配置 DB2 实例中的安全套接字层 (SSL) 支持

DB2® 数据库系统支持 SSL，这意味着也支持 SSL 的 DB2 客户机应用程序可以使用 SSL 套接字连接至 DB2 数据库。CLI、CLP 和 .Net Data Provider 客户机应用程序和使用 IBM® 数据服务器 JDBC 和 SQLJ 驱动程序（4 类连接）的应用程序支持 SSL。

1. 创建密钥数据库并设置数字证书。
   1. 使用 GSKCapiCmd 工具来创建密钥数据库。它必须为证书管理系统 (CMS) 类型的密钥数据库。 GSKCapiCmd 为非基于 Java 的命令行工具，不需要在系统上安装 Java™ 就能使用此工具。

      您使用 gskcapicmd 命令来调用 GSKCapiCmd，如 GSKCapiCmd User's Guide 中所述。在 Linux 和 UNIX 平台上，该命令的路径为 sqllib/gskit/bin，在 32 位和 64 位 Windows 平台上，则为 C:\Program Files\IBM\GSK8\bin。（在 64 位平台上，还存在 32 位 GSKit 可执行文件和库；在此情况下，该命令的路径为 C:\Program Files (x86)\IBM\GSK8\bin。）请确保 PATH（在 Windows 平台上）包括正确的 GSKit 库路径；LIBPATH、SHLIB_PATH 或 LD_LIBRARY_PATH（在 UNIX 或 Linux 平台上）包括正确的 GSKit 库路径，例如，sqllib/lib64/gskit。

      例如，以下命令创建称为 mydbserver.kdb 的密钥数据库以及称为 mydbserver.sth 的隐藏文件：

      gsk8capicmd_64 -keydb -create -db "mydbserver.kdb" -pw "myServerPassw0rdpw0" 
            -stash

      -stash 选项会在密钥数据库所在的路径上创建隐藏文件，其文件扩展名为 .sth。实例启动时，GSKit 会使用隐藏文件来获取密钥数据库的密码。

      注： 应该对隐藏文件使用强文件系统保护。缺省情况下，只有实例所有者才具有访问此文件的权限（读写访问权）。

      当创建密钥数据库时，会自动使用来自一些诸如 Verisign 之类的认证中心 (CA) 的签署者证书对它进行填充。

   2. 将服务器的证书添加至密钥数据库。在 SSL 握手期间，服务器会将此证书发送至客户机来为服务器提供认证。 要获取证书，可以使用 GSKCapiCmd 来创建新的证书请求并将它提交至 CA 以便签署，也可以创建自签名证书以用于测试。
      例如，要创建标签为 myselfsigned 的自签名证书，请按以下示例中所示的方式使用 GSKCapiCmd 命令：

      gsk8capicmd_64 -cert -create -db "mydbserver.kdb" -pw "myServerPassw0rdpw0"
              -label "myselfsigned" -dn "CN=myhost.mycompany.com,O=myOrganization,
              OU=myOrganizationUnit,L=myLocation,ST=ON,C=CA"

   3. 将刚才创建的证书抽取至文件，以便可将它分发给运行客户机（将与 DB2 服务器建立 SSL 连接）的计算机。
      例如，以下 GSKCapiCmd 命令将证书抽取至称为 mydbserver.arm 的文件：

      gsk8capicmd_64 -cert -extract -db "mydbserver.kdb" -pw "myServerPassw0rdpw0"
             -label "myselfsigned" -target "mydbserver.arm" -format ascii -fips

2. 要针对 SSL 支持设置 DB2 服务器，以 DB2 实例所有者身份登录并设置下列配置参数和 DB2COMM 注册表变量。
   1. 将 ssl_svr_keydb 配置参数设置为密钥数据库文件的标准路径。 例如：

      db2 update dbm cfg using SSL_SVR_KEYDB 
               /home/test/sqllib/security/keystore/key.kdb

      如果 ssl_svr_keydb 为 NULL（未设置），那么不会启用 SSL 支持。
   2. 将 ssl_svr_stash 配置参数设置为隐藏文件的标准路径。 例如：

      db2 update dbm cfg using SSL_SVR_STASH 
              /home/test/sqllib/security/keystore/mydbserver.sth

      如果 ssl_svr_stash 为 NULL（未设置），那么不会启用 SSL 支持。
   3. 将 ssl_svr_label 配置参数设置为服务器的数字证书的标签，在步骤 1 中已添加该数字证书。 如果未设置 ssl_svr_label，那么会使用密钥数据库中的缺省证书。如果密钥数据库中不存在任何缺省证书，那么不会启用 SSL。 例如：db2 update dbm cfg using SSL_SVR_LABEL myselfsigned，其中 myselfsigned 是样本标签。
   4. 将 ssl_svcename 配置参数设置为 DB2 数据库系统应该进行侦听以获取 SSL 连接的端口。 如果同时启用了 TCP/IP 和 SSL（DB2COMM 注册表变量设置为“TCPIP, SSL”），那么必须将 ssl_svcename 为与为 svcename 设置的端口不同的端口。svcename 配置参数设置 DB2 数据库系统进行侦听以获取 TCP/IP 连接的端口。如果将 ssl_svcename 与 svcename 设置为同一端口，那么将不会启用 TCP/IP 和 SSL 之中的任何一项。 如果 ssl_svcename 为 NULL（未设置），那么不会启用 SSL 支持。
      注： 在 HADR 环境中，请不要对主或备用数据库系统将 hadr_local_svc 设置为对 ssl_svcename 设置的值。另外，请不要将 hadr_local_svc 设置为 svcename 的值或 svcename 的值加一。
      注： 当 DB2COMM 注册表变量设置为“TCPIP,SSL”时，如果未正确启用 TCPIP 支持（例如，由于 svcename 配置参数设置为 NULL），那么会返回错误 SQL5043N 并且不会启用 SSL 支持。
   5. （可选）如果要指定服务器可以使用哪些密码套件，那么设置 ssl_cipherspecs 配置参数。 如果将 ssl_cipherspecs 保留为 NULL（未设置），那么这允许 GSKit 使用同时受客户机和服务器支持的最强可用密码套件。 请参阅受支持的密码套件，以获取有关哪些密码套件可用的信息。
   6. 将值 SSL 添加至 DB2COMM 注册表变量。 例如：

      db2set -i db2inst1 DB2COMM=SSL

      其中 db2inst1 是 DB2 实例名称。 数据库管理器可以同时支持多个协议。例如，要同时启用 TCP/IP 和 SSL 通信协议：

      db2set -i db2inst1 DB2COMM=SSL,TCPIP

   7. 重新启动 DB2 实例。 例如：

      db2stop
      db2start

gsk8capicmd_64 -cert -create -db "mydbserver.kdb" -pw "mydbserverpw0" 
  -label "myselfsigned" -dn "CN=myhost.mycompany.com,O=myOrganization,
        OU=myOrganizationUnit,L=myLocation,ST=ON,C=CA"

gsk8capicmd_64 -cert -details -db "mydbserver.kdb" -pw "mydbserverpw0" 
  -label "myselfsigned"

label : myselfsigned
key size : 1024
version : X509 V3
serial : 96c2db8fa769a09d
issue:CN=myhost.mycompany.com,O=myOrganization,OU=myOrganizationUnit,
   L=myLocation,ST=ON,C=CA
subject:CN=myhost.mycompany.com,O=myOrganization,OU=myOrganizationUnit,
   L=myLocation,ST=ON,C=CA
not before : Tuesday, 24 February 2009 17:11:50 PM
not after : Thursday, 25 February 2010 17:11:50 PM
public Key   
    30 81 9F 30 0D 06 09 2A 86 48 86 F7 0D 01 01 01
    05 00 03 81 8D 00 30 81 89 02 81 81 00 B6 B8 DC
    79 69 62 C9 A5 C1 5C 38 31 53 AB 27 BE 63 C0 DB
    DE C6 BC 2E A4 0D 37 45 95 22 0E 83 32 FE 67 A9
    2F D7 51 FF 40 A3 76 68 B9 E3 34 CB 7D 4A D8 38
    CA B1 6B 32 66 74 8F E2 B8 DA 8F D0 F3 62 04 BE
    C4 FE 80 2A D0 FF 27 72 37 9A 36 1D DB D3 A1 33
    A1 A6 48 33 E9 64 B9 9B 6B DB 08 60 7D 5E 0E 20
    0A 26 AA 62 3A DF D3 78 56 DC 15 DE 9F 0B 91 DD
    3B 1B 2B E2 82 FA 24 FF 81 A3 F7 3F C1 02 03 01
    00 01
public key type : RSA : 1.2.840.113549.1.1.1
finger print : SHA1 :    
    2D C1 93 F8 AC A0 8F E2 C2 05 D8 23 D7 5D 87 E6
    82 3C 47 EC
signature algorithm : SHA1WithRSASignature : 1.2.840.113549.1.1.5
value   
    0E 80 24 98 F6 6E 89 43 76 57 76 7F 82 95 18 6A
    43 A5 81 EC F4 82 1F 1F F2 3F E5 61 67 48 C0 59
    94 17 8E 8F DE 4F 7C 35 0C 5D A7 98 73 2A 34 7D
    1E BA 53 78 A5 E4 31 45 D1 08 86 BE 5E 57 C6 9D
    B5 E7 A7 01 3F 54 01 5E 8F 8B 2F 66 19 24 1E A4
    94 58 B0 D4 40 95 AB 98 C2 EF 1C 5C 4A 29 48 EC
    8C C0 A2 B1 AC 2A E9 3C 14 E5 77 B2 A6 55 A8 21
    CB 59 81 86 79 F0 46 35 F8 FC 99 2D EC D4 B9 EB
Trusted : enabled