Activation de la sécurité TLS pour les canaux MQ dans MQ on Cloud

Utilisation de la console de service MQ on Cloud pour collecter les données d'identification et les certificats

1. Ouvrez la console de service MQ on Cloud et localisez votre gestionnaire de files d'attente.

2. Regroupez les données d'identification de l'administrateur. Lorsque vous sélectionnez d'abord l'onglet Administration de votre gestionnaire de files d'attente, votre utilisateur se verra affecter les droits d'administrateur. Vous devez noter le nom d'utilisateur, et suivre les étapes pour télécharger la clé d'API (qui est le mot de passe que vous utiliserez pour vous connecter plus tard).

3. Créez un utilisateur d'application pour les applications JMS et C. Sélectionnez l'onglet Données d'identification d'application pour votre gestionnaire de files d'attente et suivez le processus pour ajouter de nouvelles données d'identification d'application. Sauvegardez la clé d'API générée, qui est le mot de passe pour les applications avec lesquelles se connecter.

4. Téléchargez la description CCDT JSON de votre gestionnaire de files d'attente. Cliquez sur le bouton Informations de connexion et suivez les instructions pour télécharger le formulaire CCDT des informations de connexion. Vous pouvez également télécharger la version texte, qui est plus facile à lire, et une source d'information utile contenant le nom et l'URL du gestionnaire de files d'attente.

   Le fichier CCDT téléchargé doit se présenter comme suit :

   {
   "channel": [
     {
     "name": "CLOUD.ADMIN.SVRCONN",
     "clientConnection": {
       "connection": [
       {
         "host": "myhost.cloud.ibm.com",
         "port": 31605
       }
       ],
       "queueManager": "MQ_ONE"
     },
     "transmissionSecurity": {
       "cipherSpecification": "ANY_TLS12_OR_HIGHER"
     },
     "type": "clientConnection"
     },
     {
     "name": "CLOUD.APP.SVRCONN",
     "clientConnection": {
       "connection": [
       {
         "host": "myhost.cloud.ibm.com",
         "port": 31605
       }
       ],
       "queueManager": "MQ_ONE"
     },
     "transmissionSecurity": {
       "cipherSpecification": "ANY_TLS12_OR_HIGHER"
     },
     "type": "clientConnection"
     }
   ]
   }
   

Les sections suivantes décrivent comment vérifier que TLS ait bien déjà été configuré sur les canaux, et sinon, comment effectuer la configuration pour qu'ils bénéficient de la sécurité TLS.

Utilisation de MQ Console pour modifier les canaux

1. Accédez à l'onglet Administration correspondant à votre gestionnaire de files d'attente.

2. Vérifiez que 'MQ Console' est sélectionné, puis cliquez sur Lancer MQ Console

3. Cliquez sur Gérer dans le menu latéral pour afficher vos objets MQ

4. Cliquez sur "Communication" puis sur "Canaux d'application"

5. Dans la table, cliquez sur les 3 points pour CLOUD.ADMIN.SVRCONN et sélectionnez "Configuration"

6. Cliquez sur le bouton Editer

7. Sélectionnez 'SSL' et dans le champ CipherSpec SSL , vérifiez que la valeur est ANY_TLS12_OR_HIGHER. Il ne s'agit pas d'une liste, donc si vous souhaitez choisir une autre spécification de chiffrement, reportez-vous à la documentation IBM MQ concernant l'Activation de CipherSpecs

8. Cliquez sur Sauvegarder.

9. Répétez les étapes ci-dessus pour le canal CLOUD.APP.SVRCONN.

10. Actualisez maintenant la sécurité SSL du gestionnaire de files d'attente si vous avez modifié un des canaux ci-dessus :

    1. Sur la page du gestionnaire de files d'attente, sélectionnez Configuration.
    2. Sélectionnez l'onglet Sécurité.
    3. Sélectionnez les trois points, puis Actualiser SSL
    4. Confirmez en cliquant sur Actualiser

La spécification de chiffrement est maintenant configurée.

Utilisation de MQ Explorer pour modifier les canaux

1. Reportez-vous à la section Connexion à votre gestionnaire de files d'attente à l'aide de MQ Explorer et suivez la procédure de connexion d'un explorateur MQ à votre gestionnaire de files d'attente MQ on Cloud.

2. Dans la vue MQ Explorer - Navigateur :

   1. Accédez au Gestionnaires de files, agrandissez votre gestionnaire de files d'attente et cliquez sur Canaux.
   2. Dans le panneau Canaux , cliquez deux fois sur CLOUD.ADMIN.SVRCONN.
   3. Dans la panel des propriétés CLOUD.ADMIN.SVRCONN , sélectionnez SSL.
   4. Dans le champ Spécification de chiffrement SSL , vérifiez qu'une spécification de chiffrement est sélectionnée (ANY_TLS12_OR_HIGHER).
   5. Cliquez sur Appliquer , puis sur OK.

3. Répétez les étapes ci-dessus pour le canal CLOUD.APP.SVRCONN

   

4. Si vous avez modifié la spécification de chiffrement pour n'importe quel canal, actualisez la sécurité. Sous Gestionnaires de files d'attente, cliquez avec le bouton droit de la souris sur le gestionnaire de files d'attente et sélectionnez Sécurité -> Régénération SSL.

5. Cette opération termine l'activation du chiffrement TLS sur les canaux MQ. Si vous n'avez plus besoin de l'Explorateur MQ, vous pouvez à présent fermer la connexion au gestionnaire de files d'attente en cliquant avec le bouton droit sur le gestionnaire de files d'attente et en sélectionnant Déconnecter.

Utilisation de runmqsc pour modifier les canaux

1. Reportez-vous à la section Connexion à votre gestionnaire de files d'attente à l'aide de runmqsc et effectuez les étapes pour vous connecter à votre gestionnaire de files d'attente MQ on Cloud. Ne fermez pas le shell de commandes runmqsc car vous allez l'utiliser dans les étapes ci-dessous.

2. Si votre gestionnaire de files d'attente est de version 9.2.1 r1 ou inférieure, exécutez les commandes suivantes pour configurer les canaux:

     ALTER CHANNEL(CLOUD.ADMIN.SVRCONN) CHLTYPE(SVRCONN) SSLCAUTH(OPTIONAL) SSLCIPH(ANY_TLS12_OR_HIGHER)
     ALTER CHANNEL(CLOUD.APP.SVRCONN) CHLTYPE(SVRCONN) SSLCAUTH(OPTIONAL) SSLCIPH(ANY_TLS12_OR_HIGHER)
     REFRESH SECURITY TYPE(SSL)
     end
   

3. Cette opération termine l'activation du chiffrement TLS sur les canaux MQ. Si vous n'avez plus besoin de l'interface cli runmqsc, vous pouvez fermer maintenant.

Télécharger le certificat public

Les étapes suivantes peuvent être utilisées pour télécharger le certificat public et créer ce fichier de clés.

1. Cliquez sur l'onglet Magasin de clés et identifiez le certificat qui est marqué comme "En cours d'utilisation : Gestionnaire de files d'attente" (par défaut, il s'agit de qmgrcert_yyyymm).

   

Créez d'un fichier de clés au format PKCS12

Créez un magasin de clés client et copiez-y la partie publique de la chaîne de certificats de gestionnaire de files d'attente.

1. Créez un magasin de clés client à l'aide de l'outil 'runmqakm'.

   runmqakm -keydb -create -db key.kdb -pw <your password> -type pkcs12 -expire 0 -stash
   

   # In some operating systems you may have to update the file permissions to make the keystore readable
   chmod +rw key.kdb
   

2. Importez le certificat du gestionnaire de files d'attente dans le magasin de clés (il s'agit du Qmgrcert que vous avez téléchargé à partir de l'interface utilisateur MQ on Cloud précedemment).

   runmqakm -cert -add -db key.kdb -file qmgrcert_yyyymm.pem -label qmgrcert -stashed -type pkcs12 -format ascii
   

3. Vérifiez que vos certificats ont bien été ajoutés.

   runmqakm -cert -list -db key.kdb
   

Le paramètre de type ci-dessus est pkcs12. Certains exemples suggèrent l'utilisation de kdb, mais le fichier key.kdb qui en résulte n'est pas lisible par l'outil keytool. Par conséquent, pour cet exercice, pkcs12 est préférable.

Créez un fichier de clés dans le format JKS sous Windows et Linux

Créez un fichier de clés jks et copiez-y la partie publique de la chaine de certificats du gestionnaire de files d'attente.

1. Créez un magasin de clés client à l'aide de l'outil 'ikeycmd'.

   ikeycmd -keydb -create -db key.jks -pw <your password> -type jks -expire 0 -stash
   

   # In some operating systems you may have to update the file permissions to make the keystore readable
   chmod +rw key.jks
   

2. Importez le certificat du gestionnaire de files d'attente dans le magasin de clés (il s'agit du Qmgrcert que vous avez téléchargé à partir de l'interface utilisateur MQ on Cloud précedemment).

   ikeycmd -cert -add -db key.jks -file qmgrcert_yyyymm.pem -label qmgrcert -pw <your password>
   

3. Vérifiez que vos certificats ont bien été ajoutés.

   ikeycmd -cert -list -db key.jks
   

Création d'un fichier de clés dans le format JKS sous Mac OSX

Créez un fichier de clés jks et copiez-y la partie publique de la chaine de certificats du gestionnaire de files d'attente.

1. Créez un fichier de clés client et importez le certificat.

   keytool -importcert -file qmgrcert_yyyymm.pem  -alias qmgrcert  -keystore key.jks -storepass <your password>
   

2. Vérifiez que vos certificats ont bien été ajoutés.

   keytool -list -keystore key.jks -storepass <your password>
   

Sécurisation de l'administration

L'étape suivante consiste à configurer l'extrémité client de la communication afin qu'elle fasse confiance au certificat du gestionnaire de files d'attente. Choisissez l'outil d'administration que vous souhaitez utiliser et suivez les instructions ci-dessous.

• Configuration de la sécurité pour l'administration à distance à l'aide d'IBM MQ Explorer
• Configuration de la sécurité pour l'administration à distance à l'aide de l'interface de ligne de commande runmqsc

Sécurisation des connexions d'application

L'étape suivante consiste à configurer votre connexion d'application de sorte qu'elle utilise le chiffrement TLS lors de la connexion au gestionnaire de files d'attente.

• Connexion sécurisée à partir de l'application MQI C et JMS