X.509 证书

为什么使用证书?

TLS 是一种广泛采用的安全协议，用于保护因特网上的通信。 TLS 的主要用例是加密服务器之间的通信。 它还可用于在启用客户机认证 (有时称为 相互认证) 时在服务器之间建立信任。

当许多客户机需要连接到 CICS 时， TLS 客户机认证可能不实用，因为创建和管理证书可能是一项重要工作，例如在证书到期时。

有关 TLS 的更多信息，请参阅 TLS。

证书的工作方式

TLS 客户机认证涉及确保与您通信的站点是他们声称的站点。 使用 TLS 时，将通过交换证书来完成认证，这些证书是采用 ITU-T 标准 X.509中描述的格式的数据块。 X.509 证书由外部机构 (称为 认证中心) 签发和数字签名。

证书用于向服务器认证客户机，向客户机认证服务器; 在这两种情况下，使用的机制基本相同。 但是，服务器证书是必需的-即，服务器必须将其证书发送到客户机，但客户机证书是可选的: 某些客户机可能不支持客户机证书; 其他客户机可能未安装证书。 服务器可以决定是否需要对连接进行客户机认证。

通过客户机证书认证，服务器会提示客户机提供证书，然后服务器将该证书与用户注册表中的用户标识进行验证和关联。 证书中的身份必须映射到用户注册表中的用户标识。 图 1 演示了 Exchange。

1. 客户机发出请求。
2. 在握手期间，服务器将其证书和其他信息发送到客户机。
3. 客户机验证服务器客户机。
4. 如果需要客户机 (相互) 认证，那么客户机会将其证书和其他信息发送到服务器。 服务器将验证客户机证书。

客户机证书通常由认证中心 (CA) 的专用密钥签署。 要验证证书，服务器需要使用认证中心的公用密钥。 也可能是 CA 证书本身由另一个 CA 签署。 这样的序列称为 证书路径，服务器必须有权访问该路径中所有 CA 证书的公用密钥。

在 CICS 中支持 TLS 客户机认证

CICS 可以在客户机认证流程中扮演服务器或客户机的角色。 当 CICS 作为服务器时，客户端会收到 CICS 的提示，要求提供证书，由 CICS 验证并与 RACF® 中的用户 ID 关联。当 CICS 作为客户端时，服务器会提示 CICS 提供证书，该证书由服务器验证。