Activation de SSL pour les connexions à l'interface Web IIB

Le 19 juillet 2019.

Voyons comment activer SSL pour les connexions à l'interface Web IIB.

Conditions préalables et avantages

Première de toutes , vous devez configurer vos clés et vos magasins de clés de confiance sur le nœud d’intégration IIB et y charger les certificats. En outre, des bibliothèques de chiffrement illimitées doivent être installées sur votre JRE IBM.

Deuxièmement, quels sont les avantages évidents d’accéder à vos nœuds d’intégration via HTTPS vs HTTP? Les raisons sont les mêmes que pour accéder à votre compte bancaire via HTTPS vs HTTP. Les informations que vous transmettez sur Internet doivent être cryptées pour protéger les données sensibles et confidentielles susceptibles de se trouver en vol.

Étapes techniques

Ces étapes ont été testées sur le logiciel IIB v10.x.

1. Vous allez utiliser un nouveau port pour votre connexion. La valeur par défaut est 4434, mais vous pouvez choisir le vôtre. Les administrateurs système verrouillent généralement tous les ports et ne les autorisent à s'ouvrir que lorsqu'ils sont nécessaires. Donc, ouvrez ce port pour les connexions entrantes et sortantes. Exemple sous Linux:

   / scripts / linux / cloudPort add -p tcp 4434

2. Supposons que vos clés et vos magasins de clés de confiance se trouvent dans / var / mqsi / config / IIB_NODE1 / ssl et qu’ils sont nommés respectivement key.jks et trust.jks. Nous allons modifier le registre du noeud IIB avec la commande mqsichangeproperties pour lui indiquer où chercher ces magasins:

   mqsichangehangeproperties IIB_NODE1 -o BrokerRegistry
   -n brokerKeystoreFile, brokerTruststoreFile, allowSSLv3 -1945 /IIB_NODE1/ssl/trust.jks,false[19659002hnellechosesànoterdanscettecommandeLacommandeconsisteenunnomd'objetquevoussouhaitezmodifierspécifiéparl'indicateur–osuivid'unechaînedenomsdechampsséparéspardesvirgulesetspécifiésparl'indicateur–nsuivisd'unechaînedevaleursséparéespardesvirgulesetspécifiésparlesparamètres–vdrapeauIln'yapasd'espacesentrelesnomsdechampsoulesvaleursSivoussouhaitezinterromprelacommandepourlarendrepluslisiblevouspouvezutiliserunséparateurdeligne:barreobliqueinversesousLinux()etcaretsousWindows(^)Danslesdeuxcasilnepeutyavoird’espaceaprèsunséparateurLechamp«allowSSLv3»vouspermetd'activerdeschiffrementsSSLv3plusfaiblessurvotreconnexionIln'estpasrecommandéd'utiliseruneversioninférieureàTLSv12nousdéfinissonsdonclavaleurdecechampsur"false"

3. Comme la clé et les magasins de confiance sont protégés par un mot de passe, nous devons ensuite indiquer au nœud ce qu'ils sont. il peut accéder aux certificats stockés à l'intérieur. Comme toujours avec IIB, nous utilisons la commande mqsisetdbparms pour cela.

   mqsisetdbparms IIB_NODE1 -n brokerKeystore :: mot-de-passe -u ignorer -p "
   mqsisetdbparms IIB_NODE1 -n brokerTruststore :: mot de passe -u ignore -p"

   Entrez le mot de passe approprié pour le magasin entre guillemets simples. ] Ensuite, nous allons modifier les propriétés de l’objet du connecteur HTTPS:

   mqsichangehangeproperties IIB_NODE1 -b webadmin -o HTTPSConnector
   -n keystoreFile, keystorePass, truststoreFile, truststorePass
   -v /var/mqsi/config/config
   /var/mqsi/config/IIB_NODE1/ssl/trust.jks,brokerTruststore::password

   La première exécution de cette commande définit les magasins de clés et de confiance, ainsi que leurs mots de passe. La deuxième exécution définit le protocole que nous voulons utiliser et le port sur lequel écouter.

   mqsichangeproperties IIB_NODE1 -b webadmin -o HTTPSConnector
   -n sslProtocol, port -v TLSv1.2,4434

4. Nous devons activer SSL pour les connexions à l’interface Web:

   mqsichangehangeproperties IIB_NODE1 -b webadmin -o serveur -n enableSSL -v true

5. Recyclez le noeud et vous devriez pouvoir vous connecter via l'interface Web de votre noeud IIB: https: // nom_hôte: 4434

Postface

Quelques notes. Vous pouvez toujours vérifier vos paramètres actuels à l'aide des commandes suivantes:

mqsireportproperties IIB_NODE1 -b webadmin -o HTTPSConnector -r
mqsireportproperties IIB_NODE1 -b webadmin -o serveur -r

L'utilisation de l'indicateur –r fournira toutes les valeurs récursives . L'utilisation de l'indicateur –a fournira toutes les valeurs sans afficher de valeur sous le premier niveau, le cas échéant.

mqsireportproperties IIB_NODE1 -b webadmin -o HTTPSConnector -a
mqsireportproperties IIB_NODE1 -b webadmin -o webadmin -o serveur -a

Comme toujours, les commentaires sont les bienvenus. Faites-moi savoir si ces instructions ont fonctionné pour vous!