IP セキュリティーが FIPS 140 モードをサポートするよう構成するためのステップ

FIPS 140 モードを使用する必要がある各システムおよびスタック上で FIPS 140 モードをサポートするように、IP セキュリティーを構成します。 シスプレックス・ワイド・セキュリティー・アソシエーション (SWSA) を使用している場合、最初にディストリビューター・スタックおよびバックアップ・スタックでこれらのステップを実行してから、各ターゲット・スタックごとに実行します。

FIPS 140 モードをサポートするように IP セキュリティーを構成するには、以下のステップを実行します。

1. Integrated Cryptographic Services Facility (ICSF) が開始されており、FIPS 140 をサポートするように構成されていることを確認します。
   要件: ICSF は、FIPS 140 モードで構成された IKE デーモンまたは NSS サーバーを開始する前に、アクティブにしておく必要があります。 ICSF が FIPS 140-2 をサポートできるようにするには、「z/OS Cryptographic Services ICSF Writing PKCS #11 Applications」の『FIPS 140-2 に準拠した操作 (operating in compliance with FIPS 140-2)』のトピックを参照してください。
   ヒント: IP セキュリティーで ICSF を使用するために TKDS データ・セットを作成する必要はありません。

   ICSF に対して FIPS 140 モードを使用可能にする詳細については、「z/OS Cryptographic Services ICSF Administrator's Guide」を参照してください。

2. 以下のいずれかの条件が真であることを確認してください。
   • SAF クラス CRYPTOZ がアクティブでない。
   • CRYPTOZ クラスの FIPSEXEMPT.SYSTOK-SESSION-ONLY リソース用の SAF プロファイルが存在しない。
   • FIPS 140 モードに構成されている IKED、NSSD、および TCP/IP スタックは、CRYPTOZ クラスの SAF リソース FIPSEXEMPT.SYSTOK-SESSION-ONLY に対してアクセス権限がない (NONE)。
     ヒント: 単一の z/OS® システムは複数の TCP/IP スタックをサポートできるので、いくつかの TCP/IP スタックに対して FIPS 140 サポートを構成し、他に対しては FIPS 140 サポートを構成しないようにすることができます。FIPS 140 モードに構成されているスタックは、CRYPTOZ クラスの SAF リソース FIPSEXEMPT.SYSTOK-SESSION-ONLY に対するアクセス権があってはいけません。
3. System SSL FIPS 140 サポートが使用可能で、構成済みであることを確認してください。詳しくは、「z/OS Cryptographic Services System System Secure Sockets Layer プログラミング」の System SSL および FIPS 140-2 に関する情報を参照してください。
4. ネットワーク・セキュリティー・サービス (NSS) を使用している場合は、FIPS 140 をサポートするように NSS を構成してください。 NSS 構成ファイル (例えば、nssd.conf) で、FIPS140 値として Yes を指定して FIPS 140 を構成できます。Configuration Assistant で、NSS 観点の NSS 用 Advanced Server Settings で FIPS 140 オプションを構成します。

   FIPS 140 を構成した後、NSS デーモンがアクティブになっていた場合はこれを再始動します。

   ヒント: FIPS 140 に対して TCP/IP が使用可能になっているが、NSSD に対しては TCP/IP が使用可能になっていない場合、NSSD は TCP/IP スタックに対して NSS 証明書サービスを提供できません。
5. FIPS 140 をサポートするように IKE を構成します。 IKED 構成ファイル (例えば、iked.conf) で、FIPS140 値として Yes を指定して FIPS 140 を構成できます。Configuration Assistant で、IPSec 観点の Advanced IKE Daemon Settings で FIPS 140 オプションを構成します。

   FIPS 140 を構成した後、IKE デーモンがアクティブになっていた場合はこれを再始動します。

   ヒント: FIPS 140 に対して TCP/IP が使用可能になっていない場合、IKED はその TCP/IP スタック用の動的 VPN トンネルとはネゴシエーションしません。
6. FIPS 140 をサポートするため TCP/IP スタックを構成します。 そのスタックの IPSec ポリシー・ファイルの IpFilterPolicy ステートメントで FIPS140 Yes を指定して FIPS 140 を構成できます。Configuration Assistant で、IPSec 観点の Advanced Stack Settings で FIPS 140 オプションを構成します。

   FIPS 140 を構成した後、スタックがアクティブになっていた場合はこれを再始動します。