ステップ 1: 暗号化されていない JMS アプリケーションを実行する

キュー・マネージャーがバージョン 9.2.1 リビジョン 2 以上である場合、TLS なしで JMS を実行することはできません。セクション 5 に進んでください。

前提条件を満たしている場合、JMS アプリケーションは既に実行されています。

JMS アプリケーションは、メッセージが暗号化されていなくても実行されることを確認するために実行する必要があります。 ご使用のオペレーティング・システムに応じて、以下のコマンドを使用します。

• Windows
  • javac -cp .\com.ibm.mq.allclient-9.0.4.0.jar;.\javax.jms-api-2.0.1.jar com\ibm\mq\samples\jms\JmsPutGet.javaの再コンパイル
  • 実行 java -cp .\com.ibm.mq.allclient-9.0.4.0.jar;.\javax.jms-api-2.0.1.jar;. com.ibm.mq.samples.jms.JmsPutGet
• Linux
  • javac -cp ./com.ibm.mq.allclient-9.0.4.0.jar:./javax.jms-api-2.0.1.jar com/ibm/mq/samples/jms/JmsPutGet.javaの再コンパイル
  • 実行 java -cp ./com.ibm.mq.allclient-9.0.4.0.jar:./javax.jms-api-2.0.1.jar:. com.ibm.mq.samples.jms.JmsPutGet

以下は予期される出力です。

  Your lucky number today is 283
  SUCCESS

ステップ 2: runmqsc を介したキュー・マネージャーへの接続

キュー・マネージャーで TLS 通信が有効にされている必要があります。 リモート MQ on Cloud キュー・マネージャーに接続するために、コマンドrunmqscを使用します。runmqscは、環境変数を使用して、接続先のキュー・マネージャーの詳細を判別します。

1. export MQSERVER="CLOUD.ADMIN.SVRCONN/TCP/<HOSTNAME>(<PORT>)"を指定して MQ 変数をエクスポートします。ここで、
   • <HOSTNAME> - これは connection_info.txt ファイル内の「hostname」です。
   • <PORT> - これは connection_info.txt ファイル内の「listenerPort」です。
2. コンソール・ウィンドウで以下のコマンドを入力します。
   • runmqsc -c -u <ADMIN_MQ_USER> -w60 <QUEUE_MANAGER_NAME>説明:
     • <ADMIN_MQ_USER> - これは platformApiKey.json ファイル内の「mqUsername」です。
     • <QUEUE_MANAGER_NAME> - これは connection_info.txt ファイル内の「queueManagerName」です。
     • -cは、runmqsc MQSERVER 変数を使用してリモート・キュー・マネージャーに接続する必要があることを通知します。
   • runmqsc によって、パスワードの入力が求められます。これは、ガイド・ツアーの一部としてダウンロードした PlatformApiKey.json ファイル内の API キーです。

runmqscコマンドは、認証が成功したことを示す必要があります。 端末はブランク行を出力し、ユーザーの入力を待ちます。

ステップ 3: TLS 用のキュー・マネージャーの構成

キュー・マネージャーに接続して、片方向 TLS 通信を構成できます。

1. DISPLAY CHANNEL(CLOUD.APP.SVRCONN)を実行してキュー・マネージャーの現在の状況を確認します。これにより、変更しようとしているチャネルの現在の設定が表示されます。
2. ALTER CHL('CLOUD.APP.SVRCONN') CHLTYPE(SVRCONN) SSLCIPH(ECDHE_RSA_AES_128_CBC_SHA256) SSLCAUTH(OPTIONAL)を実行して、標準 TLS を有効にするようにチャネルを更新します。
   • SSLCIPHをECDHE_RSA_AES_128_CBC_SHA256に設定し、SSLCAUTHをOPTIONALに設定すると、相互認証の使用が無効になり、OPTIONAL と暗号仕様の設定を組み合わせて標準 TLS が有効になります。
3. DISPLAY CHANNEL(CLOUD.APP.SVRCONN)を実行すると、変更が有効になったことが確認されます。
4. endを使用して、runmqscを終了します。

ステップ 4: JMS アプリケーションを再実行する

ここで、JMS アプリケーションを再実行します。 ここでは、キュー・マネージャーは TLS を実施していますが、クライアント・アプリケーションは TLS を使用するようにまだ構成されていないため、失敗します。

• Windows の場合:
  • 実行 java -cp .\com.ibm.mq.allclient-9.0.4.0.jar;.\javax.jms-api-2.0.1.jar;. com.ibm.mq.samples.jms.JmsPutGet
• Linux の場合:
  • 実行 java -cp ./com.ibm.mq.allclient-9.0.4.0.jar:./javax.jms-api-2.0.1.jar:. com.ibm.mq.samples.jms.JmsPutGet

以下は、最後の Java バックトレースで表示される、予期されるエラーです。

  Caused by: com.ibm.mq.jmqi.jmqiException: CC=2;RC=2397;AMQ9641: Remote CipherSpec error for channel 'CLOUD.APP.SVRCONN' to  host ''. [3=CLOUD.APP.SVRCONN]

ステップ 5: キュー・マネージャーの公開鍵証明書をエクスポートする

JMS アプリケーションは、片方向 TLS でキュー・マネージャーを信頼する必要があります。 公開鍵は、アプリケーション・トラストストアにインポートして、JMS アプリケーションで使用できるようにするために、最初にサーバーからエクスポートする必要があります。

1. 構成中のキュー・マネージャーをクリックします。これにより、このキュー・マネージャーに関するより多くの詳細が表示されます。
2. 「鍵ストア」をクリックします。 これは、キュー・マネージャーでセキュリティー証明書が保管される場所です。
3. 「デフォルト: qmgrcert」というラベルが付いた、デフォルトのセキュリティー証明書が表示されます。
   1. 証明書の公開部分をダウンロードする必要があります。 証明書の右上にある 3 つの点をクリックします。
   2. これにより、ツールバーが表示されます。 「パブリック証明書のダウンロード」をクリックして、証明書の公開鍵をダウンロードします。

ARM プロセッサーを備えた M1 Mac の追加ステップ:

この情報は、TLS を使用してキュー・マネージャーに接続する方法が変更されたバージョン 9.3.1 以降に関連しています。

バックグラウンドでは、 MQ MacOS ツールキットは、 x86 と Arm64の両方をサポートする汎用バイナリーとして提供されるネイティブ MQ クライアント・ライブラリーを使用します。 ツールキット自体は、汎用バイナリーで構成されていますが、暗号化のダウンストリーム依存関係を持っています。 x86 の場合、ツールキットは GSKit を使用し、 Arm64 の場合は OpenSSL を使用します。これには TLS 用の .pem 形式のトラストストアが必要です。

これは、現在、以下の環境変数をエクスポートするための追加要件があることを意味します。

1. export MQSSLKEYR=<path_to_your_pem_file>/qmgrcert.pem

ステップ 6: トラストストアを作成し、キュー・マネージャーの公開鍵をインポートする

以下のコマンドでは、アプリケーションがトラストストアとして使用できる鍵データベースが作成されます。 JMS アプリケーションと同じフォルダーにナビゲートし、以下のコマンドを実行します。

Windows 環境および Linux 環境の場合のみ:

1. ikeycmd -keydb -create -db <trustStoreName>.jks -pw <trustStorePassword> -type jks -expire 0を実行します。
   • <trustStorePassword> - パスワードを選択し、後で使用するために記憶します。
2. 証明書を新規トラストストアに追加するには、ikeycmd -cert -add -db <trustStoreName>.jks -file qmgrcert.pem -label qmgrcert -pw <trustStorePassword>を実行します。

Mac OSX 環境では、keytool -importcert -file qmgrcert.pem -alias qmgrcert -keystore <trustStoreName>.jks -storepass <trustStorePassword>を実行します。

これで、トラストストアとして使用する鍵データベースが正常に作成され、キュー・マネージャーの公開鍵が新規トラストストアにインポートされました。

ステップ 7: TLS のトラストストアを使用するように JMS アプリケーションを構成する

新規トラストストアを使用するように JMS アプリケーションを構成する必要があります。

1. テキスト・エディターで JMS アプリケーションを開き、以下のコード・セクションにナビゲートします。

     try {
     // Create a connection factory
     JmsFactoryFactory ff = JMSFactoryFactory.getInstance(WMQConstants.WMQ_PROVIDER);
     JmsConnectionFactory cf = ff.createConnectionFactory();
   

2. 上記のコードの直後に以下を挿入します。

     cf.setStringProperty(WMQConstants.WMQ_SSL_CIPHER_SPEC,"ECDHE_RSA_AES_128_CBC_SHA256");
     cf.setStringProperty(WMQConstants.WMQ_CHANNEL, "CLOUD.APP.SVRCONN");
     cf.setIntProperty(WMQConstants.WMQ_CONNECTION_MODE, WMQConstants.WMQ_CM_CLIENT);
     System.setProperty("javax.net.ssl.trustStore", "<trustStoreName>.jks");
     System.setProperty("javax.net.ssl.trustStorePassword", "<trustStorePassword>");
   

   • <trustStorePassword> - これは、鍵データベースを保護するために作成されたパスワードと同じです。

ステップ 8: JMS アプリケーションを再実行する

これらの変更を行ったら、プログラムを保存して、以下のコマンドを実行して再コンパイルします。

• Windows
  • javac -cp .\com.ibm.mq.allclient-9.0.4.0.jar;.\javax.jms-api-2.0.1.jar com\ibm\mq\samples\jms\JmsPutGet.javaの再コンパイル
  • 実行 java -cp .\com.ibm.mq.allclient-9.0.4.0.jar;.\javax.jms-api-2.0.1.jar;. com.ibm.mq.samples.jms.JmsPutGet
• Linux
  • javac -cp ./com.ibm.mq.allclient-9.0.4.0.jar:./javax.jms-api-2.0.1.jar com/ibm/mq/samples/jms/JmsPutGet.javaの再コンパイル
  • 実行 java -cp ./com.ibm.mq.allclient-9.0.4.0.jar:./javax.jms-api-2.0.1.jar:. com.ibm.mq.samples.jms.JmsPutGet

今回は、プログラムによりキュー・マネージャーに対してメッセージを正常に「put」および「get」できます。

これで、ネットワークを経由するメッセージが暗号化され、クライアントはサーバーを信頼するようになりました。

ステップ 1: キュー・マネージャーに接続して構成する

最初に、キュー・マネージャーを構成し、相互認証を実施する必要があります。

1. runmqsc -c -u <ADMIN_MQ_USER> -w60 <QUEUE_MANAGER_NAME>を実行して、キュー・マネージャーに接続します。ここで、
   • <ADMIN_MQ_USER> - これは platformApiKey.json ファイル内の「mqUsername」です。
   • <QUEUE_MANAGER_NAME> - これは connection_info.txt ファイル内の「queueManagerName」です。
2. 実行 ALTER CHL('CLOUD.APP.SVRCONN') CHLTYPE(SVRCONN) SSLCIPH(ECDHE_RSA_AES_128_CBC_SHA256) SSLCAUTH(REQUIRED)
   • SSLCAUTH が「REQUIRED」に変更されていることに注意してください。 これは、トラステッド・クライアントからの通信のみを受け入れるようにキュー・マネージャーを構成しています。

ステップ 2: JMS アプリケーションを再実行する

JMS アプリケーションを再実行します。

• Windows の場合:
  • 実行 java -cp .\com.ibm.mq.allclient-9.0.4.0.jar;.\javax.jms-api-2.0.1.jar;. com.ibm.mq.samples.jms.JmsPutGet
• Linux の場合:
  • 実行 java -cp ./com.ibm.mq.allclient-9.0.4.0.jar:./javax.jms-api-2.0.1.jar:. com.ibm.mq.samples.jms.JmsPutGet

キュー・マネージャーは相互 TLS 用に構成されていますが、クライアントは標準 TLS 用に構成されたままであるため、アプリケーションは失敗します。

ステップ 3: 鍵ストアを作成する

JMS アプリケーションで使用するプライベート証明書を保管するために、鍵ストアを作成する必要があります。 JMS アプリケーションと同じフォルダーにナビゲートし、以下のコマンドを実行します。

Windows 環境および Linux 環境の場合のみ、ikeycmd -keydb -create -db key -pw <keyStorePassword> -type jks -expire 0を実行し、今後の使用のためにパスワードをメモします。

これで、鍵ストアとして使用する鍵データベースが正常に作成されました。

lsを実行して、ファイル・システム内の key.jks という新規ファイルが表示されることを確認します。

ステップ 4: JMS アプリケーション用の自己署名公開鍵/秘密鍵ペアを作成する

1. クライアントで使用する自己署名証明書を作成します。
   • Windows 環境および Linux 環境の場合:
     • ikeycmd -cert -create -db key.jks -pw <keyStorePassword> -sig_alg SHA256WithRSA -label clientcert -dn "O=<Your Organisation>, C=<Your Country>"
       • <keyStorePassword> - 鍵ストア・ファイルのパスワードを選択します。
       • <Your Organisation> - お客様の企業で使用する特定の値が指定されている場合もありますが、それ以外の場合は、独自の入力を使用します。
       • <Your Country> - お客様の企業で使用する特定の値が指定されている場合もありますが、それ以外の場合は、独自の入力を使用します。
   • Mac OSX 環境の場合:
     • keytool -genkey -alias clientcert -keyalg RSA -sigalg SHA256withRSA -keysize 2048 -keystore key.jks -dname "O=<Your Organisation>, C=<Your Country>" -storepass mypass
2. 鍵ストアからセキュリティー証明書の公開鍵を抽出します。
   • Windows 環境および Linux 環境の場合:
     • ikeycmd -cert -extract -db key.jks -pw <keyStorePassword> -label clientcert -target clientcert.pem
       • <keyStorePassword> - これは、鍵ストアを保護するために前のステップで入力したパスワードです。
   • Mac OSX 環境の場合:
     • keytool -export -keystore key.jks -storepass <keyStorePassword> -alias clientcert -file clientcert.cer
     • cat clientcert.cer | openssl x509 -inform DER >clientcert.pem

ステップ 5: 相互 TLS 用の鍵ストアを使用するように JMS アプリケーションを構成する

1. 任意のテキスト・エディターで JMS アプリケーションを開き、以下のコード・セクションにナビゲートします。

     try {
     // Create a connection factory
     JmsFactoryFactory ff = JMSFactoryFactory.getInstance(WMQConstants.WMQ_PROVIDER);
     JmsConnectionFactory cf = ff.createConnectionFactory();
   
     ...
   

2. 上記のコードの直後に以下のコードを挿入します。

     System.setProperty("javax.net.ssl.keyStore", "key.jks");
     System.setProperty("javax.net.ssl.keyStorePassword", "<keyStorePassword>");
   

   • <keyStorePassword> - これは、鍵ストアを保護するために作成したパスワードです。

ステップ 6: JMS 公開鍵をキュー・マネージャー・トラストストアにインポートする

キュー・マネージャーがクライアントを信頼するために、次のステップでは、JMS クライアントのセキュリティー証明書の公開部分をキュー・マネージャーのトラストストアにインポートします。このアクションにより、キュー・マネージャーはクライアントを信頼できるようになります。 これは、Web ユーザー・インターフェースから実行できます。

1. 有効なリストからキュー・マネージャー名をクリックします。
2. 以下に示すように「トラスト・ストア」タブをクリックします。
3. 「証明書のインポート」ボタンをクリックします。
   1. 開いたウィンドウで、前のステップで抽出したパブリック証明書を参照します。
4. キュー・マネージャーがセキュリティー・キャッシュをリフレッシュしてこれらの変更を反映するために、キュー・マネージャーで SSL セキュリティーをリフレッシュします。
   • runmqscコマンドを使用してキュー・マネージャーに接続し、REFRESH SECURITY TYPE(SSL)を実行します。
   • コンソールは、変更の通知としてAMQ8560I: IBM MQ security cache refreshed.を出力します。
   • この操作が完了したら、endと入力して runmqsc をキュー・マネージャーから切断します。

セキュリティのリフレッシュを実行すると、このキュー・マネージャへのすべての接続が終了します

これで、キュー・マネージャーは相互認証を実施するように構成され、クライアントの公開鍵がキュー・マネージャーのトラストストアに追加されました。 したがって、クライアント・アプリケーションとサーバーは、暗号化チャネルを介して通信できるようになりました。

ステップ 7: JMS アプリケーションを再実行する

クライアントとサーバーの間で相互 TLS が正しく構成されていることを実証するには、通常どおり同じ Java コマンドを使用してプログラムを再コンパイルし、実行します。

• Windows
  • javac -cp .\com.ibm.mq.allclient-9.0.4.0.jar;.\javax.jms-api-2.0.1.jar com\ibm\mq\samples\jms\JmsPutGet.javaの再コンパイル
  • 実行 java -cp .\com.ibm.mq.allclient-9.0.4.0.jar;.\javax.jms-api-2.0.1.jar;. com.ibm.mq.samples.jms.JmsPutGet
• Linux
  • javac -cp ./com.ibm.mq.allclient-9.0.4.0.jar:./javax.jms-api-2.0.1.jar com/ibm/mq/samples/jms/JmsPutGet.javaの再コンパイル
  • 実行 java -cp ./com.ibm.mq.allclient-9.0.4.0.jar:./javax.jms-api-2.0.1.jar:. com.ibm.mq.samples.jms.JmsPutGet

チュートリアルは正常に完了しました。

付録 1: IBM MQ on Cloud ファイルのダウンロード

このセクションでは、ガイド・ツアー中にダウンロードされたが、その後失われた可能性のある、各種ファイルの収集方法について説明します。

付録 2: JMS アプリケーションのチュートリアル

以下のリンクで提供されるチュートリアルを使用して、キュー・マネージャーに接続して簡単なメッセージを送受信できる JMS アプリケーションを作成します。

この TLS チュートリアルで使用しているクラウド上のキュー・マネージャーに接続するように JMS アプリケーションを構成するために、いくつかの変数をチュートリアルで変更する必要があります。 JMS アプリケーションで変更が必要な値は以下のとおりです。

必要な値のほとんどは、 connection_info.txt ファイルにあります。これは、ガイド・ツアーに従ってダウンロードしておく必要があります。 ファイルがない場合は、付録 1 を参照してください。 ガイド・ツアーでは、「APP_USER」変数と「APP_PASSWORD」変数を作成し、「apiKey.json」というファイルにダウンロードする方法について詳しく説明します。「APP_PASSWORD」は API キーを指します。 このファイルがない場合は、付録 1 を参照してください。

• HOST = 「connection_info.txt」ファイルの「Hostname:」にリストされているもの
• PORT = 「connection_info.txt」ファイルの「Listener port:」にリストされているもの
• CHANNEL = この値は「CLOUD.APP.SVRCONN」に変更する
• QMGR = 「connection_info.txt」ファイルの「Queue manager name:」にリストされているもの
• APP_USER = 「apiKey.json」ファイルの「mqUsername:」にリストされているもの
• APP_PASSWORD = 「apiKey.json」ファイルの「apiKey:」にリストされているもの
• QUEUE_NAME = この値は変更しない

基本的な非セキュア JMS アプリケーションを作成するには、『このチュートリアル』 に従います。

付録 3: IBM SDK** のダウンロードとインストール

1. JDK のダウンロード
   • IBM JDK はここからダウンロードする必要があります。 ご使用のプラットフォームに適したダウンロードを選択して、インストールします。
2. ダウンロードしたパッケージに応じて、それを実行してインストールする必要があります。
   • 例えば、 ibm-java-x86_64-sdk-8.0-5.17.bin をダウンロードした場合は、./ibm-java-x86_64-sdk-8.0-5.17.binを実行します。
   • Windows の場合、JDK を含む Eclipse パッケージをダウンロードする必要があります。
3. PATH への追加
   • Windows の場合 set PATH=C:\IBM_Eclipse\eclipseDevelopmentPackage\ibm_sdk80\bin;%PATH%
   • Linux の場合 export PATH=<install location>/ibm-java-x86_64-80/jre/bin:<install location>/ibm-java-x86_64-80/bin:$PATH

付録 4: IBM MQ クライアントをダウンロードする

runmqscを使用してキュー・マネージャーに接続するには、IBM クライアントが必要です。

使用可能なさまざまな MQ クライアント・バージョンの詳細については、 このリンク を参照してください。

最新のパッケージ (作成時の最新バージョンは 9.3 ) を選択します。

1. 以下に示すように、 「CD」 タブの下に最新の CD リリースのダウンロード・リンクが表示され、 「LTS」 タブの下に最新の LTS 保守リリースのダウンロード・リンクが表示されます。

   • CD リリース
   • LTS リリース

2. 「その他の便利なリンク」 をクリックして、 IBM MQ 再配布可能クライアント を選択します。

3. 次に示すように、パッケージの左側にあるボックスにチェック・マークを付けて、「IBM MQC redistributable client for <Your Operating System>」を選択します。 ファイル名には Redist が含まれているはずです。 このチュートリアルは、 Linux Ubuntu オペレーティング・システムを使用して作成されています。

4. HTTPS 経由でダウンロードすることを選択します。これにより、次のように、ブラウザーから直接クライアントをダウンロードできます。

   • 注: このオプションがない場合は、別のブラウザーで試してください。

5. 「続行」をクリックすると、 次に示す画面にリダイレクトされます。 ダウンロードを開始するには、ダウンロード・アイコンをクリックしてください

6. ダウンロードしたら、任意のディレクトリー <PATH_TO_MQCLIENT_DIR> にファイルを解凍します。

   • tar -xvzf <IBM-MQC-Redist>.tar.gz <PATH_TO_MQCLIENT_DIR>

7. パスにコマンドを追加します。

   • export PATH=$PATH:<PATH_TO_MQCLIENT_DIR>/bin