DB2 インスタンスの Secure Sockets Layer (SSL) サポートの構成

DB2® データベース・システムは、SSL をサポートしています。したがって、SSL をサポートする DB2 クライアント・アプリケーションは、SSL ソケットを使用して DB2 データベースに接続できます。CLI、CLP、および .Net Data Provider クライアント・アプリケーション、および IBM® Data Server Driver for JDBC and SQLJ (タイプ 4 の接続) を使用するアプリケーションは、SSL をサポートします。

1. 鍵データベースを作成し、デジタル証明書をセットアップします。
   1. GSKCapiCmd ツールを使用して、鍵データベースを作成します。 これは、Certificate Management System (CMS) タイプの鍵データベースでなければなりません。 GSKCapiCmd は非 Java ベースのコマンド行ツールで、このツールを使用するためにシステムに Java™ がインストールされている必要はありません。

      「GSKCapiCmd User's Guide」に説明されているとおり、gskcapicmd コマンドを使用して、GSKCapiCmd を呼び出します。このコマンドのパスは Linux および UNIX プラットフォームでは sqllib/gskit/bin で、32 ビットと 64 ビットの Windows プラットフォームではどちらも C:¥Program Files¥IBM¥GSK8¥bin です。 (64 ビット・プラットフォームでは、32 ビット GSKit 実行可能ファイルおよびライブラリーもあります。この場合、このコマンドのパスは C:¥Program Files (x86)¥IBM¥GSK8¥bin です。)Windows プラットフォームの場合は、PATH に適切な GSKit ライブラリー・パスが必ず含まれるようにしてください。UNIX プラットフォームまたは Linux プラットフォームの場合は、LIBPATH、SHLIB_PATH、または LD_LIBRARY_PATH に適切なライブラリー・パス (sqllib/lib64/gskit など) が必ず含まれるようにしてください。

      例えば、以下のコマンドを使用すると、mydbserver.kdb という鍵データベースと、mydbserver.sth という stash ファイルが作成されます。

      gsk8capicmd_64 -keydb -create -db "mydbserver.kdb" -pw "myServerPassw0rdpw0" 
            -stash

      -stash オプションは、鍵データベースと同じパスに、ファイル拡張子 .sth で、stash ファイルを作成します。インスタンスの始動時に、GSKit は stash ファイルを使用して、鍵データベースへのパスワードを取得します。

      注: この stash ファイルには強力なファイル・システム保護を使用する必要があります。デフォルトでは、インスタンス所有者のみがこのファイルへのアクセス権限 (読み取りアクセス権限と書き込みアクセス権限の両方) を持っています。

      鍵データベースを作成するとき、Verisign などのいくつかの認証局 (CA) から自動的に署名者証明書が取り込まれます。

   2. サーバーの証明書を鍵データベースに追加します。サーバーは、SSL ハンドシェーク中にこの証明書をクライアントに送信して、サーバーのための認証を提供します。 証明書を取得するために、GSKCapiCmd を使用して新規認証要求を作成して、署名されるようにそれを CA にサブミットするか、テスト目的で自己署名証明書を作成できます。
      例えば、myselfsigned というラベルを持つ自己署名証明書を作成するには、以下の例に示されているように GSKCapiCmd コマンドを使用します。

      gsk8capicmd_64 -cert -create -db "mydbserver.kdb" -pw "myServerPassw0rdpw0" 
              -label "myselfsigned" -dn "CN=myhost.mycompany.com,O=myOrganization,
              OU=myOrganizationUnit,L=myLocation,ST=ON,C=CA"

   3. DB2 サーバーとの SSL 接続を確立するクライアントを実行しているコンピューターに証明書を配布できるように、作成したばかりの証明書をファイルに抽出します。
      例えば、以下の GSKCapiCmd コマンドは、mydbserver.arm というファイルに証明書を抽出します。

      gsk8capicmd_64 -cert -extract -db "mydbserver.kdb" -pw "myServerPassw0rdpw0" 
             -label "myselfsigned" -target "mydbserver.arm" -format ascii -fips

2. SSL をサポートするように DB2 サーバーをセットアップするには、DB2 インスタンス所有者としてログインし、以下の構成パラメーターおよび DB2COMM レジストリー変数を設定します。
   1. ssl_svr_keydb 構成パラメーターを鍵データベース・ファイルの絶対パスに設定します。 例えば、以下のようにします。

      db2 update dbm cfg using SSL_SVR_KEYDB 
               /home/test/sqllib/security/keystore/key.kdb

      ssl_svr_keydb が NULL (未設定) の場合、SSL サポートは使用できません。
   2. ssl_svr_stash 構成パラメーターを stash ファイルの絶対パスに設定します。 例えば、以下のようにします。

      db2 update dbm cfg using SSL_SVR_STASH 
              /home/test/sqllib/security/keystore/mydbserver.sth

      ssl_svr_stash が NULL (未設定) の場合、SSL サポートは使用できません。
   3. ssl_svr_label 構成パラメーターをサーバーのデジタル証明書のラベル (ステップ 1 で追加した) に設定します。 ssl_svr_label が設定されていない場合、鍵データベースのデフォルトの証明書が使用されます。鍵データベースにデフォルトの証明書がない場合、SSL は使用できません。 例えば、以下のようにします。db2 update dbm cfg using SSL_SVR_LABEL myselfsigned ここで、myselfsigned はサンプル・ラベルです。
   4. ssl_svcename 構成パラメーターを、DB2 データベース・システムが SSL 接続を listen するポートに設定します。 TCP/IP と SSL の両方が使用可能である (DB2COMM レジストリー変数が 'TCPIP, SSL' に設定されている) 場合、ssl_svcename を svcename が設定されているポートとは異なるポートに設定する必要があります。svcename 構成パラメーターは、DB2 データベース・システムが TCP/IP 接続を listen するポートを設定します。ssl_svcename を svcename と同じポートに設定する場合、TCP/IP も SSL も使用できません。 ssl_svcename が NULL (未設定) の場合、SSL サポートは使用できません。
      注: HADR 環境では、1 次データベース・システムまたはスタンバイ・データベース・システムの hadr_local_svc を、ssl_svcename に設定したのと同じ値に設定しないでください。また、hadr_local_svc を svcename、または svcename プラス 1 と同じ値に設定しないでください。
      注: DB2COMM レジストリー変数が 'TCPIP,SSL' に設定されているとき、例えば、svcename 構成パラメーターが NULL に設定されているために、TCPIP サポートが適切に使用できない場合、エラー SQL5043N が戻され、SSL サポートは使用できません。
   5. (オプション) サーバーがどの暗号スイートを使用できるかを指定するには、ssl_cipherspecs 構成パラメーターを設定します。 ssl_cipherspecs を NULL (未設定) のままにしておくと、GSKit はクライアントとサーバーの両方によってサポートされる、使用可能な最も強力な暗号スイートを選出できます。 どの暗号スイートが使用可能であるかについての詳細は、サポートされる暗号スイートを参照してください。
   6. DB2COMM レジストリー変数に値 SSL を追加します。 例えば、以下のようにします。

      db2set -i db2inst1 DB2COMM=SSL

      db2inst1 は、DB2 インスタンス名です。 データベース・マネージャーは、同時に複数のプロトコルをサポートできます。例えば、通信プロトコルとして TCP/IP と SSL の両方を有効にするには、以下のようにします。

      db2set -i db2inst1 DB2COMM=SSL,TCPIP

   7. DB2 インスタンスを再始動します。 例えば、以下のようにします。

      db2stop
      db2start

gsk8capicmd_64 -cert -create -db "mydbserver.kdb" -pw "mydbserverpw0" 
  -label "myselfsigned" -dn "CN=myhost.mycompany.com,O=myOrganization,
        OU=myOrganizationUnit,L=myLocation,ST=ON,C=CA"

gsk8capicmd_64 -cert -details -db "mydbserver.kdb" -pw "mydbserverpw0" 
  -label "myselfsigned"

label : myselfsigned
key size : 1024
version : X509 V3
serial : 96c2db8fa769a09d
issue:CN=myhost.mycompany.com,O=myOrganization,OU=myOrganizationUnit,
   L=myLocation,ST=ON,C=CA
subject:CN=myhost.mycompany.com,O=myOrganization,OU=myOrganizationUnit,
   L=myLocation,ST=ON,C=CA
not before : Tuesday, 24 February 2009 17:11:50 PM
not after : Thursday, 25 February 2010 17:11:50 PM
public Key   
    30 81 9F 30 0D 06 09 2A 86 48 86 F7 0D 01 01 01
    05 00 03 81 8D 00 30 81 89 02 81 81 00 B6 B8 DC
    79 69 62 C9 A5 C1 5C 38 31 53 AB 27 BE 63 C0 DB
    DE C6 BC 2E A4 0D 37 45 95 22 0E 83 32 FE 67 A9
    2F D7 51 FF 40 A3 76 68 B9 E3 34 CB 7D 4A D8 38
    CA B1 6B 32 66 74 8F E2 B8 DA 8F D0 F3 62 04 BE
    C4 FE 80 2A D0 FF 27 72 37 9A 36 1D DB D3 A1 33
    A1 A6 48 33 E9 64 B9 9B 6B DB 08 60 7D 5E 0E 20
    0A 26 AA 62 3A DF D3 78 56 DC 15 DE 9F 0B 91 DD
    3B 1B 2B E2 82 FA 24 FF 81 A3 F7 3F C1 02 03 01
    00 01
public key type : RSA : 1.2.840.113549.1.1.1
finger print : SHA1 :    
    2D C1 93 F8 AC A0 8F E2 C2 05 D8 23 D7 5D 87 E6
    82 3C 47 EC
signature algorithm : SHA1WithRSASignature : 1.2.840.113549.1.1.5
value   
    0E 80 24 98 F6 6E 89 43 76 57 76 7F 82 95 18 6A
    43 A5 81 EC F4 82 1F 1F F2 3F E5 61 67 48 C0 59
    94 17 8E 8F DE 4F 7C 35 0C 5D A7 98 73 2A 34 7D
    1E BA 53 78 A5 E4 31 45 D1 08 86 BE 5E 57 C6 9D
    B5 E7 A7 01 3F 54 01 5E 8F 8B 2F 66 19 24 1E A4
    94 58 B0 D4 40 95 AB 98 C2 EF 1C 5C 4A 29 48 EC
    8C C0 A2 B1 AC 2A E9 3C 14 E5 77 B2 A6 55 A8 21
    CB 59 81 86 79 F0 46 35 F8 FC 99 2D EC D4 B9 EB
Trusted : enabled