TLS-Sicherheit für MQ-Kanäle in MQ on Cloud aktivieren

Verwenden der MQ on Cloud-Servicekonsole zum Zusammenstellen von Berechtigungsnachweisen und Zertifikaten

1. Öffnen Sie die MQ on Cloud-Servicekonsole und suchen Sie den Warteschlangenmanager.

2. Stellen Sie die Berechtigungsnachweise des Administratorbenutzers zusammen. Beim ersten Auswählen der Registerkarte Verwaltung für Ihren Warteschlangenmanager erhält Ihr Benutzer die Berechtigung als Administrator. Vermerken Sie den Benutzernamen und befolgen Sie die Schritte zum Herunterladen des API-Schlüssels (das Kennwort, das Sie später für die Verbindung verwenden werden).

3. Erstellen Sie den Anwendungsbenutzer für die JMS- und C-Anwendungen. Wählen Sie die Registerkarte Anwendungsberechtigungsnachweise für Ihren Warteschlangenmanager und folgen Sie dem Prozess zum Hinzufügen eines neuen Anwendungsberechtigungsnachweises. Speichern Sie den generierten API-Schlüssel, der das Kennwort für Anwendungen ist, zu denen eine Verbindung hergestellt werden soll.

4. Laden Sie die JSON-CCDT-Beschreibung Ihres Warteschlangenmanagers herunter Klicken Sie auf die Schaltfläche Verbindungsinformationen und befolgen Sie die Anweisungen zum Herunterladen des CCDT-Formulars mit den Verbindungsinformationen. Sie können auch die Textversion herunterladen, die leichter zu lesen und eine nützliche Quelle für den Namen und die URL des Warteschlangenmanagers ist.

   Die heruntergeladene CCDT-Datei sollte wie folgt aussehen:

   {
   "channel": [
     {
     "name": "CLOUD.ADMIN.SVRCONN",
     "clientConnection": {
       "connection": [
       {
         "host": "myhost.cloud.ibm.com",
         "port": 31605
       }
       ],
       "queueManager": "MQ_ONE"
     },
     "transmissionSecurity": {
       "cipherSpecification": "ANY_TLS12_OR_HIGHER"
     },
     "type": "clientConnection"
     },
     {
     "name": "CLOUD.APP.SVRCONN",
     "clientConnection": {
       "connection": [
       {
         "host": "myhost.cloud.ibm.com",
         "port": 31605
       }
       ],
       "queueManager": "MQ_ONE"
     },
     "transmissionSecurity": {
       "cipherSpecification": "ANY_TLS12_OR_HIGHER"
     },
     "type": "clientConnection"
     }
   ]
   }
   

In den folgenden Abschnitten wird beschrieben, wie Sie überprüfen können, ob für die Kanäle bereits TLS konfiguriert ist, und wenn dies nicht der Fall ist, wie Sie sie für die Anwendung der TLS-Sicherheit konfigurieren.

Verwenden der MQ-Konsole zum Ändern der Kanäle

1. Navigieren Sie zur Registerkarte Verwaltung für Ihren Warteschlangenmanager.

2. Stellen Sie sicher, dass 'MQ-Konsole' ausgewählt ist, und klicken Sie anschließend auf MQ-Konsole starten.

3. Klicken Sie im seitlichen Menü auf 'Verwalten', um Ihre MQ-Objekte anzuzeigen

4. Klicken Sie auf 'Kommunikation' und dann auf 'App-Kanäle'.

5. Klicken Sie in der Tabelle auf das Dreipunkte-Menü für CLOUD.ADMIN.SVRCONN und wählen Sie 'Konfiguration' aus.

6. Wählen Sie die Schaltfläche Bearbeiten aus

7. Wählen Sie ' SSL' aus und überprüfen Sie im Feld SSL-CipherSpec, ob der Wert ANY_TLS12_OR_HIGHER lautet. Dies ist keine Liste. Wenn Sie also eine andere Verschlüsselungsspezifikation auswählen wollen, ziehen Sie die IBM MQ-Dokumentation für CipherSpecs aktivieren zu Rate.

8. Klicken Sie auf Speichern.

9. Wiederholen Sie die obigen Schritte für den Kanal CLOUD.APP.SVRCONN.

10. Aktualisieren Sie jetzt die SSL-Sicherheit des Warteschlangenmanagers, wenn Sie einen der obigen Kanäle geändert haben:

    1. Wählen Sie auf der Seite des Warteschlangenmanagers Konfiguration aus.
    2. Wählen Sie die Registerkarte Sicherheit aus.
    3. Wählen Sie die drei Punkte und anschließend SSL aktualisieren aus.
    4. Bestätigen Sie den Vorgang durch Klicken auf Aktualisieren.

Die Verschlüsselungsspezifikation ist jetzt konfiguriert.

Verwenden von MQ Explorer zum Ändern der Kanäle

1. Lesen Sie den Abschnitt Verwenden von MQ-Explorer zum Herstellen einer Verbindung zum Warteschlangenmanager und führen Sie die Schritte zum Herstellen einer Verbindung von einem MQ Explorer zu Ihrem MQ on Cloud-Warteschlangenmanager aus.

2. In der Anzeige 'MQ Explorer - Navigator':

   1. Navigieren Sie zu Warteschlangenmanager, erweitern Sie Ihren Warteschlangenmanager und klicken Sie auf Kanäle.
   2. Führen Sie in der Anzeige Kanäle einen Doppelklick auf CLOUD.ADMIN.SVRCONN.
   3. Wählen Sie im Eigenschaftsfeld von CLOUD.ADMIN.SVRCONN SSL aus.
   4. Stellen Sie im Feld SSL-Cipher Spec: sicher, dass eine Verschlüsselungsspezifikation ausgewählt ist (ANY_TLS12_OR_HIGHER).
   5. Klicken Sie auf Anwenden und dann auf OK.

3. Wiederholen Sie die obigen Schritte für den Kanal CLOUD.APP.SVRCONN.

   

4. Wenn Sie die Verschlüsselungsspezifikation für einen Kanal geändert haben, aktualisieren Sie die Sicherheit. Klicken Sie unter Warteschlangenmanager mit der rechten Maustaste auf den Warteschlangenmanager und wählen Sie Sicherheit -> SSL aktualisieren aus.

5. Die Prozedur zum Aktivieren der TLS-Verschlüsselung für die MQ-Kanäle ist nun abgeschlossen. Wenn Sie MQ Explorer nicht mehr benötigen, können Sie jetzt die Verbindung zum Warteschlangenmanager trennen, indem Sie mit der rechten Maustaste auf den Warteschlangenmanager klicken und die Option Verbindung trennen auswählen.

Kanäle mit 'runmqsc' ändern

1. Lesen Sie den Abschnitt Verwenden von 'runmqsc' zum Herstellen einer Verbindung zum Warteschlangenmanager und führen Sie die Schritte zum Herstellen einer Verbindung zu Ihrem MQ on Cloud-Warteschlangenmanager aus. Beenden Sie die runmqsc-Befehlsshell nicht, da diese Shell auch für die nachfolgenden Schritte benötigt wird.

2. Wenn Ihr Warteschlangenmanager die Version 9.2.1 r1 oder niedriger hat, führen Sie die folgenden Befehle aus, um die Kanäle zu konfigurieren:

     ALTER CHANNEL(CLOUD.ADMIN.SVRCONN) CHLTYPE(SVRCONN) SSLCAUTH(OPTIONAL) SSLCIPH(ANY_TLS12_OR_HIGHER)
     ALTER CHANNEL(CLOUD.APP.SVRCONN) CHLTYPE(SVRCONN) SSLCAUTH(OPTIONAL) SSLCIPH(ANY_TLS12_OR_HIGHER)
     REFRESH SECURITY TYPE(SSL)
     end
   

3. Die Prozedur zum Aktivieren der TLS-Verschlüsselung für die MQ-Kanäle ist nun abgeschlossen. Wenn Sie die Befehlszeilenschnittstelle 'runmqsc' nicht mehr benötigen, können Sie sie jetzt beenden.

Das öffentliche Zertifikat herunterladen

Mit den folgenden Schritten können Sie das öffentliche Zertifikat herunterladen und diesen Keystore erstellen.

1. Klicken Sie auf die Registerkarte Keystore und geben Sie das Zertifikat an, das mit "In use: Queue manager" ("In Verwendung: Warteschlangenmanager") gekennzeichnet ist (standardmäßig ist dies qmgrcert_yyyymm).

   

Eine Schlüsselspeicherdatei im Format PKCS12 erstellen

Erstellen Sie einen Client-Keystore und kopieren Sie den öffentlichen Teil der Zertifikatskette des Warteschlangenmanagers in den Keystore.

1. Erstellen Sie mit dem Tool 'runmqakm' einen Client-Keystore.

   runmqakm -keydb -create -db key.kdb -pw <your password> -type pkcs12 -expire 0 -stash
   

   # In some operating systems you may have to update the file permissions to make the keystore readable
   chmod +rw key.kdb
   

2. Importieren Sie das Warteschlangenmanagerzertifikat in den Schlüsselspeicher (dies ist das qmgrcert, das Sie zuvor von der MQ on Cloud-Benutzeroberfläche heruntergeladen haben).

   runmqakm -cert -add -db key.kdb -file qmgrcert_yyyymm.pem -label qmgrcert -stashed -type pkcs12 -format ascii
   

3. Überprüfen Sie, ob Ihre Zertifikate hinzugefügt wurden.

   runmqakm -cert -list -db key.kdb
   

Der obige Typparameter ist pkcs12. In einigen Beispielen wird die Verwendung von kdb vorgeschlagen, aber das daraus resultierende key.kdb ist für 'keytool' nicht lesbar. Daher wird für diese Übung pkcs12 bevorzugt.

Eine Schlüsselspeicherdatei im JKS-Format unter Windows und Linux erstellen

Erstellen Sie einen JKS-Keystore und kopieren Sie den öffentlichen Teil der Zertifikatskette des Warteschlangenmanagers in diesen Keystore.

1. Erstellen Sie einen Client-Keystore mit dem Tool 'ikeycmd'.

   ikeycmd -keydb -create -db key.jks -pw <your password> -type jks -expire 0 -stash
   

   # In some operating systems you may have to update the file permissions to make the keystore readable
   chmod +rw key.jks
   

2. Importieren Sie das Warteschlangenmanagerzertifikat in den Schlüsselspeicher (dies ist das qmgrcert, das Sie zuvor von der MQ on Cloud-Benutzeroberfläche heruntergeladen haben).

   ikeycmd -cert -add -db key.jks -file qmgrcert_yyyymm.pem -label qmgrcert -pw <your password>
   

3. Überprüfen Sie, ob Ihre Zertifikate hinzugefügt wurden.

   ikeycmd -cert -list -db key.jks
   

Eine Keystore-Datei im JKS-Format unter Mac OSX erstellen

Erstellen Sie einen JKS-Keystore und kopieren Sie den öffentlichen Teil der Zertifikatskette des Warteschlangenmanagers in diesen Keystore.

1. Erstellen Sie einen Client-Keystore und importieren Sie das Zertifikat.

   keytool -importcert -file qmgrcert_yyyymm.pem  -alias qmgrcert  -keystore key.jks -storepass <your password>
   

2. Überprüfen Sie, ob Ihre Zertifikate hinzugefügt wurden.

   keytool -list -keystore key.jks -storepass <your password>
   

Verwaltung sichern

Der nächste Schritt besteht darin, die Clientseite der Kommunikation so zu konfigurieren, dass sie dem Warteschlangenmanager-Zertifikat vertraut. Wählen Sie das Verwaltungstool, das Sie verwenden möchten, und folgen Sie den entsprechenden Anweisungen weiter unten.

• Sicherheit für die Fernverwaltung mit IBM MQ Explorer konfigurieren
• Sicherheit für die Fernverwaltung mit dem Befehlszeilentool 'runmqsc' konfigurieren

Anwendungsverbindungen sichern

Der nächste Schritt besteht darin, Ihre Anwendungsverbindung so zu konfigurieren, dass sie beim Herstellen einer Verbindung zum Warteschlangenmanager die TLS-Verschlüsselung verwendet.

• Eine sichere Verbindung von einer MQI-C- und JMS-Anwendung aus herstellen