暗号化された通信に AT-TLS を使用

ATTLS=Y

1. AT-TLS 機能をアクティブにするように z/OS® Communications Server プロファイル TCPCONFIG ステートメントを変更します。例:

   TCPCONFIG  TTLS		; Required for AT-TLS

   オプションで、ポリシー・エージェント (PAGENT: AT-TLS 規則を有効にするために必要となる) が自動的に開始されるようにインストール済み環境において z/OS® Communications Server プロファイル AUTOLOG ステートメントを変更することもできます。例:

   AUTOLOG
         PAGENT		; POLICY AGENT, required for AT-TLS
   ENDAUTOLOG

2. z/OS®へのインバウンド接続用の AT-TLS 規則を設定するために ZCC server Communications Server ポリシー・エージェント (PAGENT) 構成を作成します。例:

   TTLSRule                     rule_ZCC 
   {                                            
    LocalPortRange              2800 
    Direction                   Inbound 
    TTLSGroupActionRef          grp_ZCC  
    TTLSEnvironmentActionRef    env_ZCC  
   }                                          
   TTLSGroupAction              grp_ZCC  
   { 
    TTLSEnabled                 On                 
   }                                            
   TTLSEnvironmentAction        env_ZCC
   {                                            
   HandshakeRole                Server             
   TTLSKeyRingParms                             
   {                                             
    Keyring                     ZCC.KEYRING         
   }                                            
   TTLSEnvironmentAdvancedParms                 
   {                                              
     TLSv1.3                    On                    
     HandshakeTimeout           30                    
     ApplicationControlled      On                   
    }
   TTLSCipherParms                             
    {                                           
      V3CipherSuites4Char 13021301              
    }                                           
   TTLSSignatureParms                          
    {                                           
      ServerKeyShareGroups 00230024002500290030 
    }         
   TTLSGskAdvancedParms                        
    {                                           
      GSK_SESSION_TICKET_SERVER_ENABLE Off     
    }                                              
   }

   注:

   ZCC serverでは ApplicationControlled パラメーターをオンにする必要があります。また、構成パラメーター SSL_REQUIRED を有効なプロトコル値に設定する必要があります。選択されたプロトコルは、AT-TLS 構成の TTLSEnvironmentAdvancedParms ステートメントで指定された AT-TLS 規則によってサポートされているプロトコルと一致しなければなりません。例:

   SSL_REQUIRED=TLSv1.3

   HandshakeTimeout 値は 30 秒に設定することをお勧めします。ルール内で LocalAddr* (LocalAddr、LocalAddrRef、LocalAddrSetRef、LocalAddrGroupRef) ステートメントを使用して、ZCC server がリスンする IP アドレスを制限する場合は、ステートメントがアドレス 127.0.0.1 のサーバーへの接続を許可するようにする必要があります。

   また、HFISRV STC ユーザーは、TTLSKeyRingParms ステートメントの Keyring パラメーターで識別される鍵ストアにアクセスできなければなりません。TLS 1.3 でサポートされる暗号仕様、鍵共有グループ、証明書タイプについて詳しくは、https://www.ibm.com/docs/en/zos/2.4.0?topic=protocols-required-updates-enable-tls-v13-protocol-supportを参照してください。

3. z/OS® Communications Server ポリシー・エージェントを開始します。
   注:

   ポリシー・エージェント構成を変更したり、ポリシー・エージェント構成で識別される鍵リングまたは鍵ストアを変更したりした場合は、ポリシー・エージェントを再始動します。