StorageTek Enterprise Library Software

安全指南

E63472-01

2015 年 3 月

StorageTek Enterprise Library Software 安全指南

E63472-01

版權 © 2015 年， Oracle 和 (或) 其關係公司。保留一切權利。

本軟體與相關說明文件是依據含有用途及保密限制事項的授權合約所提供，且受智慧財產法的保護。除了授權合約中或法律明文允許的部分外，不得以任何形式或方法使用、複製、重製、翻譯、廣播、修改、授權、傳送、散佈、展示、演出、出版或陳列本軟體的任何部分。除非依法需要取得互通性操作 (interoperability)，否則嚴禁對本軟體進行還原工程 (reverse engineering)、反向組譯 (disassembly) 或解編 (decompilation)。

本文件中的資訊如有變更恕不另行通知，且不保證沒有任何錯誤。如果您發現任何問題，請來函告知。

如果本軟體或相關說明文件是提供給美國政府或代表美國政府授權使用本軟體者，則適用下列條例：

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

本軟體或硬體是針對各類資訊管理應用的一般用途所開發。不適用任何原本就具危險性的應用上，包含會造成人身傷害風險的應用。如果您將本軟體或硬體應用於危險用途，則應採取適當的防範措施，包括保全、備份、儲備和其他措施以確保使用安全。Oracle Corporation 和其關係公司聲明對將本軟體或硬體應用於危險用途所造成之損害概不負任何責任。

Oracle 和 Java 是 Oracle 和 (或) 其關係公司的註冊商標。其他名稱為各商標持有人所擁有之商標。

Intel 和 Intel Xeon 是 Intel Corporation 的商標或註冊商標。所有 SPARC 商標的使用皆經過授權，且是 SPARC International, Inc. 的商標或註冊商標。AMD、Opteron、AMD 標誌與 AMD Opteron 標誌是 Advanced Micro Devices 的商標或註冊商標。UNIX 是 The Open Group 的註冊商標。

本軟體或硬體與說明文件可能提供第三方內容、產品和服務的存取途徑與資訊。除非您與 Oracle 之間的適用合約另有規定，否則 Oracle Corporation 和其關係公司明文聲明對第三方網站所提供的內容、產品與服務不做保證，且不負任何責任。除非您與 Oracle 之間的適用合約另有規定，否則 Oracle Corporation 和其關係公司對於您存取或使用第三方的內容、產品或服務所引起的任何損失、費用或損害亦不負任何責任。

內容

標題與版權資訊

前言

- 對象

- 文件輔助功能

1 簡介

- 產品簡介

- 一般安全原則

- 將軟體保持在最新狀態

- 限制網路存取

- 將安全資訊保持在最新狀態

2 安全安裝

- 安裝 ELS

- ELS 安裝後配置

3 安全功能

- 使用 AT-TLS 保護 ELS – 僅限 z/OS

- 使用 ELS XAPI 安全功能

4 開發人員的安全考量

A 安全建置檢查清單

B 參考資料

前言

本文件說明 Oracle 的 StorageTek Enterprise Library Software (ELS) 安全功能。

對象

本指南的對象為使用 StorageTek Enterprise Library Software (ELS) 安全功能與安全安裝及配置的所有人員。

文件輔助功能

如需 Oracle 對於輔助功能之承諾的相關資訊，請造訪 Oracle Accessibility Program 網站，網址為 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc。

取用 Oracle Support

已購買支援的 Oracle 客戶可以透過 My Oracle Support 使用電子支援。如需相關資訊，請造訪 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info；或如果您在聽力上需要特殊服務，請造訪 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs。

1 簡介

本節提供 ELS 軟體套件的簡介，並說明應用程式安全的一般原則。

產品簡介

ELS 提供下列平台之 Oracle StorageTek 大型主機磁帶環境的磁帶自動化支援：

- IBM z/OS 平台。ELS 支援 TCP/IP 用戶端/伺服器磁帶自動化架構，允許 z/OS LPAR 上執行的 SMC 用戶端軟體與不同 z/OS LPAR 上執行的 HSC/VTCS 伺服器軟體通訊。

- IBM z/VM 平台。z/VM 系統的 ELS VM 用戶端軟體可與 z/OS LPAR 上執行的 HSC/VTCS 伺服器軟體通訊，使 z/VM 的虛擬和實體磁帶機處理自動化。

- Fujitsu MSP/EX 平台。在處理磁帶的每部主機上都必須執行 SMC。ELS 伺服器元件 (HSC/VTCS) 可在與 SMC 相同的 MSP/EX 主機上執行，或在不同的遠端主機上執行。當 SMC 與 HSC/VTCS 位於不同的 MSP/EX 主機時，將使用 TCP/IP 從用戶端主機傳送要求至伺服器主機。若要從遠端 SMC 用戶端接收 HTTP 要求，必須啟動執行於伺服器主機上之 SMC 的 HTTP 元件。

ELS 用戶端/伺服器通訊可用來為虛擬與實體磁帶磁碟區發出控制路徑要求，主要是掛載與卸載要求。這些控制路徑要求中所包含的資訊為 TapePlex 配置與原則資訊、虛擬/實體磁帶傳輸單元位址以及虛擬/實體磁帶磁碟區序號。最重要的是，ELS 用戶端/伺服器通訊絕不會包含任何客戶資料，客戶資料一律經由 IBM FICON/ESCON 資料路徑介面來傳送，此資料路徑介面連接主機 LPAR 至 Oracle StorageTek 磁帶傳輸或 VSM 虛擬磁帶裝置。

本「安全指南」中的資訊適用於所有 ELS 版本。如本指南的第 3 部分所述，若有安全上的需要，可以保護 ELS 用戶端/伺服器控制路徑通訊。此外，本文件會討論各種 ELS 安裝與後續安裝活動的安全層面。

一般安全原則

下列原則為安全使用任何產品的基礎。

將軟體保持在最新狀態

良好的安全措施之一，便是讓所有軟體版本與修補程式保持在最新的狀態。My Oracle Support (MOS) 提供最新 ELS 累積維護組合，以及個別 PTF 與 HOLDDATA。累積維護組合會每月更新，以包含最新 ELS 每月遞迴測試週期的所有 PTF。累積組合中的所有 PTF 都會一起測試，如同完整的套件。訂閱 ELS 產品的「MOS 熱門主題警示」文件，即可收到 HIPER PTF 電子郵件通知。建議客戶維持目前的維護層次，讓 HOLDDATA 保持最新，並訂閱「熱門主題警示」以取得 HIPER 通知。

限制網路存取

為了效能與安全的考量，ELS 控制路徑通訊應經由防火牆後的獨立網路。使用防火牆可確保只有透過已知的網路才能存取 ELS 系統，並且能依照需求來監督和限制這些網路。針對 ELS 用戶端/伺服器通訊使用專用網路，可避免與其他應用程式競爭網路，並改善磁帶系統效能。

將安全資訊保持在最新狀態

Oracle 會持續改善其軟體和文件。請定期檢查此「安全指南」與所有其他 ELS 產品文件的修訂版本。本文件參照的所有 ELS 文件皆可自 Oracle Technical Network (OTN) 的 Tape Storage Products 段落中取得。

2 安全安裝

IBM z/OS System Authorization Facility (SAF) 提供 ELS 大部分安全方面的必要保護。SAF 通常是以 IBM RACF 套裝軟體或同等軟體實作。本節概要說明使用以 RACF 為基礎的 SAF 環境，來安裝與設定安全的 ELS 安裝。

安裝 ELS

Oracle 文件 StorageTek Enterprise Library Software: Installing ELS 說明如何使用 RACF 保護，安裝與設定您的 ELS 版本。請參閱此文件以瞭解下列安全相關安裝主題的詳細資訊：

- 安裝基本軟體與最新累計維護組合

- ELS 載入磁帶櫃 APF 授權

- HSC user exit 磁帶櫃 APF 授權

- SMC JES3 載入磁帶櫃 APF 授權

ELS 安裝後配置

這些 Oracle 文件說明您 ELS 版本的安裝後配置工作：

- StorageTek Enterprise Library Software: Configuring HSC and VTCS

- StorageTek Enterprise Library Software: Configuring and Managing SMC

- StorageTek Enterprise Library Software: ELS Programming Reference

請參閱這些文件以瞭解下列安全相關後續安裝主題的詳細資訊：

- 定義 CDS 資料集安全的 RACF 保護

- 使用 HSC user exit SLSUX15 定義指令權限與程式設計介面權限

- 使用 HSC user exit SLSUX14 定義掛載與退出磁碟區的磁碟區存取權限

- 定義 MVC 集區與暫用子集區 Volser 權限

- 定義遠端 HSC 子系統通訊的 SMC OMVS RACF 區段

- 定義 VLE 設備通訊的 SMC OMVS RACF 區段

3 安全功能

本章描述 ELS 提供的特定安全機制。

使用 AT-TLS 保護 ELS – 僅限 z/OS

IBM z/OS Application Transparent Transport Layer Security (AT-TLS) 設備使用 SSL 資料加密來保護 z/OS TCP/IP 應用程式。如需 AT-TLS 的詳細資訊，請參閱 IBM publication z/OS Communications Server: IP Configuration Guide，以及 IBM publication z/OS Communications Server: IP Configuration Reference 中的 AT-TLS 原則代理程式資訊。

保護 SMC 與 HSC/VTCS 之間 ELS 用戶端/伺服器通訊的說明，請參閱 Oracle 白皮書 Using AT-TLS with HSC/SMC Client/Server z/OS Solution: Implementation Example。此白皮書發佈於 Oracle Technical Network (OTN) 的 Tape Storage Products 段落。請參閱此文件以瞭解詳細配置資訊。

若要使用 AT-TLS 保護 ELS，Oracle 建議使用下列任何一種 SSL 加密演算法：

- SHA-2 系列 (SHA-256、SHA-384、SHA-512)

- AES >= 128 位元

- RSA >= 2048 位元

- Diffie-Hellman (DH) >= 2048 位元

- ECC >= 256 位元

其他 SSL 加密演算法提供的保護較差，不應用於 ELS。

注意:
VSM 的 StorageTek Virtual Library Extension (VLE) 設備目前不支援 AT-TLS 通訊。請勿使用 AT-TLS 保護 ELS VLE 通訊。

使用 ELS XAPI 安全功能

ELS 7.3 針對用戶端與伺服器間的通訊導入新的 XAPI 安全功能，SMC HTTP 伺服器中預設會啟用此功能。XAPI 安全功能提供額外的使用者認證設備作為 XAPI 協定的一部分，此協定位於 ELS 內部且完整包含在其中。若要使用 XAPI 安全功能，您必須定義 ELS 用戶端和伺服器的安全證明資料 (使用者 ID 和密碼)。ELS 7.3 TapePlex 作業會使用這些安全證明資料來保護 XAPI 交易 (掛載、卸載、磁碟區查詢、暫用... 等等)。XAPI 安全證明資料是以完全通透的方式來使用，無須額外的使用者或操作者介入。請參閱 Configuring and Managing SMC 7.3 ，瞭解有關配置 XAPI 安全功能的詳細資訊。

保護僅代管 ELS 用戶端應用程式 (SMC 和 VM 用戶端) 之 TapePlexes 的 XAPI 交易的慣用方法，便是使用 AT/TLS 設備，如使用 AT-TLS 保護 ELS – 僅限 z/OS中所述。AT/TLS 是一種傳輸層設備，位於 ELS 外部，並可讓 ELS 通透地使用。

使用 ELS 7.3 XAPI 安全功能來保護代管非 ELS 用戶端 (開放式系統用戶端) 的 TapePlexes，或是混合安裝 ELS 用戶端 (SMC 和 VM 用戶端) 和非 ELS 用戶端的 TapePlexes。除了 ELS 7.3 XAPI 安全功能之外，還可以在這些環境中使用 AT-TLS，但 AT-TLS 不會保護非 ELS 用戶端的 XAPI 交易。

4 開發人員的安全考量

Oracle 文件 StorageTek Enterprise Library Software: ELS Programming Reference 說明應用程式開發人員可用的 ELS API。ELS 程式設計介面使用「統一使用者介面 (UUI)」，UUI 根據 RACF 授權 (或同等的功能)，使用 HSC 指令安全結束 SLSUX15 來管理其函數的存取權。如需使用 RACF 保護 SLSUX15 的詳細資訊，請參閱ELS 安裝後配置。

A 安全建置檢查清單

1. 使用 RACF 保護 (或同等的功能)，如本「安全指南」所述。

2. 限制網路存取。ELS 及其管理的磁帶櫃應位於企業防火牆之後。

3. 使用 IBM AT-TLS 設備或 ELS XAPI 安全功能來保護 ELS 網路流量 (若有需要)。

4. 套用所有的 ELS PTF 與 HOLDDATA。

5. 若在 Oracle ELS 軟體中發現漏洞，請洽詢 Oracle 軟體支援，網址為：http://www.myoraclesupport.com/。

B 參考資料

ELS 文件儲存在依 ELS 版本組織的文件庫中。請從「磁帶儲存裝置文件」頁面存取此文件。

http://www.oracle.com/technetwork/documentation/tape-storage-curr-187744.html

Oracle 法律注意事項

版權注意事項

版權所有 © 1994-2016，Oracle 和 (或) 其關係公司。保留一切權利。

授權限制保固/衍生性損害免責聲明權

本軟體與相關說明文件是依據含有用途及保密限制事項的授權合約所提供，且受智慧財產法的保護。除了授權合約中或法律明文允許的部份外，不得以任何形式或方法使用、複製、重製、翻譯、廣播、修改、授權、傳送、散佈、展示、演出、出版或陳列本軟體的任何部份。除非依法需要取得互通性操作 (interoperability)，否則嚴禁對本軟體進行還原工程 (reverse engineering)、反向組譯 (disassembly) 或解編 (decompilation)。

保固免責聲明

本文件中的資訊如有變更恕不另行通知，且不保證沒有任何錯誤。如果您發現任何問題，請來函告知。

限制權利注意事項

如果本軟體或相關說明文件是提供給美國政府或代表美國政府授權使用本軟體者，則適用下列條例：

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危害應用注意事項

本軟體或硬體是針對各類資訊管理應用程式的一般使用所開發。不適用任何原本就具危險性的應用上，包含會造成人身傷害風險的應用。如果您將本軟體或硬體應用於危險用途，則應採取適當的防範措施，包括保全、備份、儲備和其他措施以確保使用安全。Oracle Corporation 和其關係公司聲明對將本軟體或硬體應用於危險用途所造成之損害概不負任何責任。

商標注意事項

Oracle 和 Java 是 Oracle 和 (或) 其關係公司的註冊商標。其他名稱為各商標持有人所擁有之商標。

Intel 和 Intel Xeon 是 Intel Corporation 的商標或註冊商標。所有 SPARC 商標的使用皆經過授權，且是 SPARC International, Inc. 的商標或註冊商標。AMD、Opteron、AMD 標誌與 AMD Opteron 標誌是 Advanced Micro Devices 的商標或註冊商標。UNIX 是 The Open Group 的註冊商標。

第三方內容、產品和服務免責聲明

本軟體或硬體與說明文件可能提供第三方內容、產品和服務的存取途徑與資訊。除非您與 Oracle 之間的適用合約另有規定，否則 Oracle Corporation 和其關係公司明文聲明對第三方網站所提供的內容、產品與服務不做保證，且不負任何責任。Oracle Corporation 和其關係公司對於您存取或使用第三方的內容、產品或服務所引起的任何損失、費用或損害亦不負任何責任。

Alpha 和 Beta 草稿版本說明文件注意事項

如果本文件是製作前的文件版本：

本說明文件是製作前的文件版本，僅供示範和初步使用。本說明文件可能不適用於您安裝軟體的硬體。Oracle Corporation 和其關係公司明文聲明對於未發行的說明文件內容不做保證，且對於使用本說明文件所引起的任何損失、費用或損害亦不負任何責任。

個人 Alpha 和 Beta 草稿版本說明文件注意事項

若本說明文件是個人製作前的文件版本:

本文件內的資訊僅供資訊分享用途，身為客戶諮詢委員會成員的您需斟酌使用，或僅可在遵循 Beta 版試用協議的狀況下使用。本文件不包含交付任何材料、程式碼或功能的承諾，且不應作為採購決策的依據。本文件描述之任何功能的開發、發行和時間點，ORACLE 均保有視情況予以更改的權利。

本文件不論形式、內含於軟體或為書面版本，其中所包含之專屬資訊均為 ORACLE 獨有的財產。此機密材料的存取和使用受制於您與 Oracle 所簽署且同意遵守之 Oracle Master Agreement、Oracle 授權和服務合約、Oracle PartnerNetwork 合約、Oracle 分銷合約或其他授權合約內條款與條件的規範。本文件和其中資訊在未事先取得 ORACLE 書面授權之前，不得揭露、複製、重製或散布予任何 ORACLE 以外的人員。本文件不屬於您授權協議的一部份，也不得納入任何與 ORACLE 或其子公司或關係公司簽署之合約協議。

說明文件協助工具

如需有關 Oracle 對於協助工具的承諾資訊，請瀏覽 Oracle Accessibility Program 網站，網址為 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc。

存取 Oracle 支援

Oracle 客戶可從 My Oracle Support 取得網路支援。如需資訊，請瀏覽 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info；如您有聽力障礙，請瀏覽 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs。