Handbuch für Sicherheit

10.5
- 10.5.2
- 10.5.1
- 10.4.1

Zurück Weiter

Anforderungen für sichere Kommunikation innerhalb der Domäne

Stellen Sie vor dem Aktivieren sicherer Kommunikation innerhalb der Domäne sicher, dass folgende Anforderungen erfüllt sind:

Sie haben eine Zertifikatssignieranfrage und einen privaten Schlüssel erstellt.: Sie können keytool oder OpenSSL zum Erstellen der Zertifikatssignieranfrage und des privaten Schlüssels verwenden.; Bei Verwendung von RSA-Verschlüsselung müssen Sie mehr als 512 Bit verwenden.

Sie haben ein signiertes SSL-Zertifikat.: Das Zertifikat kann selbstsigniert oder von einer Zertifizierungsstelle signiert sein. Informatica empfiehlt ein von einer Zertifizierungsstelle signiertes Zertifikat.

Sie haben das Zertifikat in Schlüsselspeicher importiert.: Sie müssen über einen Schlüsselspeicher im PEM-Format mit der Bezeichnung
infa_keystore.pem
sowie über einen Schlüsselspeicher im JKS-Format mit der Bezeichnung
infa_keystore.jks
verfügen.; Die Schlüsselspeicherdateien müssen die Root- und SSL-Zwischenzertifikate enthalten.; Das Passwort für den Schlüsselspeicher im JKS-Format muss mit der Passphrase des privaten Schlüssels übereinstimmen, die zum Erzeugen des SSL-Zertifikats verwendet wurde.

Sie haben das Zertifikat in Truststores importiert.: Sie müssen über einen Truststore im PEM-Format mit der Bezeichnung
infa_truststore.pem
sowie über einen Truststore im JKS-Format mit der Bezeichnung
infa_truststore.jks
verfügen.; Die Truststore-Dateien müssen die Root-, Zwischen- und Endbenutzer-SSL-Zertifikate enthalten.

Die Schlüsselspeicher und Truststores befinden sich im richtigen Verzeichnis.: Wenn Sie während der Installation sichere Kommunikation aktivieren, müssen sich der Schlüsselspeicher und der Truststore in einem Verzeichnis befinden, auf das das Installationsprogramm zugreifen kann.; Wenn Sie nach der Installation sichere Kommunikation aktivieren, müssen sich der Schlüsselspeicher und der Truststore in einem Verzeichnis befinden, auf das die Befehlszeilenprogramme zugreifen können.

Sie haben den HSTS-Antwortheader (HTTP Strict Transport Security) erzwungen.: Sie können diese Option verwenden, nachdem Sie das Informatica 10.4.1.2 Service Pack angewendet haben.
Sie können den HSTS-Antwortheader in Ihrer Domäne aktivieren, um MITM-Sicherheitsbedrohungen (Man-in-the-Middle) zu vermeiden. Wenn Sie den HSTS-Antwortheader aktivieren, können Sie HTTP-Umleitungen zu HTTPS stoppen und sicherstellen, dass nur auf gesicherte URLs (HTTPS) zugegriffen wird.; Informatica unterstützt mehrere Anwendungen und Dienste, die sowohl auf HTTP als auch auf HTTPS ausgeführt werden. Wenn Sie diese Option aktivieren, können Sie nicht über die HTTP-URL auf die Anwendungen oder Dienste zugreifen.; Um diese Option zu aktivieren, setzen Sie die Umgebungsvariable INFA_HSTS_HEADER_ENABLED auf
True
und importieren Sie die Zertifikate aus
infa_truststore
und dem Schlüsselspeicher von Informatica Administrator in Ihren Browser.

Richtlinien für die Verwendung von Standard- und benutzerdefinierten Truststore-Dateien

Das Installationsprogramm legt die Standarddateien „infa_truststore.jks“ und „keystore“ im Verzeichnis

<Informatica installation directory>/services/shared/security

auf jedem Knoten ab. Sie können den Standard-Truststore für das Setup und die Machbarkeitsstudie verwenden. Die Standard-Truststore- und Schlüsselspeicherdateien bieten jedoch eingeschränkte Sicherheit. Für die Produktion empfiehlt Informatica die Verwendung benutzerdefinierter Truststore- und Schlüsselspeicherdateien für eine sicherere Kommunikation und SAML-Authentifizierung.

Platzieren Sie benutzerdefinierte Truststore- und Schlüsselspeicherdateien in einem benutzerdefinierten Verzeichnis. Der Truststore-Datei muss folgender Name zugewiesen werden:

infa_truststore.jks

Die Standarddateien sollten weder überschrieben, gelöscht noch verschoben werden. die standardmäßigen Truststore- und Schlüsselspeicherdateien. Platzieren Sie benutzerdefinierte Truststore- und Schlüsselspeicherdateien nicht im Verzeichnis

<Informatica installation directory>/services/shared/security

Verwenden Sie beim Erstellen eines Alias für neue Zertifikate und private Schlüssel nicht den Standardnamen „Informatica LLC“, der von den standardmäßigen Truststore- und Schlüsselspeicherdateien verwendet wird.

Richtlinien zum Erstellen von Zertifikaten und benutzerdefinierten Truststore- und Schlüsselspeicherdateien

Sie können das Java-Keytool-Dienstprogramm zur Schlüssel- und Zertifikatsverwaltung zum Erstellen eines SSL-Zertifikats oder eines CSR (Certificate Signing Request) sowie von Schlüsselspeicherdateien und Truststore-Dateien im JKS-Format verwenden.

Das Keytool ist im folgenden Verzeichnis auf Domänenknoten verfügbar:

<Informatica installation directory>\java\bin

Wenn die Domänenknoten auf AIX ausgeführt werden, können Sie das bereitgestellte Keytool mit dem IBM JDK zum Erstellen eines SSL-Zertifikats oder eines CSR (Certificate Signing Request) sowie von Schlüsselspeicherdateien und Truststore-Dateien verwenden.

Kopieren Sie die Zertifikatsdateien in einen lokalen Ordner auf einem Gateway-Knoten innerhalb der Informatica-Domäne.

Wechseln Sie von der Befehlszeile zum Speicherort des Keytool-Dienstprogramms auf dem Knoten.

Führen Sie zum Importieren des Zertifikats das Keytool-Dienstprogramm aus.

Starten Sie den Knoten neu.

Nächste Schritte

Weitere Informationen zum Erstellen eines benutzerdefinierten Schlüsselspeichers und Truststores und zum Importieren von Zertifikaten in Ihren Browser finden Sie im Artikel „How to Create Keystore and Truststore Files for Secure Communication in the Informatica Domain“ in der Informatica How-To Library: https://docs.informatica.com/data-integration/shared-content-for-data-integration/h2l/how-to-create-keystore-and-truststore-files-for-secure-communica/abstract.html

Konfigurieren Sie nach dem Sichern der Domäne die Informatica-Client-Anwendungen zur Zusammenarbeit mit einer sicheren Domäne.

Sichere Kommunikation für Dienste und den Dienstmanager

Handbuch herunterladen

Feedback senden

Communities

Knowledge Base

Erfolgsportal