Habilitación de la seguridad de TLS para los canales de MQ en MQ on Cloud

Utilización de la consola del servicio MQ on Cloud para recopilar credenciales y certificados

1. Abra la consola del servicio MQ on Cloud y localice el gestor de colas.

2. Recopile las credenciales de usuario administrador Cuando seleccione por primera vez el separador Administración del gestor de colas, recibirá permisos de administrador. Anote el nombre de usuario y siga los pasos para descargar la clave de API (que será la contraseña que utilizará más tarde para conectarse).

3. Cree un usuario de aplicación para las aplicaciones JMS y C Seleccione el separador Credenciales de aplicación del gestor de colas y siga el proceso para añadir nuevas credenciales de aplicación. Guarde la clave de API generada, que es la contraseña que utilizará para conectar con las aplicaciones.

4. Descargue la descripción de CCDT de JSON del gestor de colas. Pulse el botón Información de conexión y siga las instrucciones para descargar la información de conexión en formato CCDT. Es posible que también desee descargar la versión de texto, que es más fácil de leer, y una fuente útil para saber el nombre y el url del gestor de colas.

   El archivo de CCDT descargado debería ser similar al siguiente:

   {
   "channel": [
     {
     "name": "CLOUD.ADMIN.SVRCONN",
     "clientConnection": {
       "connection": [
       {
         "host": "myhost.cloud.ibm.com",
         "port": 31605
       }
       ],
       "queueManager": "MQ_ONE"
     },
     "transmissionSecurity": {
       "cipherSpecification": "ANY_TLS12_OR_HIGHER"
     },
     "type": "clientConnection"
     },
     {
     "name": "CLOUD.APP.SVRCONN",
     "clientConnection": {
       "connection": [
       {
         "host": "myhost.cloud.ibm.com",
         "port": 31605
       }
       ],
       "queueManager": "MQ_ONE"
     },
     "transmissionSecurity": {
       "cipherSpecification": "ANY_TLS12_OR_HIGHER"
     },
     "type": "clientConnection"
     }
   ]
   }
   

En las secciones siguientes se describe cómo comprobar que los canales ya tienen TLS configurado y, si no, configurarlos para aplicar la seguridad TLS.

Uso de la consola de MQ para modificar los canales

1. Vaya al separador Administración del gestor de colas.

2. Asegúrese de que está seleccionada la opción 'Consola de MQ' y pulse Iniciar la consola de MQ

3. Pulse Gestionar en el menú lateral para ver los objetos de MQ

4. Pulse en 'Comunicación' y después en 'Canales de app'

5. En la tabla, pulse en los 3 puntos de CLOUD.ADMIN.SVRCONN y seleccione 'Configuración'

6. Seleccione el botón Editar

7. Seleccione 'SSL' y en el campo CipherSpec SSL, compruebe que el valor es ANY_TLS12_OR_HIGHER. Este campo no es una lista, por lo que si desea elegir otra especificación de cifrado, consulte la documentación de IBM MQ sobre Habilitación de CipherSpecs

8. Pulse Guardar

9. Repita los pasos anteriores para el canal CLOUD.APP.SVRCONN.

10. Ahora renueve la seguridad SSL del gestor de colas si ha alterado algún canal arriba:

    1. En la página del gestor de colas, seleccione Configuración.
    2. Seleccione el separador Seguridad.
    3. Seleccione los tres puntos y, a continuación, Renovar SSL
    4. Confirme pulsando Renovar

La especificación de cifrado está ahora configurada.

Uso de MQ Explorer para modificar los canales

1. Consulte Conectar con el gestor de colas utilizando MQ Explorer y siga los pasos indicados para conectar un MQ Explorer con el gestor de colas de MQ on Cloud.

2. En MQ Explorer - Navegador:

   1. Vaya a Gestores de colas, expanda el gestor de colas y pulse Canales.
   2. En el panel Canales, efectúe una doble pulsación en CLOUD.ADMIN.SVRCONN.
   3. En el panel de propiedades de CLOUD.ADMIN.SVRCONN, seleccione SSL.
   4. En el campo Especificación de cifrado SSL:, asegúrese de que se ha seleccionado una especificación de cifrado (ANY_TLS12_OR_HIGHER).
   5. Pulse Aplicar y luego Aceptar.

3. Repita los pasos anteriores para el canal CLOUD.APP.SVRCONN

   

4. Si ha modificado la especificación de cifrado para algún canal, renueve la seguridad. En Gestores de colas, pulse con el botón derecho del ratón en el gestor de colas y seleccione Seguridad -> Renovar SSL.

5. Con esto se completa la habilitación del cifrado TLS en los canales de MQ. Si ya no va a necesitar MQ Explorer, puede desconectar la conexión con el gestor de colas pulsando con el botón derecho del ratón en el gestor de colas y seleccionando Desconectar.

Utilizar runmqsc para alterar los canales

1. Consulte Conectar con el gestor de colas utilizando runmqsc y siga los pasos indicados para conectar con su gestor de colas de MQ on Cloud. No salga del shell de mandatos runmqsc, ya que lo utilizará en los pasos siguientes.

2. Si el gestor de colas es 9.2.1 r1 o inferior, ejecute los mandatos siguientes para configurar los canales:

     ALTER CHANNEL(CLOUD.ADMIN.SVRCONN) CHLTYPE(SVRCONN) SSLCAUTH(OPTIONAL) SSLCIPH(ANY_TLS12_OR_HIGHER)
     ALTER CHANNEL(CLOUD.APP.SVRCONN) CHLTYPE(SVRCONN) SSLCAUTH(OPTIONAL) SSLCIPH(ANY_TLS12_OR_HIGHER)
     REFRESH SECURITY TYPE(SSL)
     end
   

3. Con esto se completa la habilitación del cifrado TLS en los canales de MQ. Si ya no va a necesitar la cli de runmqsc, puede salir ahora.

Descargar el certificado público

Puede seguir los pasos siguientes para descargar el certificado público y crear el almacén de claves.

1. Pulse en el separador Almacén de claves e identifique el certificado que se ha marcado como "En uso: gestor de colas" (de forma predeterminada, es qmgrcert_yyyymm).

   

Crear un archivo de almacén de claves en formato PKCS12

Cree un almacén de claves de cliente y copie en el mismo la parte pública de la cadena de certificados del gestor de colas.

1. Cree un almacén de claves de cliente utilizando la herramienta 'runmqakm'.

   runmqakm -keydb -create -db key.kdb -pw <your password> -type pkcs12 -expire 0 -stash
   

   # In some operating systems you may have to update the file permissions to make the keystore readable
   chmod +rw key.kdb
   

2. Importe el certificado del gestor de colas en el almacén de claves (es el qmgrcert que ha descargado de la interfaz de usuario de MQ on Cloud anteriormente).

   runmqakm -cert -add -db key.kdb -file qmgrcert_yyyymm.pem -label qmgrcert -stashed -type pkcs12 -format ascii
   

3. Compruebe que sus certificados se han añadido.

   runmqakm -cert -list -db key.kdb
   

El parámetro de tipo arriba es pkcs12. En algunos ejemplos se sugiere utilizar kdb, pero el archivo key.kdb resultante no es legible para keytool, por lo que en este ejercicio se prefiere pkcs12.

Crear un archivo de almacén de claves en formato JKS en Windows y Linux

Cree un almacén de claves jks y copie la parte pública de la cadena de certificados del gestor de colas en el mismo.

1. Cree un almacén de claves de cliente utilizando la herramienta 'ikeycmd'.

   ikeycmd -keydb -create -db key.jks -pw <your password> -type jks -expire 0 -stash
   

   # In some operating systems you may have to update the file permissions to make the keystore readable
   chmod +rw key.jks
   

2. Importe el certificado del gestor de colas en el almacén de claves (es el qmgrcert que ha descargado de la interfaz de usuario de MQ on Cloud anteriormente).

   ikeycmd -cert -add -db key.jks -file qmgrcert_yyyymm.pem -label qmgrcert -pw <your password>
   

3. Compruebe que sus certificados se han añadido.

   ikeycmd -cert -list -db key.jks
   

Crear un archivo de almacén de claves en formato JKS en Mac OSX

Cree un almacén de claves jks y copie la parte pública de la cadena de certificados del gestor de colas en el mismo.

1. Cree un almacén de claves de cliente e importe el certificado.

   keytool -importcert -file qmgrcert_yyyymm.pem  -alias qmgrcert  -keystore key.jks -storepass <your password>
   

2. Compruebe que sus certificados se han añadido.

   keytool -list -keystore key.jks -storepass <your password>
   

Protección de la administración

El paso siguiente consiste en configurar el extremo del cliente de la comunicación de forma que confíe en el certificado del gestor de colas. Elija la herramienta de administración que desee utilizar y siga las instrucciones adecuadas a continuación.

• Configuración de la seguridad para la administración remota mediante IBM MQ Explorer
• Configuración de la seguridad para la administración remota mediante la CLI de runmqsc

Protección de las conexiones de aplicaciones

El siguiente paso consiste en configurar la conexión de la aplicación de forma que utilice el cifrado TLS al conectar con el gestor de colas.

• Conectar de forma segura desde la aplicación C MQI y JMS