figura 59: (Somente em inglês) Conta de computador

5. Selecione Computador local (selecionado por padrão) e clique em Concluir.

Figura 60: (Somente em inglês) Computador local: (o computador em que este console está sendo executado)

6. Na janela Adicionar ou remover snap-ins, clique em OK.

Figura 61: (Somente em inglês) Clicar em OK

7. No console principal do MMC, clique no símbolo de adição (+) para expandir o snap-in do certificado.

Figura 62: (Somente em inglês) Importar

8. Acesse Personal | Painel Certificados .
9. Clique com o botão direito no painel Certificados e clique em Todas as tarefas | Importar para iniciar o Assistente para importação de certificados.

Figura 63: (Somente em inglês) Assistente para importação de certificados

10. Siga o assistente para importar o certificado assinado juntamente com a chave privada. O arquivo de certificado deve estar em um formato de contêiner com o certificado do usuário final e sua chave privada.

Figura 64: (Somente em inglês) Clique em Avançar e siga o assistente para importar o certificado assinado

11. Clique em Navegar.

Figura 65: (Somente em inglês) Clique em Procurar

12. Na caixa de diálogo Abrir:
    1. Altere o arquivo para Troca de informações pessoais (*.pfx, *.p12).
    2. Procure e selecione o certificado que deseja importar (ddpe.pfx é o certificado usado no exemplo).
    3. Clique em OK.

Figura 66: (Somente em inglês) Troca de informações pessoais (*.pfx, *.p12)

13. Na tela Proteção de chave privada:
    1. Como opção, informe uma senha
    2. Selecione a opção Marcar esta chave como exportável. Isso permite que você faça backup ou transporte as chaves posteriormente.
    3. Selecione a opção Incluir todas as propriedades estendidas.
    4. Clique em Next.

Figura 67: (Somente em inglês) Proteção de chave privada

14. Selecione Colocar todos os certificados no repositório a seguir: Pessoal e clique em Avançar.

Figura 68: (Somente em inglês) Repositório de certificados

15. Clique em Finish.

Figura 69: (Somente em inglês) Clique em Concluir

Exportar o certificado com a chave privada e o caminho de certificação do MMC.

1. Abra o menu Iniciar e selecione Executar.

Figura 70: (Somente em inglês) Abrir Executar 

2. Digite MMC e clique em OK.

Figura 71: (Somente em inglês) Digitar MMC

3. Clique em Arquivo no menu superior do MMC e selecione Adicionar/Remover snap-ins.

Figura 72: (Somente em inglês) Selecionar Adicionar/Remover snap-ins

4. No painel Snap-ins disponíveis da janela Adicionar ou remover snap-ins, selecione Certificados e clique no botão Adicionar > que abre a janela Snap-in de certificados.

Figura 73: (Somente em inglês) Abrir Snap-in de certificados

5. Selecione o botão de opção Conta do computador e clique no botão Avançar >.

Figura 74: (Somente em inglês) Conta de computador

6. Clique no botão Concluir para fechar a janela Snap-in de certificados.

Figura 75: (Somente em inglês) Computador local (o computador em que este console está sendo executado)

7. Clique em OK na janela Adicionar ou remover snap-ins para concluir a inclusão do snap-in.

Figura 76: (Somente em inglês) Clicar em OK

8. Na janela MMC, expanda Certificados (Computador local) e a pasta Pessoal. Em seguida, selecione a pasta Certificados.

Figura 77: (Somente em inglês) Selecionar certificados

9. Determine o certificado que deseja exportar. Clique com o botão direito no certificado, selecione Todas as tarefas e escolha Exportar.

Figura 78: (Somente em inglês) Exportar

10. No Assistente para exportação de certificados, clique no botão Avançar >.

Figura 79: (Somente em inglês) Assistente para exportação de certificados

11. Na tela Exportar chave privada, selecione o botão de opção Sim, exportar a chave privada e clique no botão Avançar >.

Figura 80: (Somente em inglês) Exportar chave privada

12. Na tela Formato do arquivo de exportação, selecione o botão de opção Troca de informações pessoais — PKCS nº 12 (.PFX), selecione Incluir todos os certificados no caminho de certificação, se possível e a caixa de seleção Exportar todas as propriedades estendidas e clique em Avançar.

Figura 81: (Somente em inglês) Troca de informações pessoais — PKCS nº 12 (.PFX)

13. Atribua uma senha ao arquivo e clique no botão Avançar >.

Figura 82: (Somente em inglês) Criar senha

14. Escolha a localização e o nome do arquivo de exportação e clique em Avançar.

Figura 83: (Somente em inglês) Escolha o local e o nome do arquivo de exportação

15. Clique no botão Concluir.

Figura 84: (Somente em inglês) Clique em Concluir

• Crie uma pasta na raiz de C chamada Cert e mova o PFX exportado da etapa "Exportar o certificado com a chave privada e o caminho de certificação do MMC" para essa pasta.
• Faça uma cópia do arquivo cacerts do diretório C:\Program Files\Dell\Enterprise Edition\Security Server\Conf e copie-o na pasta C:\Cert.
• Obtenha o nome de alias do certificado exportado.
  • Abra um prompt de comando de administrador.
  • No prompt de comando, adicione o diretório Java bin ao caminho. O exemplo de comando a seguir usa a pasta de instalação padrão para a pasta java bin e pode precisar ser atualizado.
  • Set path=%path%;C:\Arquivos de Programas\Dell\Java Runtime\jre1.7\bin

Figura 85: (Somente em inglês) Digitar set path=%path%; C:\Arquivos de Programas\Dell\Java Runtime\jre1.7\bin

• No prompt de comando, vá para a pasta no diretório C:\Cert.
• Execute o utilitário da ferramenta de chave para listar as informações no certificado exportado. O comando a seguir deve ser atualizado com os valores usados ao exportar o certificado (PFX). Depois que o comando for executado, a senha do certificado exportado deverá ser fornecida para acessar as informações.
  • Comando:
    • keytool -list -v -keystore -storetype PKCS12
  • Parâmetros:
    • — o nome do arquivo de certificado exportado

Figura 86: (Somente em inglês) Digite: keytool -list -v -keystore -storetype PKCS12

• Registre o valor após o nome de alias, a partir do resultado do comando anterior.
• Importe o certificado para o arquivo cacerts.
  • No prompt de comando aberto na primeira etapa, execute o utilitário de ferramenta de chaves para importar o arquivo PFX exportado para um arquivo cacerts. O comando a seguir deve ser atualizado com as informações coletadas durante todo o processo até o momento. Depois que o comando for executado, a senha para o certificado exportado deverá ser fornecida para acessar as informações a serem importadas.
  • Feche o prompt de comando.
    • Comando:
      • keytool -importkeystore -v -srckeystore -srcstoretype  PKCS12 -srcalias -destkeystore -deststorepass -destalias -destkeypass
    • Parâmetros:
      • — o nome do arquivo de certificado exportado
      • — o nome do alias registrado anteriormente
      • — o nome do arquivo cacerts atualizado.
      • — a senha que protege todas as informações armazenadas no arquivo cacerts. Ela deve corresponder ao valor da senha do alias cacerts.
      • — o alias em que as informações do certificado são armazenadas no arquivo cacerts. É recomendável, mas não necessário, fazer esse ddpe.
      • — a senha que protege as informações armazenadas no alias especificado no arquivo cacerts. Ela deve corresponder ao valor do .

Figura 87: (Somente em inglês) Digite: keytool -importkeystore -v -srckeystore -srcstoretype  PKCS12 -srcalias -destkeystore -deststorepass -destalias -destkeypass

• Faça backup do arquivo cacerts existente para os serviços Java:
  • Interrompa cada serviço na lista abaixo. Dependendo da arquitetura do ambiente e da versão do servidor instalada, todos os serviços na lista podem não estar presentes.
  • Renomeie o arquivo cacerts existente para cacerts. DDMMYY, em que DDMMYY é a data no formato de dois dígitos, dia, mês e ano. O arquivo cacerts está na pasta conf dentro da pasta de instalação do serviço.
    • Compliance Reporter — a localização padrão do serviço Compliance Reporter é C:\Arquivos de Programas\Dell\Enterprise Edition\Compliance Reporter.
    • Device Server — a localização padrão do serviço Device Server é C:\Arquivos de Programas\Dell\Enterprise Edition\Device Server.
    • Identity Server — a localização padrão do serviço Identity Server é C:\Arquivos de Programas\Dell\Enterprise Edition\Identity Server.
    • Security Server — a localização padrão do serviço Security Server é C:\Arquivos de Programas\Dell\Enterprise Edition\Security Server.
    • Console Web Services — a localização padrão do serviço Console Web é C:\Arquivos de Programas\Dell\Enterprise Edition\Console.
    Nota: O Console Web Services ficou obsoleto no Dell Security Management Server (antigo Dell Data Protection | Enterprise Edition) v9.2.
• Copie o arquivo cacerts gerado na pasta conf em cada serviço que foi submetido a backup.

• Atualize os arquivos application.properties e eserver.properties com os novos valores cacerts.

  
  Figura 88: (Somente em inglês) Atualizar application.properties e eserver.properties

  • Abra o arquivo application.properties/eserver.properties e atualize os valores a seguir. Todos os valores podem não estar presentes em um ou mais arquivos de configuração para cada serviço. Se um valor não estiver presente, ignore-o e atualize os valores restantes presentes nos arquivos.
  • eserver.keystore.password — ela deve estar atualizada com a senha atribuída ao arquivo de repositório de chaves java, cacerts. O valor deve estar formatado como o exemplo abaixo.
    • eserver.keystore.password=password
  • keystore.password — ela deve estar atualizada com a senha de alias da senha do repositório de chaves java, cacerts. O valor deve estar formatado como o exemplo abaixo.
    • keystore.password = CLR (senha)
  • Depois que o serviço é iniciado, o valor é criptografado e a configuração fica assim.
    • keystore.password = ENC (senha criptografada)
  • keystore.alias.ssl — esse valor diferencia maiúsculas de minúsculas e deve ser atualizado para corresponder exatamente ao alias cacerts.
  • keystore.alias.signing — esse valor diferencia maiúsculas de minúsculas e deve ser atualizado para corresponder exatamente ao alias cacerts.
  • Exemplos de localizações de arquivos e definições de configuração
  • Security Server:
    • localização do arquivo application.properties
    • configurações de application.properties
    • keystore.password=CLR(changeit)
    • keystore.alias.ssl=ddpe
    • keystore.alias.signing=ddpe
  • Compliance Reporter:

    
    Figura 89: (Somente em inglês) eserver.properties

    • Localização do arquivo eserver.properties
    • Configurações de eserver.properties
    • eserver.keystore.password=changeit
  • Device Server:
    • localização do arquivo application.properties

      
      Figura 90: (Somente em inglês) appliation.properties

      • configurações de application.properties
      • keystore.password=CLR(changeit)
      • keystore.alias.ssl=ddpe
• Reinicie os serviços interrompidos na etapa anterior.
• Valide a impressão digital acessando https://server:8443/xapi/, https://server:8084/reporter e https://server:8081/xapi e realizando as etapas a seguir para cada URL
  • Clique no ícone de cadeado.

    
    Figura 91: (Somente em inglês) Ir para a URL do servidor

  • Clique em Exibir Certificados.

    
    Figura 92: (Somente em inglês) Exibir certificado

  • Clique na guia Detalhes.

    
    Figura 93: (Somente em inglês) Clique na guia Details (Detalhes)

  • Role para baixo e clique em Impressão digital para visualizar a impressão digital e validar se cada serviço está usando o certificado adequado.

    
    Figura 94: (Somente em inglês) Clique em Impressão digital

Nota: A importação do certificado DM pode estar indisponível ao usar a autenticação do Windows para SQL. Execute a ação "Configuração de banco de dados de teste" para ativar a opção.

• Atualize os certificados de serviço .net usando a Ferramenta de configuração do servidor.
  • Interrompa os serviços Core Server e Compatibility Server.
  • Inicie a Ferramenta de configuração do servidor e selecione Configurar certificados no item do menu Ações que abre o Assistente de certificados.

    
    Figura 95: (Somente em inglês) Configurar certificado

  • Clique no botão Next e selecione o botão de opção Advanced na tela Certificate Wizard Mode e clique em Next.

    
    Figura 96: (Somente em inglês) Avançado

  • Na tela Core Server SSL Certificate: Selecione o botão de opção Select Certificate e clique em Next.

    
    Figura 97: (Somente em inglês) Selecionar certificado

  • Na tela Select Core Server SSL Certificate, clique no botão Browse...
  • Em seguida, na tela Browse For Certificate, selecione o certificado a ser usado e clique em OK.
  • Depois de voltar à tela Select Core Server SSL Certificate, clique em Next.

    
    Figura 98: (Somente em inglês) Selecionar o certificado e clicar em Next

  • Repita as etapas para o Certificado de segurança de mensagens.
  • Clique em Finish.
• Atualizar o certificado do Dell Manager.
  • Selecione Importar certificado DM no item de menu Ações.

    
    Figura 99: (Somente em inglês) Importar certificado DM

  • Localize o arquivo PFX exportado e clique no botão Abrir.

    
    Figura 100: (Somente em inglês) Abrir arquivo PFX exportado

  • Informe a senha do arquivo PFX exportado e clique no botão OK.

    
    Figura 101: (Somente em inglês) Digite a senha

  • Feche a Ferramenta de configuração do servidor e inicie os serviços Core Server e Compatibility Server.

Durante uma nova instalação ou um upgrade do Dell Data Protection | Encryption 8.x, o instalador principal pode fazer com que o certificado gerado para o Security Server tenha informações ausentes. As informações ausentes podem incluir, mas não se limitam a: o alias do servidor de assinatura não fornece o Nome de domínio totalmente qualificado (FQDN) padrão ou o Security Server pode não ter um certificado de servidor. Este artigo mostra como contornar esse problema.

Mensagem de erro

Security Server Service will not start and review of the Security Server "Wrapper.log" displays the following error message "Error: Invocation of init method failed; nested exception is java.lang.Exception: SSL cert with alias not found in keystore"

Solução temporária

Para contornar esse problema, usar apenas o keytool não gera corretamente um certificado de substituição. Execute as etapas a seguir para gerar o certificado de substituição.

1. Substitua o arquivo cacerts atual do Security Server por um arquivo cacerts copiado do Device Server.
2. Interrompa o serviço do Security Server se ele estiver em execução.
3. Renomeie o arquivo cacerts encontrado na pasta \Arquivos de Programas\...\Security Server\conf como um backup.
4. Copie o arquivo cacerts da pasta DS\conf para a pasta Security Server\conf.
5. Execute o keytool em um prompt de comando e localize o alias do arquivo cacerts.

6. Digite asenha do keystore