| StorageTek Tape Analytics Guide d'installation et de configuration Version 2.0 E53327-01 |
|
 Précédent |
 Suivant |
| StorageTek Tape Analytics Guide d'installation et de configuration Version 2.0 E53327-01 |
|
Précédent |
Suivant |
Vous devez authentifier les utilisateurs avant qu'ils puissent accéder à STA. La création d'un utilisateur local et l'attribution de rôles sont gérées dans l'application STA et sont décrit dans "Configuration des utilisateurs." Ce chapitre décrit la configuration d'un Security Service Provider externe (SSP) pour STA : Open LDAP et IBM Resource Access Control Facility (RACF).
Pour configurer Open LDAP pour STA, suivez les étapes ci-dessous :
Allez à l'écran de connexion de la console WebLogic à l'aide du numéro de port HTTP (7001 par défaut) ou HTTPS (7002 par défaut) que vous avez sélectionné pendant l'installation de STA.
http(s)://NomDeVotreHôte:NuméroDuPort/console/
Connectez-vous à l'aide du nom d'utilisateur et du mot de passe de la console d'administration WebLogic que vous avez définis lors de l'installation de STA.
Sous Domain Structure (à gauche de l'écran), cliquez sur Security Realms.
Sous Realms, sélectionnez myrealm (sélectionnez le nom et non la case à cocher).
Cliquez sur l'onglet Providers.
Sous Change Center (coin supérieur gauche de l'écran), cliquez sur Lock & Edit.
Sous Authentication Providers, cliquez sur New.
Saisissez le nom du fournisseur d'authentification (par exemple, openLdapAuthenticator) puis sélectionnez OpenLDAPAuthenticator dans la liste Type. Cliquez sur OK.
Sélectionnez DefaultAuthenticator (sélectionnez le nom et non la case à cocher).
Modifiez l'Indicateur de contrôle sur Sufficient, puis cliquez sur Save.
Cliquez sur le lien localisateur Providers (en haut de l'écran) pour revenir à l'écran Authentication Providers.
Sous Authentication Providers, sélectionnez le nom d'authentificateur Open LDAP créé à l'étape 8 (sélectionnez le nom et non la case à cocher).
Modifiez l'Indicateur de contrôle sur Sufficient, puis cliquez sur Save.
Cliquez sur l'onglet Provider Specific.
Saisissez les paramètres suivants. Ces paramètres s'appliquent au serveur lses-ldap1 et sont spécifiques à chaque environnement de client.
Hôte = lses-ldap1
Port = 389
Principal = laisser vide
Informations d'identification = laisser vide
DN de base d'utilisateur = ou=people,dc=oracle,dc=eng
Filtre à partir du nom de l'utilisateur = (&(cn=%u)(objectclass=inetOrgPerson))
Classes d'objet utilisateur = inetOrgPerson
DN de base de groupe = ou=people,dc=oracle,dc=eng
Filtre à partir du nom du groupe = (&(cn=%g)(objectclass=groupofnames))
Cliquez sur Save.
Sous Change Center (coin supérieur gauche de l'écran), cliquez sur Activate Changes.
(Facultatif) Testez la configuration en effectuant les actions suivantes :
Déconnectez-vous de la console WebLogic.
Arrêtez puis redémarrez STA à l'aide de la commande STA. Pour plus d'informations sur l'utilisation de la commande, reportez-vous au Guide d'administration de STA.
# STA stop all # STA start all
Reconnectez-vous à la console WebLogic.
Accédez à Security Realms > myrealm > Users and Groups.
Dans les onglets Users et Groups, vérifiez que les entrées existent dans la colonne Provider pour le fournisseur Open LDAP.
Pour configurer STA pour l'authentification RACF, effectuez les actions suivantes :
Tâche 1, "Vérification des conditions minimales requises pour le mainframe IBM RACF"
Tâche 2, "Activation de la prise en charge du mainframe pour l'autorisation STA RACF"
Tâche 4, "Création des profils RACF utilisés par la routine CGI"
Tâche 5, "Importation du fichier de certificat et du fichier de clé privée (Facultatif)"
Tâche 7, "Configuration de RACF/SSP pour la console WebLogic"
Tâche 10, "Installation de RACF/SSP sur la console WebLogic"
|
Remarque: STA prend en charge les produits tiers compatibles avec IBM RACF — par exemple, l'autorité de certification ACF-2 et Top Secret. Il incombe à la personne responsable de l'installation de STA ou à l'administrateur de sécurité, d'exécuter les commandes correspondant au produit de sécurité installé. |
Les conditions RACF requises sont indiquées dans le Guide des conditions requises pour l'installation de STA.
Le mainframe du service RACF pour STA est fourni par une routine CGI qui fait partie du composant SMC pour ELS 7.0 et 7.1. Cette routine CGI est appelée par le serveur SMC HTTP et utilise les profils RACF définis dans la classe FACILITY.
Pour que STA utilise RACF comme moyen d'authentification d'accès sur le mainframe, vous devez définir une tâche SMC qui exécute le serveur HTTP. Vous pouvez trouver des informations concernant cette action dans le document ELS Configuring and Managing SMC.
|
Remarque: La tâche SMC doit correspondre à la règle AT-TLS définie. Vous pouvez également permettre à la définition AT-TLS d'utiliser un nom de tâche générique (par exemple, SMCWBas de page 1 ). |
Note de bas de page 1 Si vous utilisez un identificateur STC à valeur ajoutée (par exemple, NOMDETACHE.TACHE), cela peut entraîner un échec de la connexion de la routine CGI.
Le numéro de port utilisé pour le serveur HTTP doit correspondre à celui défini dans la console WebLogic et l'hôte doit correspondre au nom IP de l'hôte où la tâche SMC est exécutée.
|
Remarque: Un SMC existant peut être utilisé s'il existe sur l'hôte où l'autorisation RACF doit être effectuée. Dans ce cas, utilisez le numéro de port du serveur HTTP existant lorsque vous effectuez la configuration WebLogic. |
AT-TLS est une solution de chiffrement pour les applications TCP/IP, transparente au serveur et au client d'application. Le chiffrement et le déchiffrement de paquets ont lieu dans l'espace d'adressage z/OS TCPIP au niveau du protocole TCP. Les conditions AT-TLS requises pour l'autorisation RACF sont indiquées dans le Guide des conditions requises pour l'installation de STA.
Les commandes RACF suivantes répertorient le statut des différents objets RACF que vous définirez dans le processus de configuration :
RLIST STARTED PAGENT.* STDATA ALL
RLIST DIGTRING *ALL
RLIST FACILITY IRR.DIGTCERT.LISTRING ALL
RLIST FACILITY IRR.DIGCERT.LST ALL
RLIST FACILITY IRR.DIGCERT.GENCERT ALL
RACDCERT ID(stcuser) LIST
RACDCERT ID(stcuser) LISTRING(keyringname)
RACDCERT CERTAUTH LIST
Pour configurer AT-TLS, effectuez les actions suivantes :
Activez AT-TLS
Spécifiez le paramètre suivant dans le jeu de données de profil TCPIP pour activer la fonction AT-TLS :
TCPCONFIG TTLS
Cette déclaration peut est placée dans le fichier TCP OBEY.
Configuration de l'agent de stratégie (PAGENT)
L'espace d'adressage de l'agent de stratégie indique quel trafic TCP/IP est chiffré.
Saisissez la tâche JCL de PAGENT.
Par exemple :
//PAGENT PROC //* //PAGENT EXEC PGM=PAGENT,REGION=0K,TIME=NOLIMIT, // PARM='POSIX(ON) ALL31(ON) ENVAR("_CEE_ENVFILE=DD:STDENV")/-d1' //* //STDENV DD DSN=pagentdataset,DISP=SHR//SYSPRINT DD SYSOUT=* //SYSOUT DD SYSOUT=* //* //CEEDUMP DD SYSOUT=*,DCB=(RECFM=FB,LRECL=132,BLKSIZE=132)
Saisissez les variables d'environnement de PAGENT. Le jeu de données pagentdataset contient les variables d'environnement de PAGENT.
Par exemple :
LIBPATH=/lib:/usr/lib:/usr/lpp/ldapclient/lib:. PAGENT_CONFIG_FILE=/etc/pagent.conf PAGENT_LOG_FILE=/tmp/pagent.log PAGENT_LOG_FILE_CONTROL=3000,2 _BPXK_SETIBMOPT_TRANSPORT=TCPIP TZ=MST7MDT
Dans cet exemple, /etc/pagent.conf contient les paramètres de configuration de PAGENT. Utilisez votre propre fuseau horaire pour le paramètre TZ.
Configuration de PAGENT
Par exemple :
TTLSRule TBI-TO-ZOS
{
LocalAddr localtcpipaddress
RemoteAddr remotetcpipaddress
LocalPortRange localportrange
RemotePortRange remoteportrange
Jobname HTTPserverJobname
Direction Inbound
Priority 255
TTLSGroupActionRef gAct1~TBI_ICSF
TTLSEnvironmentActionRef eAct1~TBI_ICSF
TTLSConnectionActionRef cAct1~TBI_ICSF
}
TTLSGroupAction gAct1~TBI_ICSF
{
TTLSEnabled On
Trace 2
}
TTLSEnvironmentAction eAct1~TBI_ICSF
{
HandshakeRole Server
EnvironmentUserInstance 0
TTLSKeyringParmsRef keyR~ZOS
}
TTLSConnectionAction cAct1~TBI_ICSF
{
HandshakeRole ServerWithClientAuth
TTLSCipherParmsRef cipher1~AT-TLS__Gold
TTLSConnectionAdvancedParmsRef cAdv1~TBI_ICSF
CtraceClearText Off
Trace 2
}
TTLSConnectionAdvancedParms cAdv1~TBI_ICSF
{
ApplicationControlled Off
HandshakeTimeout 10
ResetCipherTimer 0
CertificateLabel certificatelabel
SecondaryMap Off
}
TTLSKeyringParms keyR~ZOS
{
Keyring keyringname
}
TTLSCipherParms cipher1~AT-TLS__Gold
{
V3CipherSuites TLS_RSA_WITH_3DES_EDE_CBC_SHA
V3CipherSuites TLS_RSA_WITH_AES_128_CBC_SHA
}
où :
localtcpipaddress
adresse TCP/IP locale (adresse du serveur HTTP)
remotetcpipaddress
adresse TCP/IP distante (adresse du client STA). Il peut s'agir de TOUT pour toutes les adresses TCP/IP
localportrange
port local du serveur HTTP (spécifié au démarrage de HTTP ou SMC)
remoteportrange
plage de ports distante (1024-65535 pour tous les ports éphémères)
HTTPserverJobname
nom de tâche du serveur HTTP
certificatelabel
étiquette de la définition du certificat
keyringname
nom de la définition du trousseau de clés RACF
Activation des classes RACF
Saisissez les commandes suivantes pour activer les classes RACF. Vous pouvez utiliser les panneaux RACF ou la CLI.
Les classes RACF incluent :
DIGTCERT
DIGTNMAP
RLIST DIGTRING *ALL
SERVAUTH CLASS doit être RACLIST pour éviter que PORTMAP et RXSERV abandonnent.
SETROPTS RACLIST(SERVAUTH) RDEFINE SERVAUTH **UACC(ALTER) OWNER (RACFADM) RDEFINE STARTED PAGENT*.* OWNER(RACFADM) STDATA(USER(TCPIP) GROUP(STCGROUP) RDEFINE FACILITY IRR.DIGTCERT.LISTRING UACC(NONE) OWNER(RACFADM) RDEFINE FACLITY IRR.DIGTCERT.LIST UACC(NONE) OWNER(RACFADM) RDEFINE FACILITY IRR.DIGTCERT.GENCERT UACC(NONE) OWNER (RACFADM)
Définition des trousseaux de clés et des certificats RACF
Saisissez les commandes RACF suivantes pour créer des trousseaux de clés et des certificats:
RACDCERT ID(stcuser) ADDRING(keyringname)
où :
stcuser : ID d'utilisateur RACF associé avec l'espace d'adressage TCPIP
keyringname : nom du trousseau de clés. Il doit correspondre au trousseau de clés spécifié dans la configuration PAGENT
RACDCERT ID(stcuser) GENCERT CERTAUTH SUBJECTSDN(CN('serverdomainname') O('companyname') OU('unitname') C('country')) WITHLABEL('calabel') TRUST SIZE(1024) KEYUSAGE(HANDSHAKE,DATAENCRYPT,CERTSIGN)
|
Remarque: Il s'agit du certificat CA pour le système STA. |
où :
stcuser : ID d'utilisateur RACF associé avec l'espace d'adressage TCPIP
serverdomainname : nom de domaine du serveur z/OS (par exemple, MVSA.COMPANY.COM)
companyname : nom de l'entreprise
unitname : nom de l'unité organisationnelle
country : pays
calabel : étiquette pour l'autorité de certification (par exemple, CATBISERVER)
RACDCERT ID(stcuser) GENCERT SUBJECTSDN(CN('serverdomainname') O('companyname') OU('unitname') C('country')) WITHLABEL('serverlabel') TRUST SIZE(1024) SIGNWITH(CERTAUTH LABEL('calabel'))
|
Remarque: Il s'agit du certificat SERVER. |
où :
stcuser : ID d'utilisateur RACF associé avec l'espace d'adressage TCPIP
serverdomainname : nom de domaine du serveur z/OS (par exemple, MVSA.COMPANY.COM)
companyname : nom de l'entreprise
unitname : nom de l'unité organisationnelle
country : pays
serverlabel : étiquette pour le certificat de serveur (par exemple, TBISERVER)
calabel : étiquette pour l'autorité de certification, spécifiée dans la définition du certificat CA
RACDCERT ID(stcuser) GENCERT SUBJECTSDN(CN('clientdomainname') O('companyname') OU('unitname') C('country')) WITHLABEL('clientlabel') TRUST SIZE(1024) SIGNWITH(CERTAUTH LABEL('calabel'))
|
Remarque: Il s'agit du certificat CLIENT. |
où :
stcuser : ID d'utilisateur RACF associé avec l'espace d'adressage TCPIP
clientdomainname : nom de domaine pour le client STA (par exemple, TBIA.COMPANY.COM)
companyname : nom de l'entreprise
unitname : nom de l'unité organisationnelle
country : pays
clientlabel : étiquette du certificat de serveur –TBICLIENT
calabel : étiquette pour l'autorité de certification, spécifiée dans la définition du certificat CA
Saisissez les commandes suivantes pour connecter les certificats CA, SERVER et CLIENT au trousseau de clés spécifié dans la configuration PAGENT :
RACDCERT ID(stcuser) CONNECT(CERTAUTH LABEL('calabel') RING('keyringname') USAGE(CERTAUTH))
où :
stcuser : ID d'utilisateur RACF associé avec l'espace d'adressage TCPIP
calabel : étiquette pour l'autorité de certification, spécifiée dans la définition du certificat CA
keyringname : nom du trousseau de clés, il doit correspondre au trousseau de clés spécifié dans la configuration PAGENT
RACDCERT ID(stcuser) CONNECT(ID(stcuser) LABEL('serverlabel') RING('keyingname') DEFAULT USEAGE(PERSONAL)
où :
stcuser : ID d'utilisateur RACF associé avec l'espace d'adressage TCPIP
serverlabel : étiquette pour le certificat de serveur
keyringname : nom du trousseau de clés. Il doit correspondre au trousseau de clés spécifié dans la configuration PAGENT
RACDCERT ID(stcuser) CONNECT(ID(stcuser) LABEL('clientlabel') RING('keyingname') USEAGE(PERSONAL)
où :
stcuser : ID d'utilisateur RACF associé avec l'espace d'adressage TCPIP
clientlabel : étiquette du certificat de client
keyringname : nom du trousseau de clés. Il doit correspondre au trousseau de clés spécifié dans la configuration PAGENT
Saisissez les commandes suivantes pour exporter les certificats CA et client vers le STA :
RACDCERT EXPORT (LABEL('calabel')) CERTAUTH DSN('datasetname') FORMAT(CERTB64)
où :
calabel : étiquette pour l'autorité de certification, spécifiée dans la définition du certificat CA
datasetname : jeu de données pour recevoir le certificat exporté
RACDCERT EXPORT (LABEL('clientlabel')) ID(stcuser) DSN('datasetname') FORMAT(PKCS12DER) PASSWORD(' password ')
où :
clientlabel : étiquette du certificat de client
stcuser : ID d'utilisateur RACF associé avec l'espace d'adressage TCPIP
datasetname : jeu de données pour recevoir le certificat exporté
password : mot de passe pour le chiffrement des données. Nécessaire lorsque le certificat est reçu sur STA. Le mot de passe doit comporter au moins huit caractères.
Les jeux de données d'export sont transmis à STA et le FTP peut être utilisé. Le certificat CA est transmis avec une conversion d'EBCDIC à ASCII. Le certificat CLIENT est transmis en tant que fichier BINARY et contient le certificat client et sa clé privée.
Les profils sont définis dans la classe FACILITY. Le premier profil est appelé SMC.ACCESS.STA et détermine si un utilisateur a accès à l'application STA.
Un utilisateur qui nécessite d'accéder à STA doit avoir un accès lecture pour ce profil. Les autres profils sont tous affichés en tant que SMC.ROLE.nnn et sont utilisés pour déterminer quels rôles sont attribués à l'utilisateur une fois connecté.
|
Remarque: Le seul rôle défini pour STA est StorageTapeAnalyticsUser. Pour obtenir ce rôle, vous devez demander à ce que votre ID utilisateur soit ajouté au profil SMC.ROLE.STORAGETAPEANALYTICSUSER en accès lecture. |
Cette procédure peut être précieuse pour savoir si les clés publiques et privées ont été générées et si les ID et les mots de passe utilisateur, disposant des autorisations appropriées, ont été correctement définis.
Le test peut être effectué sur n'importe quel navigateur, mais pour cet exemple nous utilisons Firefox.
Dans Firefox, cliquez sur Outils puis sur Options.
Accédez à l'onglet Avancé puis à l'onglet Chiffrement.
Cliquez sur le bouton Afficher les certificats.
Accédez à l'onglet Autorités dans la boîte de dialogue Gestionnaire de certificats puis sélectionnez le fichier de certificat à importer.
Cliquez sur Importer.
Cliquez ensuite sur l'onglet Vos certificats et saisissez le fichier de clé privée à importer.
Cliquez sur Importer.
Cliquez sur le bouton OK pour enregistrer et quitter la boîte de dialogue.
Pour tester la routine CGI dans un navigateur, saisissez l'URL suivante, où l'hôte, le port, l'ID utilisateur et le mot de passe sont définis selon les valeurs appropriées.
https://host:port/smcgsaf?type=authentication&userid=userid
&password=password&roles=StorageTapeAnalyticsUser
Le résultat indique si l'utilisateur est autorisé à accéder à STA et le rôle StorageTapeAnalyticsUser.
|
Remarque: L'utilitaire d'autorisation STA RACF ne prend pas en charge la modification du mot de passe des ID utilisateur du mainframe. Si le mot de passe d'un ID utilisateur expire, STA vous le signale et vous devez réinitialiser le mot de passe à l'aide de canaux normaux de mainframe avant d'essayer de vous reconnecter à STA. |
Le RACF Security Service Provider (ou RACF SSP) doit être installé sur WebLogic en tant que plug-in.
Si le RACF SSP a été installé, le programme d'installation de STA doit placer le RACF SSP au bon emplacement dans WebLogic. S'il n'a pas été installé, placez le fichier jar de sécurité RACF dans le répertoire appelé :
/Oracle/Middleware/wlserver_10.3/server/lib/mbeantypes/staRACF.jar
Installation des PTF requis sur le système MVS. Ces PTF permettent l'authentification avec RACF ou un autre logiciel de sécurité tiers, lorsque vous vous connectez à STA. Pour connaître les conditions requises de PTF, reportez-vous au Guide des conditions requises pour l'installation de STA.
Le protocole Application Transparent TLS (AT-TLS) a été configuré sur MVS pour que le numéro de port soit défini sur le serveur SMC HTTP et que WebLogic soit chiffré sur le serveur.
Avant de continuer, assurez-vous de posséder deux fichiers : le certificat de serveur MVS (au format ASCII) et la clé privée de client STA (au format PKCS12 binaire). L'administrateur système MVS vous a donné le mot de passe pour accéder au fichier PKCS12.
Placez le certificat sous Oracle/Middleware/user_projects/domains/tbi/cert.
Convertissez le certificat du format DER au format PEM.
openssl pkcs12 -clcerts -in PKCS12DR.xxxxxx -out mycert.pem
Vous serez invité à saisir le mot de passe d'importation (fourni avec le certificat), un nouveau mot de passe PEM et la vérification du mot de passe.
A l'aide de la commande Java keytool, importez le fichier de certificat dans le fichier /Oracle/Middleware/jdk1.6.0_xx/jre/lib/security/cacerts grâce à la commande suivante :
/Oracle/Middleware/jdk1.6.0_xx/jre/bin/keytool -importcert -alias tbiServer -file certificate -keystore /Oracle/Middleware/jdk1.6.0_xx/jre/lib/security/cacerts -storetype jks
Pour configurer WebLogic pour l'authentification RACF, suivez la procédure dans la section "Reconfiguration de WebLogic pour qu'il utilise un certificat de sécurité distinct."
Allez à l'écran de connexion de la console WebLogic à l'aide du numéro de port HTTP (7001 par défaut) ou HTTPS (7002 par défaut) que vous avez sélectionné pendant l'installation de STA.
http(s)://NomDeVotreHôte:NuméroDuPort/console/
Connectez-vous à l'aide du nom d'utilisateur et du mot de passe de la console d'administration WebLogic que vous avez définis lors de l'installation de STA.
Sous Domain Structure (à gauche de l'écran), cliquez sur Security Realms.
Sous Realms, sélectionnez myrealm (sélectionnez le nom et non la case à cocher).
Sous Change Center (coin supérieur gauche de l'écran), cliquez sur Lock & Edit.
Sélectionnez l'onglet Providers.
Sous Authentication Providers, cliquez sur New.
Saisissez le nom du fournisseur d'authentification (par exemple, RacfAuthenticator) puis sélectionnez RacfAuthenticator dans la liste Type. Cliquez sur OK.
Dans la liste Type, le fichier RACF jar doit être répertorié. S'il ne l'est pas, arrêtez puis redémarrez STA à l'aide de la commande STA. Pour plus d'informations sur l'utilisation de la commande, reportez-vous au Guide d'administration de STA.
Sous Authentication Providers, assurez-vous que le fournisseur RACF apparaît en dernier dans la liste. DefaultAuthenticator et DefaultIdentityAsserter doivent toujours être les deux premiers articles de la liste.
Cliquez sur DefaultAuthenticator (sélectionnez le nom et non la case à cocher).
Modifiez l'indicateur de contrôle sur Sufficient, puis cliquez sur Save.
Sélectionnez l'onglet Provider Specific puis cliquez sur Save.
Cliquez sur le lien localisateur Providers pour revenir à l'écran Authentication Providers.
Sous Authentication Providers, sélectionnez le nom d'authentificateur RACF créé à l'étape 8 (sélectionnez le nom et non la case à cocher).
Modifiez l'indicateur de contrôle sur Sufficient, puis cliquez sur Save.
Sélectionnez l'onglet Provider Specific.
Saisissez le nom d'hôte (par exemple, hôtemvs.votreentreprise.com) et le numéro de port (par exemple, 8700) où le système MVS est exécuté puis cliquez sur Save.
Sous Change Center (coin supérieur gauche de l'écran), cliquez sur Activate Changes.
Déconnectez-vous de WebLogic.
Arrêtez puis redémarrez STA à l'aide de la commande STA. Pour plus d'informations sur l'utilisation de la commande STA, reportez-vous au Guide d'administration de STA.
# STA stop all # STA start all
|
 Copyright © 2012, 2014, Oracle et/ou ses sociétés affiliés. Tous droits réservés. Informations légales |
|