test

Sun Java System Messaging Server 6.3 管理指南

24.4 安装 Messaging Server 后开始使用

本节说明了什么是 S/MIME applet，并提供了为 Communications Express Mail 设置 S/MIME 的基本配置过程。该配置过程包括设置 S/MIME applet 的参数及 Messaging Server 的选项。

24.4.1 S/MIME Applet

对邮件进行签名、加密或解密的过程以及验证私钥和公钥的各个步骤都由一个特殊的 applet 来处理，该 applet 称为 S/MIME applet。可以通过 smime.conf 文件中的参数和 Messaging Server 选项来配置 S/MIME 功能。图 24–1 显示了 S/MIME Applet 与其他系统组件的关系。

图 24–1 S/MIME Applet

图形显示了 S/MIME applet 与其他系统组件的关系。

24.4.1.1 首次登录

具有使用 S/MIME 权限的 Communications Express Mail 用户首次登录到 Messaging Server 时，系统将显示有关 S/MIME applet 的一系列特定提示。用 "Yes" 或 "Always" 回答完提示问题后，S/MIME applet 即被下载到计算机中。此 applet 将始终保留在计算机中，直至注销 Communications Express Mail。

有关更多信息，请参阅24.11 管理证书。

24.4.1.2 下载 S/MIME Applet

用户每次登录 Communications Express Mail 时都将下载 S/MIME Applet，除非在用户计算机上针对 Java 2 Runtime Environment (JRE) 启用了高速缓存。启用高速缓存后，S/MIME Applet 的副本会在首次下载之后保存在用户计算机上，这样，用户就不必每次登录时都下载此 Applet。

高速缓存可以提高性能，您可以指导用户执行以下步骤来针对 Java 2 Runtime Environment 版本 1.4.x 启用高速缓存：

Procedure针对 Java 2 Runtime Environment 版本 1.4 启用高速缓存

  1. 转至 Windows 控制面板。

  2. 双击“Java Plug-in”图标 (Java 2 Runtime Environment)。

  3. 单击“高速缓存”选项卡。

  4. 选中“启用高速缓存”复选框。

  5. 单击“应用”。

    下载之后，用户不会感觉到 S/MIME applet 的存在。而看起来似乎是 Communications Express Mail 在对邮件进行签名、加密或解密。如果不弹出错误消息，则用户也感觉不到验证私钥或公钥的过程。有关更多信息，请参阅24.9 验证私钥和公钥。

24.4.2 基本的 S/MIME 配置

S/MIME 的配置文件 smime.conf 包含每个 S/MIME 参数的描述性注释和示例。Messaging Server 附带有 smime.conf 文件，该文件位于目录 msg-svr-base/config/ 中，其中 msg-svr-base 是安装 Messaging Server 的目录。

以下过程包含配置 S/MIME 功能必需的最少步骤：

Procedure配置 S/MIME

  1. 安装 Messaging Server 之后，验证 Communications Express Mail 的基本功能是否可以正常工作。

  2. 如果尚未执行此操作，请为有权使用 S/MIME 功能的所有邮件用户创建或获取私钥-公钥对和标准 X.509 v3 格式的证书。

  3. 如果使用智能卡存储密钥和证书，则请执行以下操作：

    1. 将智能卡分发到邮件用户。

    2. 确保已在从中访问 Communications Express Mail 的每台客户机上正确地安装了智能卡读卡设备和软件。

  4. 如果使用浏览器的本地密钥库存储密钥和证书，请指导邮件用户如何将密钥对和证书下载到本地密钥库。

  5. 确保客户机上具有正确的库，以支持智能卡或本地密钥库。请参见24.8 客户机的密钥访问库

  6. 设置 LDAP 目录以支持 S/MIME：

    1. 使用证书授权机构的标识名将 CA 的所有证书存储在 Directory Server 可以访问的 LDAP 目录中。这些证书的 LDAP 属性为 cacertificate;binary。请记下存储这些内容的目录信息。在后面的步骤中将用到这些信息。

      有关指定 LDAP 目录信息的示例，请参见表 24–3 中的 trustedurl；有关搜索 LDAP 目录的信息，请参见24.11 管理证书。

    2. 在 Directory Server 可以访问的 LDAP 目录中存储公钥和证书。公钥和证书的 LDAP 属性为 usercertificate;binary。请记下存储这些内容的目录信息。在后面的步骤中将用到这些信息。

      有关指定 LDAP 目录信息的示例，请参见表 24–3 中的 certurl；有关搜索 LDAP 目录的信息，请参见24.11 管理证书。

    3. 确保发送或接收 S/MIME 邮件的所有用户都可以通过其用户条目中的 LDAP 过滤器使用 S/MIME。过滤器是通过 mailAllowedServiceAccess 或 mailDomainAllowedServiceAccess LDAP 属性来定义的。

      注释：默认情况下，如果未使用 mailAllowedServiceAccess 或 mailDomainAllowedServiceAccess，则将允许所有包括 smime 的服务。如果要使用这些属性明确指定服务，则必须指定服务 http、smtp 和 smime，以授予邮件用户使用 S/MIME 功能的权限。

      有关更多信息，请参见24.10 授予使用 S/MIME 功能的权限。

  7. 用任何可用的文本编辑器来编辑 smime.conf 文件。有关参数的语法，请参见文件开头的注释。

    smime.conf 中的所有文本和示例参数前面都带有注释字符 (#)。可以将所需参数添加到 smime.conf 中，或将参数示例复制到文件的其他部分并更改参数示例的值。如果要复制并编辑示例，请确保删除示例行开头的 # 字符。

    将这些参数添加到文件中各自对应的行中：

    1. trustedurl（请参见表 24–3）—设置为 LDAP 目录信息，以查找 CA 的证书。使用在步骤 a 中保存的信息。

    2. certurl（表 24–3）—设置为 LDAP 目录信息，以查找公钥和证书。使用在步骤 b 中保存的信息。

    3. usersertfilter（请参见表 24–3）—设置为 smime.conf 文件中的示例的值。该示例值通常都是指必需的过滤器。复制示例并删除示例行开头的 # 字符。

      该参数指定 Communications Express Mail 用户的主、备用和等效电子邮件地址的过滤器定义，以确保在将用户的私钥-公钥对分配给其他邮件地址时可以找到这些密钥对。

    4. sslrootcacertsurl（请参见表 24–3）—如果要将 SSL 用作 S/MIME Applet 和 Messaging Server 之间的通信链路，则应使用 LDAP 目录信息设置 sslrootcacertsurl 以查找 CA 的证书（这些证书用于验证 Messaging Server 的 SSL 证书）。有关更多信息，请参见24.7 使用 SSL 确保 Internet 链路的安全。

      checkoverssl（请参见表 24–3）—如果不将 SSL 用作 S/MIME Applet 和 Messaging Server 之间的通信链路，则设置为 0。

    5. crlenable（请参见表 24–3）—设置为 0 将立即禁用 CRL 检查，因为执行 CRL 检查可能会要求向 smime.conf 文件添加其他参数。

    6. logindn 和 loginpw（表 24–3）—如果需要进行验证才能访问包含公钥和 CA 证书的 LDAP 目录，则请将这些参数设置为具有读权限的 LDAP 条目的标识名和密码。

      注释：每次使用由 crlmappingurl、sslrootcacertsurl 或 trustedurl 参数指定的 LDAP 信息访问 LDAP 目录，都应使用 logindn 和 loginpw 的值。有关详细信息，请参见24.5 smime.conf 文件的参数和24.4.3 使用证书访问 LDAP 中的公钥、CA 证书和 CRL。

      如果访问 LDAP 目录时不需要进行验证，请勿设置 logindn 和 loginpw。

  8. 使用 configutil 设置 Messaging Server 选项：

    1. local.webmail.smime.enable—设置为 1。

    2. local.webmail.cert.enable—如果要根据 CRL 验证证书，则设置为 1。

      有关更多信息，请参见24.6 Messaging Server 选项。

  9. 现在已将 Communications Express Mail 配置为可以使用 S/MIME 功能。请执行以下步骤验证 S/MIME 功能是否可以正常工作：

    1. 重新启动 Messaging Server。

    2. 检查 Messaging Server 日志文件 msg-svr-base/log/http，以了解与 S/MIME 相关的诊断消息。

    3. 如果检测到任何有关 S/MIME 的问题，则诊断消息将帮助您确定如何使用配置参数来解决这些问题。

    4. 更正必要的配置参数。

    5. 重复步骤 a. 到 d.，直至 Messaging Server 的日志文件中不再出现任何有关 S/MIME 的诊断消息。

    6. 执行以下步骤检查 S/MIME 功能是否可以正常工作：

      1. 从客户机上登录到 Messaging Server。用 "Yes" 或 "Always" 回答 S/MIME applet 的特定提示问题。请参见24.11 管理证书。

      2. 撰写一条发送给您自己的短消息。

      3. 通过选中“撰写”窗口底部的“加密”复选框（如果尚未选中）来对消息进行加密。

      4. 单击“发送”以将加密消息发送给您自己。这将检验密钥和证书的大多数机制。

      5. 如果发现加密消息存在问题，则问题最有可能出在 smime.conf 文件中用于 LDAP 目录信息的值上和/或在 LDAP 目录中存储密钥和证书的方式上。请检查 Messaging Server 日志以获得更多诊断消息。

        下表中总结的其他 S/MIME 参数提供了许多选项，您可以使用这些选项进一步配置 S/MIME 环境。有关这些参数的更多信息，请参见24.5 smime.conf 文件的参数。

        S/MIME 必需的参数 

        用于智能卡和本地密钥库的参数 

        用于 CRL 检查的参数 

        用于初始设置和安全链路的参数 

        certurl* 

        platformwin 

        checkoverssl 

        alwaysencrypt 

        logindn 

        		 

        crlaccessfail 

        alwayssign 

        loginpw 

        		 

        crldir 

        sslrootcacertsurl 

        trustedurl* 

        		 

        crlenable 

        		 

        usercertfilter* 

        		 

        crlmappingurl 

        		 
           

        crlurllogindn 

        		 
           

        crlurlloginpw 

        		 
           

        crlusepastnextupdate 

        		 
           

        readsigncert 

        		 
           

        revocationunknown 

        		 
           

        sendencryptcert 

        		 
           

        sendencryptcertrevoked 

        		 
           

        readsigncert 

        		 
           

        sendsigncertrevoked 

        		 
           

        timestampdelta 

        		 

        * 必须为这些参数指定值，因为它们都没有默认值。

24.4.3 使用证书访问 LDAP 中的公钥、CA 证书和 CRL

S/MIME 所需的公钥、CA 证书和 CRL 可能存储在 LDAP 目录中（请参见上一节）。可以通过单个 URL 或多个 URL 访问 LDAP 中的密钥、证书和 CRL。例如，CRL 可能存储在某个 URL 中，而公钥和证书则存储在另一个 URL 中。Messaging Server 允许您指定哪个 URL 包含所需的 CRL 或证书信息，以及有权访问这些 URL 的条目的 DN 和密码。这些 DN/密码凭证都是可选的；如果未指定任何一个证书，则将首先尝试使用 HTTP 服务器证书访问 LDAP；如果失败，将尝试以 anonymous 访问 LDAP。

要访问所需的 URL，需要设置两对 smime.conf 凭证参数：logindn 和 loginpw，以及 crlurllogindn 和 crlurlloginpw。

在 smime.conf 中，logindn 和 loginpw 是用于所有 URL 的凭证。它们指定对公钥、公钥的证书和 CA 证书具有读权限的 LDAP 条目的 DN 和密码。这些密钥、密钥证书和 CA 证书由 certurl 和 trustedurl 参数指定。

crlurllogindn 和 crlurlloginpw 指定对映射表中的结果 URL 具有读权限的 LDAP 条目的 DN 和密码（有关更多信息，请参见24.9.3 访问 CRL）。如果这些证书未被接受，将拒绝 LDAP 访问并且不再尝试其他证书。要么同时指定这两个参数，要么两者都保留为空。这些参数不适用于直接来自证书的 URL。

24.4.3.1 设置特定 URL 的密码

Messaging Server 允许对 DN/ 密码对进行专门定义，以访问以下 smime.conf URL：certUrl、trustedUrl、crlmappingUrl、sslrootcacertsUrl。

语法如下：

url_type URL[ |URL_DN | URL_password]

示例：


trustedurl==ldap://mail.siroe.com:389/cn=Directory Manager, ou=people, 
o=siroe.com,o=ugroot?cacertificate?sub?(objectclass=certificationauthority) | 
cn=Directory manager | boomshakalaka

24.4.3.2 LDAP 证书用法总结

本节总结了 LDAP 证书的用法。