WMQ AMS密钥库

Question

我可以为我的应用程序已经使用的AMS使用相同的密钥库和证书吗？

Answer 1

如果需要，您也可以选择使用单独的证书和/或密钥库。 keystore.conf文件包含密钥库的详细信息以及AMS用于加密和签署消息的证书的标签。这可以指向应用程序用于连接到WebSphere MQ的相同证书，应用服务器用于SSL连接的相同证书或专用于AMS的完全独立的密钥库。

关键（原谅双关语）是基于所需的安全模型来管理密钥库。应用程序服务器的密钥库可能在其信任库中有许多面向外部的证书。例如，它可能会信任多个商业证书颁发机构。 AMS密钥库必须包含任何将签名或加密消息的人的证书，以便您的应用程序使用或接收来自应用程序的加密消息。由于这些通常是面向内部的，因此对于AMS使用单独的密钥库可能是值得的，而不是面向外部实体的密钥库。否则，两种不同的安全模型（面向内部的和面向外部的）最终会相互信任其他参与者。

这只是一个例子，通常这个想法是基于所需的特定安全模型和使用最小信任原则构建密钥库。您必须平衡维护单独密钥库的成本与维护单个密钥库的额外安全性。