ステップ 5: IP セキュリティーを ICSF に対して許可 (オプション)

IP セキュリティーでは、以下のようにして、System z® ハードウェアで使用可能な暗号化および暗号化解除の機能を利用することができます。

• IPSec トンネル内の TCP/IP パケット・データを暗号化および暗号化解除する。
• IKE メッセージ・フローの一部として含まれているシグニチャー・データを暗号化する。この暗号化が行われるのは、デジタル・シグニチャー認証が要求される場合のみです。

この暗号化サポートは、プロセッサー上の統合暗号化機能 (ICRF) と、統合暗号化サービス機能/MVS (ICSF) ソフトウェア製品の組み合わせにより提供されます。 ICSF は、さまざまの暗号化ハードウェア機構を利用した暗号化サポートを提供します。 ご使用のアプリケーションで利用できる暗号化機構は、プロセッサーまたはサーバーのモデルによって異なります。 ご使用のハードウェアでどの機構が利用できるかについては、「z/OS Cryptographic Services ICSF 概説」の中の、ハードウェア構成別の呼び出し可能サービス・サポートに関する情報を参照してください。

このサポートを使用するには、ICSF が開始されて稼働状態になっていることが必要です。できれば、TCP/IP の開始より前に ICSF を開始するようにしてください。 ただし、TCP/IP がアクティブ状態になっているときに ICSF/MVS を開始することもできます。 ICSF の構成について詳しくは、「z/OS Cryptographic Services ICSF Administrator's Guide」を参照してください。ICSF には、これらの暗号サービスへのアクセスを制限するためにオプションで使用できる SAF 制御が提供されています。さまざまな CSFSERV サービスに対応する SAF プロファイルを生成するためのサンプル・プロシージャーを表示するには、SEZAINST データ・セットの EZARACF サンプルの『Cryptographic Services Authorization』セクションを参照してください。

要件: ICSF 暗号サポートへのアクセスを制御する計画がある場合は、TCP/IP に ICSF 暗号サービス (CSFSERV) へのアクセスを許可する必要があります。

ガイドライン: ICSF 暗号サポートへのアクセスを制御する理由が何もない場合、CSFSERV リソース・クラスをアクティブにしないか、以下にリストされている任意のプロファイルを定義しないか、またはユーザーをこれらのプロファイルに対して許可しないでください。 CSFSERV リソース・クラスへの制御をセットアップする必要がある場合は、以下のステップを完了して IP セキュリティー用に ICSF を使用可能にします。