47.3 Kerberos 지원47.3 Kerberos 지원현재 DB2 Universal Database는 비 DRDA 환경에서 사용자를 인증하기 위한 수단으로 Kerberos 보안 프로토콜을 지원합니다. DB2/390 V7.1은 Kerberos 보안을 지원하기 시작했으므로, DB2 Connect는 Kerberos 인증을 DB2/390에 연결할 수 있도록 하기 위해 DRDA AR 기능을 추가합니다.
티켓팅 시스템을 처리하는 Kerberos 인증 레이어는 Win2K Active Directory 메커니즘으로 통합됩니다. 응용프로그램의 클라이언트 및 서버측은 각각 Kerberos SSP(Security Support Provider) 클라이언트 및 서버 모듈과 통신합니다. SSPI(Security Support Provider Interface)는 Kerberos SSP 및 기타 보안 프로토콜에 상위 레벨 인터페이스를 제공합니다.
통신 프로토콜 지원
SNA 연결의 경우 APPC 노드를 카탈로그화할 때 SECURITY=NONE을 사용해야 합니다.
일반 설치
DB2가 Kerberos 인증을 사용하도록 구성하는 프로시듀어를 수행하려면 다음을 설정해야 합니다.
가장 단순한 시나리오에서는 구성해야 할 적어도 하나의 KDC 신뢰 관계가 있습니다. 즉, 클라이언트 워크스테이션을 제어하는 KDC와 OS/390 시스템 간에 관계가 형성됩니다. OS/390 R10은 호스트가 UNIX KDC로 작동하도록 하는 RACF 기능을 통해 Kerberos 티켓 처리를 제공합니다.
DB2 Connect는 평상시와 같이 라우터 기능을 3층 설정으로 제공합니다. Kerberos 보안이 사용될 때 인증에 역할이 있다고 가정하지 않습니다. 때신 클라이언트 보안 토큰을 DB2/390에 전달합니다. 따라서 DB2 Connect 게이트웨이가 클라이언트나 호스트의 Kerberos 범위의 구성원이 될 필요가 없습니다.
Kerberos를 사용하려면 DB2 Connect 게이트웨이 모두 인증 유형 KERBEROS와의 해당 연결을 카탈로그화해야 합니다. 클라이언트는 인증 NOT_SPEC 또는 Kerberos를 통해 카탈로그화할 수 있습니다. 클라이언트 및 게이트웨이에서 다른 인증 유형 조합의 결과는 sqlcode -1401(인증 유형 불일치)가 됩니다.
다운레벨 호환성
Kerberos 지원을 위한 DB2 요구사항:
DB2/390에는 OS/390 버전 2 릴리스 10 이상에서 실행되어야 한다는 요구사항이 있습니다. 다운 레벨 DB2/390 시스템에는 DB2 Connect 버전 7.1 클라이언트로부터 연결할 때 추가적인 요구사항이 있습니다. 이러한 DB2/390 시스템은 Kerberos를 지원하지 않지만 지원되지 않는 DRDA SECMEC에 적절히 응답하지 않습니다. 이 문제점을 정정하려면 적절한 PTF를 적용하십시오.
