Vorgehensweise zum Aktivieren von FIPS auf der Site Recovery Manager 9.0.1-Appliance

In diesem Thema wird die erforderliche Aufgabe beschrieben, die Sie ausführen müssen, um den FIPS-Modus (Federal Information Processing Standards) auf der Site Recovery Manager 9.0.1-Appliance zu aktivieren.

Hinweis: Das Zertifikatdateiformat PKCS#12 wird in der Zertifikatkonfiguration im FIPS-Modus nicht unterstützt. Beim Dateiformat PKCS#12 werden Nicht-FIPS-konforme Algorithmen als Standardspezifikation verwendet.

Voraussetzungen

Verwenden Sie bei der Bereitstellung Ihrer Umgebung unbedingt vertrauenswürdige Zertifikate.

Prozedur

Bearbeiten Sie die Konfigurationsdateien für die Site Recovery Manager-Dienste.
1. Navigieren Sie zu /opt/vmware/dr/conf/drconfig.xml, öffnen Sie die Datei und ändern Sie die folgende Einstellung.
```
<Config>
    <vmacore>
        <ssl>
            <fips>true</fips>
        </ssl>
    </vmacore>
</Config>
```
2. Navigieren Sie zu /opt/vmware/srm/conf/vmware-dr.template.xml, öffnen Sie die Datei und ändern Sie die folgende Einstellung.
```
<Config>
    <vmacore>
        <ssl>
            <fips>true</fips>
        </ssl>
    </vmacore>
</Config>
```
3. (Optional) Wenn die Appliance konfiguriert ist, bearbeiten Sie die Datei /opt/vmware/srm/conf/vmware-dr.xml.
```
<Config>
    <vmacore>
        <ssl>
            <fips>true</fips>
        </ssl>
    </vmacore>
</Config>
```
Starten Sie die Site Recovery Manager-Dienste im strikten Modus.
1. Bearbeiten Sie /usr/lib/systemd/system/dr-configurator.service. Heben Sie die Auskommentierung der Zeilen unter # Uncomment to enable FIPS auf.
  Das Dateifragment muss wie folgt aussehen.
```
# Uncomment to enable FIPS
Environment=OPENSSL_MODULES=/opt/vmware/dr/lib/ossl-modules
Environment=OPENSSL_CONF=/opt/vmware/etc/dr/ssl/openssl.cnf
```
2. Bearbeiten Sie /usr/lib/systemd/system/srm-server.service. Heben Sie die Auskommentierung der Zeilen unter # Uncomment to enable FIPS auf.
  Das Dateifragment muss wie folgt aussehen.
```
# Uncomment to enable FIPS
Environment=OPENSSL_MODULES=/opt/vmware/dr/lib/ossl-modules
Environment=OPENSSL_CONF=/opt/vmware/etc/dr/ssl/openssl.cnf
```
3. Starten Sie den dr-configurator und den srm-server neu. Führen Sie die folgenden Befehle aus.
```
systemctl daemon-reload
systemctl restart dr-configurator
systemctl restart srm-server
```
Melden Sie sich bei der Appliance als Benutzer root an und bearbeiten Sie die Kernel-Cmdline.
1. Öffnen Sie /boot/grub/grub.cfg.
2. Suchen Sie nach dem Eintrag menuentry.
3. Fügen Sie Folgendes am Ende der Zeilen in jedem menuentry hinzu, der mit linux beginnt.
  fips=1
4. Speichern Sie die Datei.
Starten Sie die Config-Benutzeroberfläche im strikten Modus.
1. Bearbeiten Sie /opt/vmware/drconfigui/conf/service.env. Heben Sie die Auskommentierung des Umgebungsvariablensatzes FIPS_ENABLED=True auf.
  Das Dateifragment muss wie folgt aussehen.
```
# Environment variable to mark is FIPS mode enabled
# Uncomment to enable FIPS
FIPS_ENABLED=True
```
2. (Optional) Starten Sie den drconfigui-Dienst neu, wenn FIPS bereits für die Appliance aktiviert ist.
  systemctl restart drconfigui
Starten Sie die Benutzeroberfläche im strikten Modus.
1. Bearbeiten Sie /opt/vmware/dr-client/conf/service.env. Heben Sie die Auskommentierung des Umgebungsvariablensatzes FIPS_ENABLED=True auf.
  Das Dateifragment muss wie folgt aussehen.
```
# Environment variable to mark is FIPS mode enabled
# Uncomment to enable FIPS
FIPS_ENABLED=True
```
2. Bearbeiten Sie die /opt/vmware/dr-client/lib/h5dr.properties und ändern Sie die Parameter so, dass sie auf einen Keystore im BCFKS-Format und einen Truststore mit Root-CA-Zertifikaten verweisen.
  Die Eigenschaft muss wie folgt aussehen.
```
drTrustStorePass=<same as keyStorePass>
drTrustStoreName=h5dr.truststore.bks
keyStoreName=h5dr.keystore.bks
```
3. Bearbeiten Sie die Datei /opt/vmware/dr-client/lib/h5dr.properties und ändern Sie die Parameter so, dass sie auf einen Keystore im BCFKS-Format und einen Truststore mit Root-CA-Zertifikaten verweisen.
  Die Eigenschaft muss wie folgt aussehen.
```
drTrustStorePass=<same as keyStorePass>
drTrustStoreName=h5dr.truststore.bks
keyStoreName=h5dr.keystore.bks
```
  Wenn Sie einen anderen Truststore als den Standard-Truststore verwenden möchten, müssen Sie einen Link zum Truststore in /opt/vmware/dr-client/lib/ oder /opt/vmware/dr-client/webapps/dr/WEB-INF/classes/ hinzufügen. Das Keystore-Format muss BCFKS sein. Verwenden Sie den folgenden Befehl für den Import aus dem JKS-Format.
```
$JAVA_HOME/bin/keytool -importkeystore -srckeystore <path-to-jks-keystore> -srcstoretype JKS -srcstorepass <keystorepass> -destkeystore <path-to-target-bks-keystore> -deststoretype BCFKS -deststorepass <keystorepass> -provider org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath /opt/vmware/dr-client/lib/ext/bc-fips-1.0.2.4.jar
```
  Hinweis: Die von Ihnen verwendeten Keystore- und Truststore-Dateien müssen über die Berechtigung Andere: Lesen verfügen. Nach der Neukonfiguration der Appliance müssen Sie die Datei /opt/vmware/dr-client/lib/h5dr.properties gemäß den obigen Regeln erneut bearbeiten.
4. (Optional) Starten Sie den dr-client-Dienst neu, wenn FIPS bereits für die Appliance aktiviert ist.
  systemctl restart dr-client
Starten Sie das UI-Plug-In (dr-client-plugin) im strikten Modus.
1. Bearbeiten Sie /opt/vmware/dr-client-plugin/conf/service.env. Heben Sie die Auskommentierung des Umgebungsvariablensatzes FIPS_ENABLED=True auf.
  Das Dateifragment muss wie folgt aussehen.
```
# Environment variable to mark is FIPS mode enabled
# Uncomment to enable FIPS
FIPS_ENABLED=True
```
2. (Optional) Starten Sie den dr-client-plugin-Dienst neu, wenn FIPS bereits für die Appliance aktiviert ist.
  systemctl restart dr-client-plugin
Starten Sie den REST API-Dienst (dr-rest) im strikten Modus.
1. Bearbeiten Sie /opt/vmware/dr-rest/conf/service.env. Heben Sie die Auskommentierung des Umgebungsvariablensatzes FIPS_ENABLED=True auf.
  Das Dateifragment muss wie folgt aussehen.
```
# Environment variable to mark is FIPS mode enabled
# Uncomment to enable FIPS
FIPS_ENABLED=True
```
2. Bearbeiten Sie die /opt/vmware/dr-rest/lib/dr-rest-api.properties und fügen Sie Parameter so hinzu, dass sie auf einen Keystore im BCFKS-Format und einen Truststore mit Root-CA-Zertifikaten verweisen.
  Die Eigenschaft muss wie folgt aussehen.
```
drTrustStorePass=<same as the keyStorePass of dr-client>
drTrustStoreName=dr-rest.truststore.bks
```
3. (Optional) Starten Sie den dr-rest-Dienst neu, wenn FIPS bereits für die Appliance aktiviert ist.
  systemctl restart dr-rest
Starten Sie den VMware Live Recovery-Agent-Dienst (dr-dpx-agent) im strikten Modus.
1. Bearbeiten Sie die Datei /opt/vmware/dr-dpx-agent/conf/service.env.
```
# Environment variable to mark is FIPS mode enabled
# Uncomment to enable FIPS
FIPS_ENABLED=True
```
2. Starten Sie den dr-dpx-agent-Dienste auf der Appliance neu.
  systemctl restart dr-dpx-agent
Starten Sie die Appliance neu.

Hinweis: SSHD liest, dass der Kernel den FIPS-Modus aktiviert hat, und aktiviert ihn auch. In der SSHD-Konfiguration muss keine Bearbeitung vorgenommen werden.

Nächste Maßnahme

Überprüfen Sie, ob der FIPS-Modus aktiviert ist.