Connessione alle istanze del server virtuale z/OS

Un'istanza di server virtuale z/OS è in genere un componente dell'infrastruttura backend privato a cui non è consentito l'accesso diretto dall'esterno. Anche gli ambienti utilizzati per lo sviluppo, il test o la dimostrazione devono seguire le procedure ottimali per l'isolamento logico.

Per informazioni su come utilizzare le sottoreti per isolare e controllare in modo sicuro il traffico verso l'infrastruttura di back - end come un'istanza del server virtuale z/OS, puoi fare riferimento alle seguenti esercitazioni:

Dopo esserti connesso alla rete VPC utilizzando il client - to - site VPN server, puoi accedere all'istanza del server virtuale z/OS utilizzando l'indirizzo IP privato.

Prima di iniziare

Assicurarsi di individuare l'indirizzo IP privato prima di connettersi alle istanze z/OS. Gli indirizzi IP privati sono indirizzi IP forniti dal sistema e raggiungibili solo all'interno della rete VPC. Puoi trovare l'indirizzo IP privato della tua istanza del server virtuale z/OS nella colonna Indirizzo IP riservato sulla console dopo che l'istanza è stata creata correttamente.

Se la tua istanza del server virtuale z/OS viene creata utilizzando l'immagine stock di test e sviluppo di z/OS, puoi fare riferimento alla tabella Configurazioni riservate per aggiungere ulteriori porte al gruppo di sicurezza della tua istanza.

Passo 1. Configurazione della parola d'ordine

Prima di poter accedere a un'istanza del server virtuale z/OS, è necessario cambiare password per l'ID utente predefinito ibmuser.

Se utilizzi immagini personalizzate z/OS Wazi aaS, non è necessario configurare la password. È possibile ignorare tranquillamente questo passaggio e connettersi invece all'istanza del server virtuale z/OS.

  1. Accedere all'ambiente di shell z/OS UNIX utilizzando la chiave privata SSH e l'ID utente predefinito. I vsi ip address nei seguenti frammenti di codice rappresentano l'indirizzo IP privato della tua istanza del server virtuale z/OS.

    ssh -i <path to your private key file> ibmuser@<vsi ip address>

    Ricevi una risposta simile al seguente esempio. Quando ti viene richiesto di continuare la connessione, digita yes.

    The authenticity of host 'xxx.xxx.xxx.xxx (xxx.xxx.xxx.xxx)' can't be established.
ECDSA key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'xxx.xxx.xxx.xxx' (ECDSA) to the list of known hosts.

  2. Utilizzare il comando tsocmd per configurare le passphrase per l'istanza z/OS. Sostituire YOUR PASSWORD PHRASE con la propria passphrase.

    tsocmd "ALTUSER IBMUSER PHRASE('YOUR PASSWORD PHRASE') NOEXPIRE RESUME"

    È necessario seguire le regole di sintassi per le passphrase elencate in Assegnazione di passphrase.

    Per ulteriori informazioni sui comandi, consultare tsocmd - Esegui un comando TSO/E dalla shell(inclusi i comandi autorizzati) e ALTUSER(Alter user profile).

Passo 2. Effettua connessione

Puoi interagire con la tua istanza del server virtuale z/OS con i seguenti approcci.

Utilizzo dell'emulazione terminale TN3270

È possibile utilizzare l'emulazione terminale TN3270 per accedere a TSO/E (Time Sharing Option / Extensions). La porta predefinita per il TN3270 protetto è 992 ed è necessario fornire un certificato CA (certificate - authority) autofirmato come parametro per avere una connessione protetta al programma di emulazione 3270. È possibile trovare il certificato CA autofirmato in un file denominato common_cacert nella directory home dell'ID utente IBMUSER in z/OS UNIX System Services.

  • Per i sistemi macOS, Linux e Windows in cui è installato il client Secure Copy Protocol (SCP), è necessario trasferire il file common_cacert prima di collegarsi alla porta telnet protetta ed eseguire i seguenti comandi:

    scp ibmuser@<vsi ip address>:/u/ibmuser/common_cacert <my local dir>/common_cacert
c3270 -cafile <my local dir>/common_cacert -port 992 <vsi ip address>

    Se il file non è nel formato corretto, è necessario convertirlo in formato ASCII.

  • Per Windows, è necessario prima importare il certificato CA autofirmato in Windows e quindi creare PCOMM ( IBM Personal Communications ) per leggerlo dal truststore in Windows. Completa i seguenti passi:

    1. Trasferire il file common_cacert dal sistema z/OS alla propria workstation.

    2. Aprire Opzioni Internet nella stazione di lavoro.

    3. In Contenuto, selezionare Certificati.

    4. Selezionare Importa per aprire la pagina Procedura guidata di importazione certificato e fare clic su Avanti.

    5. Fare clic su Sfoglia per selezionare il file common_cacert e fare clic su Avanti.

    6. Nella pagina Archivio certificati, selezionare Inserire tutti i certificati nel seguente archivio e fare clic su Sfoglia per selezionare Autorità di certificazione root attendibili, quindi fare clic su Avanti.

    7. Nella pagina Completamento della procedura guidata di importazione certificati, fare clic su Fine.

    8. Dopo aver trasferito correttamente il certificato CA al truststore, è necessario creare una sessione protetta in PCOMM. Nella scheda Definizione host della configurazione Parametri di link, immettere l'indirizzo IP o il nome host della propria istanza del server virtuale z/OS con porta 992.

    9. Nella scheda Impostazione sicurezza della configurazione Parametri di collegamento, selezionare la casella Abilita sicurezza.

    L'ID utente predefinito è IBMUSER e la password è quella configurata nel passo precedente. In seguito, è possibile interagire con z/OS in modalità nativa TSO, utilizzando Interactive System Productivity Facility ( ISPF ), oppure utilizzando la shell e le utility di z/OS UNIX. Per ulteriori informazioni, vedere Interazione con z/OS: interfacce TSO, ISPF e z/OS UNIX.

    La porta non protetta 23 per la connessione 3270 è chiusa. È necessario utilizzare la porta protetta 992.

    • Il certificato server VSI contiene solo le informazioni sull'indirizzo IP privato dell'istanza del server virtuale z/OS.
    • Facoltativamente, puoi utilizzare l'indirizzo IP della VSI come parte dell'argomento accepthostname quando ti connetti su un indirizzo IP mobile. Ad esempio:
      c3270 -cafile <my local dir>/common_cacert -port 992 -accepthostname <vsi ip address>  <floating ip>

Utilizzo di IBM Host On-Demand

Se si desidera importare il certificato CA utilizzando IBM Host On-Demand, eseguire i seguenti comandi:

  1. Scaricare il file del certificato dal sistema z/OS.

    scp ibmuser@<vsi ip address>:/u/ibmuser/common_cacert ./Downloads/common_cacert

  2. Importare il certificato scaricato. Utilizzare un alias riconoscibile.

    keytool -importcert -alias <alias> -file ./Downloads/common_cacert -keystore /Applications/HostOnDemand/lib/CustomizedCAs.jks -storepass hodpwd

  3. Verificare quali certificati sono stati importati.

    keytool -list -keystore /Applications/HostOnDemand/lib/CustomizedCAs.jks -storepass hodpwd

Utilizzo del browser Web per accedere a z/OSMF

È possibile utilizzare il browser Web per accedere a IBM z/OS Management Facility (z/OSMF). Ad esempio, accedere all'URL https://<vsi ip address>:10443/zosmf/LogOnPanel.jsp.

Per ulteriori informazioni su z/OSMF, consultare IBM z/OS Management Facility.

Quando si avvia z/OSMF, vengono visualizzati avvisi di sicurezza del browser perché le istanze del server virtuale z/OS vengono create con certificati TLS firmati da un certificato radice autofirmato interno.

Utilizzo della console seriale dall'IU IBM Cloud

Puoi utilizzare IBM Cloud per collegarti a una console seriale e monitorare l'avanzamento dell'IPL all'interno della console.

Per connettersi alla console seriale, è necessario che ti siano stati assegnati i ruoli Operator (o superiori Console Administrator ) e per l'istanza del server virtuale in IBM Cloud® Identity and Access Management (IAM). Altrimenti, la console seriale è disabilitata.

Segui questa procedura per connetterti a una console utilizzando l'IU IBM Cloud.

  1. Nella console IBM Cloud console, andare su Menu di navigazione icona icona menu > Infrastruttura Icona VPC > Calcolo > Istanza server virtuale.

  2. Nell'elenco Istanze del server virtuale per VPC, fai clic sul pulsante di overflow dell'istanza a cui devi accedere, quindi fai clic su Apri console seriale. In alternativa, nella pagina dei dettagli dell'istanza, fai clic su Action in alto a destra e fai clic su Open Serial Console.

  3. Se viene utilizzata la console seriale, verrà richiesto di confermare se forzare l'apertura di una sessione. Questa operazione disconnetterà la sessione dell'altro utente.

  4. Immetti le credenziali che seguono le richieste per accedere alle tue istanze.

  5. Utilizzare la combinazione di tasti Ctrl + L per aprire una nuova console principale z/OS, in cui è possibile immettere quattro comandi start, stop, ipl e oprmsg per le operazioni dell'istanza del server virtuale z/OS.

Per ulteriori informazioni, vedi Accesso alle istanze del server virtuale utilizzando le console VNC o seriali. La console VNC non è supportata sulle istanze del server virtuale z/OS.

Utilizzo della chiave privata SSH tramite un indirizzo IP mobile

È possibile utilizzare la chiave privata SSH attraverso un indirizzo IP fluttuante per connettersi all'ambiente shell z/OS UNIX.

Tuttavia, potresti voler annullare il bind del tuo IP mobile dalla tua istanza del server virtuale z/OS per considerazioni sulla sicurezza e utilizzare un host bastion o un server VPN da client a sito per tutte le connessioni. La porta protetta predefinita è 22. Per ulteriori informazioni sull'indirizzo IP mobile, consultare Riservato di un indirizzo IP mobile

Se vuoi accedere a un'altra istanza del server virtuale z/OS creata utilizzando una chiave SSH diversa, devi chiedere al proprietario dell'istanza di aggiungere la tua chiave pubblica SSH al file authorized_keys su tale istanza del server virtuale z/OS. Per ulteriori informazioni relative al file authorized_keys, consultare Formato del file authorized_keys e Configurazione di nuovi utenti per accedere alla tua istanza del server virtuale z/OS.

Passo 3. Configurazione di nuovi utenti per accedere alla tua istanza del server virtuale z/OS

Per consentire ad altri di accedere all'istanza del server virtuale z/OS utilizzando i propri ID utente z/OS e le proprie chiavi SSH dopo la creazione dell'istanza, è necessario creare ogni profilo utente e aggiungere ogni chiave pubblica SSH al file authorized_keys sull'istanza del server virtuale z/OS.

  1. È possibile utilizzare uno dei seguenti metodi per creare un nuovo ID utente z/OS in RACF (Resource access control facility):

    • Immissione del comando ADDUSER.
    • Registrazione dell'utente mediante i pannelli ICF (Information Center Facility) TSO/E. Per ulteriori informazioni sulla gestione di Information Center Facility, consultare z/OS TSO/E Administration.

    Di seguito è riportato un esempio di utilizzo del comando ADDUSER per creare un profilo utente. Si supponga di voler creare un profilo utente per l'utente Steve H., un membro del reparto A. Si desidera assegnare i seguenti valori:

    • STEVEH per l'ID utente
    • DEPTA per il gruppo di connessione predefinito
    • DEPTA per il proprietario del profilo utente STEVEH
    • R3I5VQX per la parola d'ordine iniziale
    • Steve H. per il nome dell'utente

    Steve H. non richiede alcun segmento del profilo utente ad eccezione di TSO. I valori del segmento TSO che si desidera impostare per iniziare sono 123456 per il numero di conto e PROC01 per la procedura di accesso.

    Per creare un profilo utente con questi valori, è possibile eseguire i comandi riportati di seguito:

    ADDUSER STEVEH DFLTGRP(DEPTA) OWNER(DEPTA) NAME('Steve H.')
    PASSWORD(R315VQX) TSO(ACCTNUM(123456) PROC(PROC01))

  2. Quindi, puoi utilizzare una delle seguenti opzioni per aggiungere nuove chiavi pubbliche SSH al file authorized_keys.

    • Utilizza il comando linux come ssh-copy-id -i <new-ssh-public-key-file> ibmuser@<vsi ip address> per caricare le nuove chiavi pubbliche SSH nel file system locale nell'istanza del server virtuale z/OS. Per ulteriori informazioni, consultare ssh - copy - id for copying SSH keys to servers.

    • Accedere all'istanza del server virtuale z/OS, utilizzare il comando z/OS Unix System shell come cat <new-ssh-public-key-file> >> ~/.ssh/authorized_keys per concatenare la nuova chiave pubblica SSH nel file authorized_keys. Per ulteriori informazioni, consultare cat - Concatenate or display files.

    • Utilizza la CLI Zowe per connetterti all'istanza del server virtuale z/OS, quindi crea un profilo della CLI e aggiungi nuove chiavi pubbliche SSH nel file authorized_keys. Per ulteriori informazioni sui profili CLI Zowe, vedi Creazione dei profili CLI Zowe.

Per ulteriori informazioni sul file authorized_keys e sui profili utente z/OS, consultare Formato del file authorized_keys e Riepilogo dei passi per definire gli utenti.

Passi successivi

Dopo che ti sei connesso alla tua istanza del server virtuale, puoi gestire la tua istanza.

Per le istruzioni sulla gestione delle istanze del server virtuale z/OS, vedi Configurazione e gestione delle istanze del server virtuale z/OS.