デフォルトのセキュリティー機能

1. MQ チャネルには、アプリケーションおよび管理者からの転送データを TLS 接続を使用して暗号化するオプションがあります。 TLS 機能を有効にするには、お客様がいくつかの構成を適用する必要があります。
2. キュー・マネージャーには、Let's Encrypt などの公的な認証局によって署名されたデフォルトの TLS サーバー証明書が構成されます。
3. キュー・マネージャー・チャネルには、ユーザー名/パスワードによる認証がデフォルトで構成されます。この認証は、IBM Cloud® Identity and Access Management (IAM) サービスによるユーザーとアプリケーションの管理を基礎としています。
4. キュー・マネージャーの永続データ (メッセージ、構成、ログなど) はすべて、ストレージ・ボリュームのフルディスク暗号化によって暗号化された状態で保存されます。
5. IBM MQ には、キュー・マネージャー内のキュー/トピックなどの特定のリソースに対するアクセスをきめ細かく制御するための拡張機能が用意されており、お客様のオンプレミスのデプロイ環境と同じように利用できます。

デフォルトの MQ セキュリティー構成

MQ の詳細

MQ 9.2.2r1 のリリース (2021 年 3 月の25th ) 以降、デプロイされたキュー・マネージャーでは、事前定義チャネルで TLS がデフォルトで有効になります。 9.2.2r1より前のバージョンでデプロイされ、 9.2.2r1 以上のバージョンにアップグレードされたキュー・マネージャーでは、デフォルトで TLS が有効になりません。 セキュリティーをさらに向上させるために、すべてのチャネルで有効にすることを強くお勧めします。

デフォルトで、次の 2 つのチャネルが用意されます。

• CLOUD.ADMIN.SVRCONN - 管理者ユーザー用。例えば MQ エクスプローラーや runmqsc を使用して接続する場合に使用する
• CLOUD.APP.SVRCONN - アプリケーションが接続してメッセージを送受信するためのもの

どちらのチャネルも、デフォルトで TLS を使用するように構成されています。 MQ クライアント・アプリケーションおよび管理ツール (runmqsc、MQ エクスプローラー) がキュー・マネージャーに接続できるようにするには、追加の構成を行う必要があります。

すべてのユーザー定義チャネルで TLS が使用されるように構成することをお勧めします。そのためには、SSLCAUTH プロパティーを Optional に設定し、SSLCIPH プロパティーを有効な MQ 暗号仕様 (例: ANY_TLS12_OR_HIGHER) に設定します。

以下の MQSC を使用する 2 つの例では、TLS を使用するように構成されるチャネルの定義と変更の両方を示しています。

DEFINE CHANNEL('EXAMPLE.APP.SVRCONN') CHLTYPE(SVRCONN) SSLCAUTH(OPTIONAL) SSLCIPH(ANY_TLS12_OR_HIGHER)  SSLCAUTH(OPTIONAL) SSLCIPH(ANY_TLS12_OR_HIGHER)
...
ALTER CHL('EXAMPLE.ADMIN.SVRCONN') CHLTYPE(SVRCONN) SSLCIPH(ANY_TLS12_OR_HIGHER) SSLCAUTH(REQUIRED)`

デフォルトでは、この 2 つの事前定義チャネルへの着信接続はブロックされます。アクセスできるようにするには、『ユーザー』または『アプリケーション』に記載している手順に従ってください。

上記の 2 つの名前以外のチャネルに対する着信接続要求は、デフォルトの「ADDRESSMAP」規則によってブロックされます。 つまり、独自の MQ チャネル (例えば、別のキュー・マネージャーからの着信接続を受け入れるためのチャネル) を定義する場合、その新しいチャネルへの接続はデフォルトでブロックされるため、その新しいチャネルへの特定の接続を許可する規則を定義する必要があるということになります。

MQ の詳細な許可の構成について詳しくは、 IBM Knowledge Center の以下の トピック を参照してください。

推奨事項

アプリケーションとキュー・マネージャーの間で転送される資格情報とビジネス・データを保護するために、管理接続およびアプリケーション接続に TLS チャネルを使用することを強くお勧めします。 チャネルに TLS を構成する方法について詳しくは、このトピックを参照してください。

高水準の機密データ保護を提供する Advanced Message Security (AMS) 機能を、アプリケーションまたはキュー・マネージャーで使用できます。 アプリケーションとキュー・マネージャーの間、およびシステム全体の機密データの転送を完全に保護するために、アプリケーションで AMS を使用して機密データを暗号化することを強くお勧めします。 クライアント・アプリケーション用の AMS の構成について詳しくは、以下のトピックを参照してください。

キュー・マネージャーのソース IP アドレスは動的であり、キュー・マネージャーが再始動されたり別のホストにフェイルオーバーしたりすると変わります。 ソース IP アドレスは複数のキュー・マネージャーで共有されるため、受信側チャネルで着信接続を認証するための唯一のメカニズムとして使用しないでください。

転送中のデータの保護

MQ on Cloud キュー・マネージャー内の事前定義された管理チャネルおよびアプリケーション・チャネルは、デフォルトで TLS セキュリティーを使用して構成されます。 TLS を有効にすると、管理接続またはアプリケーション接続で会話が暗号化することになるため、機密データと資格情報が保護されます。 以下の資料では、チャネルに TLS がない場合に TLS を有効にする方法と、リモート管理接続およびアプリケーション接続を保護する方法について説明します。