使用 SSL/TLS 保护通道

数字证书和密钥存储库

最好设置队列管理器证书标签属性 ( CERTLABL ) 到要用于大多数通道的个人证书的名称，并通过在需要不同证书的通道上设置证书标签来覆盖该证书以用于异常。

如果需要许多具有与队列管理器上的缺省证书集不同的证书的通道，那么应考虑在多个队列管理器之间划分这些通道，或者在队列管理器前面使用 MQIPT 代理来提供另一个证书。

您可以对每个通道使用不同的证书，但如果将太多证书存储在密钥存储库中，那么在启动 TLS 通道时可能会影响性能。 尝试将密钥存储库中的证书数保留为小于约 50 ，并将 100 视为最大值，因为 IBM Global Security Kit (GSKit) 性能会随着更大的密钥存储库而急剧下降。

允许在同一队列管理器上使用多个证书会增加在同一队列管理器上使用多个 CA 证书的可能性。 这将增加证书主体专有名称名称名称空间与由单独的认证中心发放的证书发生冲突的几率。

虽然专业认证中心可能更加谨慎，但内部认证中心通常缺乏明确的命名约定，最终可能出现一个 CA 与另一个 CA 之间的意外匹配。

除了主题专有名称外，您还应该检查证书颁发者专有名称。 要执行此操作，请使用通道认证 SSLPEERMAP 记录，并设置 SSLPEER 和 SSLCERTI 字段以分别与主体集 DN 和颁发者 DN 匹配。

自签名证书和 CA 签名证书

在开发和测试应用程序时以及在生产中使用数字证书时，规划数字证书的使用非常重要。 根据队列管理器和客户机应用程序的使用情况，您可以使用 CA 签名的证书或自签名证书。

CA 签名的证书

对于生产系统，请从可信认证中心 (CA) 获取证书。 从外部 CA 获取证书时，将为服务付费。

自签名证书

在开发应用程序时，可以使用本地 CA 颁发的自签名证书或证书，具体取决于平台:

在 AIX®, Linux®, and Windows 系统上，可以使用自签名证书。 请参阅 在 AIX， Linux和 Windows 上创建自签名个人证书以获取指示信息。

在 IBM i 系统上，可以使用本地 CA 签署的证书。 请参阅 请求 IBM i上的服务器证书 以获取指示信息。

在 z/OS®上，可以使用自签名证书或本地 CA 签名证书。 请参阅 在 z/OS上创建自签名个人证书 或 在 z/OS上请求个人证书 以获取指示信息。

CipherSpecs 和数字证书

只有一部分受支持的 CipherSpecs 可用于所有受支持的数字证书类型。 因此，需要为数字证书选择相应的 CipherSpec 。 同样，如果组织的安全策略要求使用特定的 CipherSpec ，那么必须获取合适的数字证书。

有关 CipherSpecs 与数字证书之间的关系的更多信息，请参阅 IBM MQ 中的数字证书和 CipherSpec 兼容性

证书验证策略

IETF RFC 5280 标准指定了一系列证书验证规则，为了防止假冒攻击，合规的应用软件必须实现这些规则。 一组证书验证规则称为证书验证策略。 有关 IBM MQ中的证书验证策略的更多信息，请参阅 IBM MQ中的证书验证策略。

规划证书撤销检查

允许来自不同认证中心的多个证书可能会导致不必要的其他证书撤销检查。

尤其是，如果您已显式配置使用特定 CA 中的撤销服务器 (例如，通过使用 AUTHINFO 对象或认证信息记录 (MQAIR) 结构) ，那么在提供来自其他 CA 的证书时，撤销检查将失败。

您应该避免显式证书撤销服务器配置。 相反，你应启用隐式检查，即每张证书在证书扩展名（如 CRL Distribution Point 或 OCSPAuthorityInfoAccess）中包含自己的吊销服务器位置。

有关更多信息，请参阅 OCSPCheckExtensions 和 CDPCheckExtensions。

TLS 支持的命令和属性

传输层安全性 (TLS) 协议提供通道安全性，防止窃听，篡改和假冒。 IBM MQ 对 TLS 的支持使您能够在通道定义上指定特定通道使用 TLS 安全性。 您还可以指定所需安全性类型的详细信息，例如要使用的加密算法。