Verbindung zu virtuellen z/OS-Serverinstanzen herstellen

Eine virtuelle Serverinstanz von „ z/OS “ ist in der Regel eine private Backend-Infrastrukturkomponente, auf die niemals direkt von außen zugegriffen werden darf. Selbst Umgebungen, die für Entwicklung, Test oder Demonstration verwendet werden, müssen bewährte Verfahren für die logische Isolation befolgen.

In den folgenden Lernprogrammen erfahren Sie, wie Sie mithilfe von Teilnetzen den Datenverkehr zur Back-End-Infrastruktur, wie z. B. einer virtuellen z/OS-Serverinstanz, sicher isolieren und steuern können:

Nachdem Sie über den Client-Site-VPN-Server eine Verbindung zum VPC-Netz hergestellt haben, können Sie über die private IP-Adresse auf die virtuelle Serverinstanz z/OS zugreifen.

Vorbereitende Schritte

Stellen Sie sicher, dass Sie die private IP-Adresse lokalisieren, bevor Sie eine Verbindung zu den z/OS-Instanzen herstellen. Private IP-Adressen sind IP-Adressen, die vom System bereitgestellt werden und nur innerhalb des VPC-Netzwerks erreichbar sind. Sie finden die private IP-Adresse Ihrer virtuellen z/OS-Serverinstanz in der Spalte Reservierte IP-Adresse auf der Konsole, nachdem die Instanz erfolgreich erstellt wurde.

Wenn Ihre virtuelle z/OS-Serverinstanz mit dem Image z/OS dev und test stock erstellt wird, können Sie in der Tabelle Reservierte Konfigurationen weitere Ports zur Sicherheitsgruppe Ihrer Instanz hinzufügen.

Schritt 1. Kennwort konfigurieren

Bevor Sie sich bei einer virtuellen z/OS-Serverinstanz anmelden können, muss das Kennwort für die Standard-Benutzer-ID ibmuser geändert werden.

Wenn Sie Ihre benutzerdefinierten Images „ z/OS “ und „ Wazi aaS “ verwenden, müssen Sie das Passwort nicht konfigurieren. Sie können diesen Schritt getrost überspringen und sich stattdessen mit der virtuellen Serverinstanz „ z/OS “ verbinden.

  1. Melden Sie sich bei der Shell-Umgebung z/OS UNIX an, indem Sie Ihren privaten SSH-Schlüssel und die Standard-Benutzerkennung verwenden. Die vsi ip address in den folgenden Code-Snippets stellen die private IP-Adresse Ihrer virtuellen z/OS-Serverinstanz dar.

    ssh -i <path to your private key file> ibmuser@<vsi ip address>

    Daraufhin wird die im folgenden Beispiel aufgeführte oder eine ähnliche Antwort ausgegeben. Wenn Sie aufgefordert werden anzugeben, ob der Vorgang zur Verbindungsherstellung fortgesetzt werden soll, dann geben Sie yes ein.

    The authenticity of host 'xxx.xxx.xxx.xxx (xxx.xxx.xxx.xxx)' can't be established.
ECDSA key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'xxx.xxx.xxx.xxx' (ECDSA) to the list of known hosts.

  2. Mit dem Befehl tsocmd können Sie Kennwortphrasen für die z/OS-Instanz konfigurieren. Ersetzen Sie YOUR PASSWORD PHRASE durch Ihre eigene Kennwortphrase.

    tsocmd "ALTUSER IBMUSER PHRASE('YOUR PASSWORD PHRASE') NOEXPIRE RESUME"

    Sie müssen die Syntaxregeln für Kennwortphrasen befolgen, die unter Kennwortphrasen zuordnenaufgelistet sind.

    Weitere Informationen zu den Befehlen finden Sie unter tsocmd-TSO/E-Befehl über die Shell ausführen(einschließlich berechtigter Befehle) und ALTUSER(Benutzerprofil ändern).

Schritt 2. Verbindung herstellen

Sie können mit Ihrer virtuellen z/OS-Serverinstanz mit den folgenden Methoden interagieren.

TN3270-Terminalemulator verwenden

Sie können den TN3270-Terminalemulator verwenden, um sich bei Time Sharing Option/Extensions (TSO/E) anzumelden. Der Standardport für den gesicherten TN3270 ist 992 und Sie müssen ein selbst signiertes CA-Zertifikat als Parameter angeben, um eine sichere Verbindung zum 3270-Emulationsprogramm herzustellen. Sie finden Ihr selbst signiertes CA-Zertifikat in einer Datei namens common_cacert im Ausgangsverzeichnis der IBMUSER-Benutzer-ID in z/OS UNIX System Services.

  • Bei macOS, Linux und Windows-Systemen, auf denen der SCP-Client (Secure Copy Protocol) installiert ist, müssen Sie die Datei common_cacert übertragen, bevor Sie sich mit dem gesicherten Telnet-Port verbinden und die folgenden Befehle ausführen:

    scp ibmuser@<vsi ip address>:/u/ibmuser/common_cacert <my local dir>/common_cacert
c3270 -cafile <my local dir>/common_cacert -port 992 <vsi ip address>

    Wenn die Datei nicht das richtige Format hat, müssen Sie sie in das ASCII-Format konvertieren.

  • Für Windows müssen Sie zuerst das selbst signierte CA-Zertifikat in Windows importieren und dann das IBM Personal Communications (PCOMM) erstellen, um das CA-Zertifikat aus dem Truststore in Windows zu lesen. Führen Sie die folgenden Schritte aus:

    1. Übertragen Sie die Datei common_cacert vom z/OS-System auf Ihre Workstation.

    2. Öffnen Sie Internetoptionen auf Ihrer Workstation.

    3. Wählen Sie unter Inhalt die Option Zertifikate.

    4. Wählen Sie Importieren aus, um die Seite des Zertifikatimport-Assistenten zu öffnen, und klicken Sie auf Next.

    5. Klicken Sie auf „Durchsuchen“, um die common_cacert Datei auszuwählen, und klicken Sie dann auf „ Weiter “.

    6. Wählen Sie auf der Seite "Zertifikatsspeicher" die Option Alle Zertifikate im folgenden Speicher ablegen aus und klicken Sie auf Durchsuchen, um Vertrauenswürdige Stammzertifizierungsstellen auszuwählen. Klicken Sie anschließend auf Next.

    7. Klicken Sie auf der Seite "Abschluss des Zertifikatimportassistenten" auf Fertigstellen.

    8. Nachdem Sie das CA-Zertifikat erfolgreich in den Truststore übertragen haben, müssen Sie eine sichere Sitzung in PCOMM erstellen. Geben Sie auf der Registerkarte Hostdefinition der Konfiguration Linkparameter die IP-Adresse oder den Hostnamen Ihrer virtuellen z/OS-Serverinstanz mit Port 992 ein.

    9. Wählen Sie auf der Registerkarte Sicherheitskonfiguration der Konfiguration Linkparameter das Kontrollkästchen Sicherheit aktivieren aus.

    Die Standardbenutzer-ID ist IBMUSER und das Kennwort ist das Kennwort, das Sie im vorherigen Schritt konfiguriert haben. Anschließend können Sie mit z/OS im nativen TSO-Modus arbeiten, indem Sie Interactive System Productivity Facility ( ISPF ) oder z/OS UNIX Shell und Dienstprogramme verwenden. Weitere Informationen finden Sie unter Interaktion mit z/OS: TSO, ISPF, und z/OS UNIX Schnittstellen.

    Der nicht gesicherte Port 23 für 3270-Verbindung wird geschlossen. Sie müssen den gesicherten Port 992 verwenden.

    • Das VSI-Serverzertifikat enthält nur die Informationen zur privaten IP-Adresse der virtuellen z/OS-Serverinstanz.
    • Optional können Sie die IP-Adresse der VSI als Teil des Arguments accepthostname verwenden, wenn die Verbindung über eine variable IP-Adresse hergestellt wird. Zum Beispiel:
      c3270 -cafile <my local dir>/common_cacert -port 992 -accepthostname <vsi ip address>  <floating ip>

IBM Host On-Demand verwenden

Wenn Sie das CA-Zertifikat mit IBM Host On-Demandimportieren möchten, führen Sie die folgenden Befehle aus:

  1. Laden Sie die Zertifikatsdatei vom z/OS-System herunter.

    scp ibmuser@<vsi ip address>:/u/ibmuser/common_cacert ./Downloads/common_cacert

  2. Importieren Sie das heruntergeladene Zertifikat. Verwenden Sie einen erkennbaren Aliasnamen.

    keytool -importcert -alias <alias> -file ./Downloads/common_cacert -keystore /Applications/HostOnDemand/lib/CustomizedCAs.jks -storepass hodpwd

  3. Überprüfen Sie, welche Zertifikate importiert wurden.

    keytool -list -keystore /Applications/HostOnDemand/lib/CustomizedCAs.jks -storepass hodpwd

Web-Browser für den Zugriff auf z/OSMF verwenden

Sie können den Web-Browser verwenden, um auf IBM z/OS Management Facility (z/OSMF) zuzugreifen. Greifen Sie beispielsweise auf die URL https://<vsi ip address>:10443/zosmf/LogOnPanel.jsp zu.

Weitere Informationen zu z/OSMFfinden Sie unter IBM z/OS Management Facility.

Wenn Sie z/OSMF starten, werden Sicherheitswarnungen des Browsers angezeigt, da die virtuellen Serverinstanzen von z/OS mit TLS-Zertifikaten erstellt werden, die mit einem internen selbstsignierten Stammzertifikat signiert sind.

Serielle Konsole über IBM Cloud-Benutzerschnittstelle verwenden

Sie können die IBM Cloud verwenden, um eine Verbindung zu einer seriellen Konsole herzustellen und den Fortschritt des IPL in der Konsole zu überwachen.

Um eine Verbindung zur seriellen Konsole herzustellen, müssen Ihnen die Rollen (oder Console Administrator höher) und für die virtuelle Operator Serverinstanz in „ IBM Cloud® Identity and Access Management “ (IAM) zugewiesen sein. Andernfalls wird die serielle Konsole inaktiviert.

Führen Sie die folgenden Schritte aus, um eine Verbindung zu einer Konsole über die IBM Cloud-Benutzerschnittstelle herzustellen.

  1. In der IBM Cloud Konsole, gehen Sie auf Navigationsmenü Symbol Menü-Symbol > Infrastruktur VPC-Symbol > Compute > Virtuelle Serverinstanz.

  2. Klicken Sie in der Liste „ Virtuelle Serverinstanzen für VPC “ auf die Überlaufschaltfläche der Instanz, auf die Sie zugreifen möchten, und klicken Sie dann auf „ Serielle Konsole öffnen “. Alternativ können Sie auf der Instanz-Detailseite oben rechts auf „Aktion“ und dann auf „Serielle Konsole öffnen“ klicken.

  3. Wenn die serielle Konsole verwendet wird, werden Sie aufgefordert, zu bestätigen, ob Sie eine Sitzung erzwingen möchten. Dadurch wird die Verbindung der Sitzung eines anderen Benutzers unterbrochen.

  4. Geben Sie die Berechtigungsnachweise entsprechend den Eingabeaufforderungen ein, um sich bei Ihren Instanzen anzumelden.

  5. Mit der Tastenkombination Strg + L können Sie eine neue z/OS-Hauptkonsole öffnen, in der Sie vier Befehle start, stop, ipl und oprmsg für Operationen virtueller z/OS-Serverinstanzen absetzen können.

Weitere Informationen enthält der Abschnitt Über VNC-Konsolen oder serielle Konsolen auf Virtual Server-Instanzen zugreifen. Die VNC-Konsole wird auf virtuellen z/OS-Serverinstanzen nicht unterstützt.

Privaten SSH-Schlüssel über eine variable IP-Adresse verwenden

Sie können den privaten SSH-Schlüssel über eine freie IP-Adresse verwenden, um eine Verbindung zur Shell-Umgebung z/OS UNIX herzustellen.

Sie können jedoch die Bindung Ihrer variablen IP-Adresse an Ihre virtuelle z/OS-Serverinstanz aus Sicherheitsgründen aufheben und einen Bastionshost oder einen Client-zu-Site-VPN-Server für alle Verbindungen verwenden. Der standardmäßige gesicherte Port ist 22. Weitere Informationen zur variablen IP-Adresse finden Sie unter Variable IP-Adresse reservieren.

Wenn Sie auf eine andere virtuelle z/OS-Serverinstanz zugreifen möchten, die mit einem anderen SSH-Schlüssel erstellt wurde, müssen Sie den Instanzeigner bitten, Ihren öffentlichen SSH-Schlüssel zur Datei authorized_keys auf dieser virtuellen z/OS-Serverinstanz hinzuzufügen. Weitere Informationen zur Datei authorized_keys finden Sie unter Format der Datei 'authorized_keys' und unter Neue Benutzer für den Zugriff auf Ihre z/OS Virtual Server-Instanz konfigurieren.

Schritt 3. Neue Benutzer für den Zugriff auf Ihre virtuelle z/OS-Serverinstanz konfigurieren

Damit andere Benutzer auf Ihre virtuelle z/OS-Serverinstanz zugreifen können, indem sie ihre eigenen z/OS-Benutzer-IDs und eigenen SSH-Schlüssel verwenden, nachdem die Instanz erstellt wurde, müssen Sie jedes Benutzerprofil erstellen und jeden öffentlichen SSH-Schlüssel zur Datei authorized_keys auf der virtuellen z/OS-Serverinstanz hinzufügen.

  1. Sie können eine der folgenden Methoden verwenden, um eine neue z/OS-Benutzer-ID in RACF (Resource Access Control Facility) zu erstellen:

    • Der Befehl ADDUSER wird ausgegeben.
    • Registrieren Sie den Benutzer über die ICF-Anzeigen (TSO/E Information Center Facility). Weitere Informationen zur Verwaltung der Information Center Facility finden Sie unter z/OS TSO/E Administration.

    Im Folgenden sehen Sie ein Beispiel für die Verwendung des Befehls ADDUSER zum Erstellen eines Benutzerprofils. Angenommen, Sie möchten ein Benutzerprofil für Benutzer Steve H., ein Mitglied von Abteilung A, erstellen. Sie möchten die folgenden Werte zuordnen:

    • STEVEH für die Benutzer-ID
    • DEPTA für die Standardverbindungsgruppe
    • DEPTA für den Eigner des STEVEH-Benutzerprofils
    • R3I5VQX für das Anfangskennwort
    • Steve H. für den Namen des Benutzers

    Steve H. erfordert außer TSO keine Benutzerprofilsegmente. Die TSO-Segmentwerte, mit denen Sie beginnen möchten, sind 123456 für die Kontonummer und PROC01 für das Anmeldeverfahren.

    Führen Sie die folgenden Befehle aus, um ein Benutzerprofil mit diesen Werten zu erstellen:

    ADDUSER STEVEH DFLTGRP(DEPTA) OWNER(DEPTA) NAME('Steve H.')
    PASSWORD(R315VQX) TSO(ACCTNUM(123456) PROC(PROC01))

  2. Anschließend können Sie mit einer der folgenden Optionen neue öffentliche SSH-Schlüssel zur Datei authorized_keys hinzufügen.

    • Verwenden Sie den Linux-Befehl, wie z. B. ssh-copy-id -i <new-ssh-public-key-file> ibmuser@<vsi ip address>, um neue öffentliche SSH-Schlüssel in Ihrem lokalen Dateisystem in die virtuelle z/OS-Serverinstanz hochzuladen. Weitere Informationen finden Sie unter ssh-copy-id for copying SSH keys to servers.

    • Melden Sie sich bei der virtuellen z/OS-Serverinstanz an und verwenden Sie den Unix-Shellbefehl z/OS, wie z. B. cat <new-ssh-public-key-file> >> ~/.ssh/authorized_keys, um den neuen öffentlichen SSH-Schlüssel in der Datei authorized_keys zu verknüpfen. Weitere Informationen finden Sie unter cat-Concatenate or display files.

    • Verwenden Sie Zowe CLI, um eine Verbindung zur virtuellen z/OS-Serverinstanz herzustellen. Erstellen Sie anschließend ein CLI-Profil und fügen Sie der Datei authorized_keys neue öffentliche SSH-Schlüssel hinzu. Weitere Informationen zu den Zowe CLI-Profilen finden Sie unter Zowe CLI-Profile erstellen.

Weitere Informationen zur Datei authorized_keys und zu z/OS-Benutzerprofilen finden Sie unter Format der Datei 'authorized_keys' und Zusammenfassung der Schritte zum Definieren von Benutzern.

Nächste Schritte

Nachdem Sie eine Verbindung zu Ihrer virtuellen Serverinstanz hergestellt haben, können Sie Ihre Instanz verwalten.

Anweisungen zur Verwaltung von virtuellen z/OS-Serverinstanzen finden Sie unter z/OS Virtual Server-Instanzen konfigurieren und verwalten.