使用安全套接字层(SSL)支持

本主题描述如何对 IMS 资源适配器和 IMS Connect 使用安全套接字层(SSL)支持。

下表对如何设置和配置 IMS Connector for Java 和 IMS Connect SSL 支持提供了高级描述。按下面概括的顺序来执行各个步骤:
SSL 客户机 (IMS Connector for Java) SSL 服务器 (IMS Connect)
  1. 决定是否需要进行客户机认证。如果不需要进行客户机认证,则跳至步骤 5。
2. 如果需要进行客户机认证,则应获得已签名的证书和专用密钥。  
3. 如果需要进行客户机认证,则应创建密钥库并插入客户机的专用密钥和证书。有关更多详细信息,请参阅下面的描述。  
  4. 如果需要进行客户机认证,则应将客户机的公用密钥证书插入 IMS Connect 使用的密钥环中。有关更多信息,请参阅 IMS Connect User's Guide(SC27-0946)。
5. 创建信任密钥库(另一个密钥库),并插入服务器的公用密钥证书。  
  6. 决定使用哪个 IMS Connect SSL 端口。为 IMS Connect 和 SSL 配置成员设置适当的值。有关设置配置成员的更多信息,请参阅 IMS Connect User's Guide(SC27-0946)。
7. 获得 IMS Connect SSL 端口号。  
8. 为连接工厂设置适当的 SSL 参数。有关更多详细信息,请参阅下面的描述。  
9. 将应用程序绑定至 SSL 连接工厂。  

为客户机创建密钥库或信任密钥库

为了让客户机与服务器之间互相进行认证,必须在客户端和服务器端都为 JKS 密钥库或 SAF 密钥环提供有效的 X.509 证书。IMS Connector for Java 和 IMS Connect 可以使用 JKS 密钥库或 SAF 密钥环作为它们的密钥库。如果服务器不需要执行客户机认证,也就不需要创建客户机证书并将它添加至服务器的密钥环或密钥库中。有几个工具可用来管理密钥库。要在客户端和服务器端都提供 JKS 密钥库,必须执行下列步骤:
  • 要设置客户机,创建一个证书并让一个“认证中心”(例如,VeriSign)为它签名,或者使用诸如 OpenSSL 的软件创建您自己的 CA 以便为您自己的证书签名。
  • 要创建密钥库,可使用密钥管理工具(例如,Ikeyman 或 Keytool)。创建密钥库之后,将客户机证书(如果有一个证书可用的话)导入密钥库中。
  • 要创建信任密钥库,创建另一个密钥库并导入服务器证书。注意:如果您只想创建一个密钥库,则将服务器证书作为客户机证书导入同一个密钥库中。

SSL 配置

SSL 属性用来创建 Java 客户机应用程序与 IMS Connect 之间的安全 SSL 连接。有关必须为 IMS Connector for Java 提供的值的描述,请参阅连接属性

可以采用两种方法来设置 SSL 属性:

  1. 可以使用 Rational Application Developer(开发环境)中的工具来为非受管应用程序中使用的连接属性提供值。 对于 Rational Application Developer 在测试环境服务器或者在 WebSphere Application Server 的独立服务器实例中创建的新的连接工厂,您还可以使用 Rational Application Developer 中的向导来为这些连接工厂的连接属性提供值。Rational Application Developer 通过提供连接工厂的 JNDI 名称,将安装在 WebSphere® Application Server 上的 Java™ 客户机应用程序中的连接工厂资源引用映射或绑定至已配置 SSL 的连接工厂。下图显示了 IMS™ 连接属性界面:

    IMS 连接属性界面的屏幕捕获

  2. 可以在 WebSphere Application Server 中使用连接工厂的“定制属性”页面。 如果您单独处理了开发和部署,并且在部署期间部署了连接工厂,则要使用此方法。

    在运行时环境中,由客户机创建的连接工厂被用来建立安全套接字连接。下图显示了与 SSL 有关的定制属性:
    连接工厂属性表的屏幕捕获

注意:可以在服务器生成的 trace.log 文件中找到参考消息和警告。

在运行时,当 Java 客户机应用程序执行与 IMS 的交互时,交互将在与 IMS Connect 的安全(SSL)连接上传递。下列步骤对于 Java 客户机应用程序是透明的。IMS 资源适配器使用 SSL 协议与 IMS Connect 进行交互,如下所示:
  • IMS Connector for Java 通过发送 Client Hello 来启动连接。服务器将以 Server Hello 及其证书作为应答。
  • 如果服务器不需要客户机认证,则客户机将使用服务器的信任密钥库中服务器的公用密钥来认证服务器的证书。如果认证成功,就完成了 SSL 握手。在客户端和服务器端都已建立了会话密钥。
  • 如果服务器确实需要客户机认证,则客户机将使用服务器的信任密钥库中服务器的公用密钥来认证服务器的证书。如果此认证成功,就从客户机的密钥库中发送了客户机证书。如果服务器成功认证了此证书,就完成了 SSL 握手。在客户端和服务器端都已建立了会话密钥。
  • 现在,客户机和服务器都可以发送和接收加密数据了。
相关概念
IMS 资源适配器安全性
组件管理的 EIS 登录
容器管理的 EIS 登录
安全套接字层(SSL)概述
相关任务
配置组件管理的 EIS 登录
配置容器管理的 EIS 登录
使用条款 | 反馈
(C) Copyright IBM Corporation 2000, 2005. All Rights Reserved.