iNN - PowerInfo - SSS-Tools für Power System i Syntax System ...

• Backup Recovery and Media Services (BRMS 5761-BR1) Option 2 Advanced Feature
Backup-Verschlüsselung kann auch ohne BRMS verwendet werden, wenn ein
benutzereigenes Exit-Pro gramm für den Tape Management Service (TMS) Exit
Point geschrieben wird.
Funktionsübersicht
In der abgebildeten Darstellung sehen Sie die Komponenten, die bei der Backup-
Verschlüsselung involviert sind.
Der Tape Management Service (QIBM_QTA_ TAPE_TMS) Exit Point im IBM i Betriebssystem
stellt den zentralen Kontrollmechanismus dar, über den gesteuert wird,
ob ein Objekt bei der Sicherung verschlüsselt wird oder nicht. Bei jedem Sicherungsbzw.
Rückspeichervorgang über ein Band, werden Informationen über die betroffenen
Objekte an den Exit Point und somit an das entsprechend registrierte Exit-Programm
übergeben. Das Programm kann nun entscheiden, ob das Objekt ver- bzw. entschlüsselt
werden soll. Mit IBM i Version 6.1 stellt BRMS ein solches Exit-Programm zur Verfügung.
Soll nun ein Objekt verschlüsselt werden, müssen dem Exit Point Informationen
über den zu verwendenden Schlüssel übergeben werden. Bei BRMS werden diese Informationen
über die Media Policies definiert. Die erforderlichen Informationen sind:
• Name und Bibliothek der Schlüsseldatei (Key StoreFile), welche die Datenverschlüsselungsschlüssel
(Data Encryption Keys) enthält. Bei BRMS ist dies ein fest
vorgegebener Name Q1AKEYFILE in Biblio thek QUSRBRM.
• Name eines Datenverschlüsselungsschlüssels. Eine Schlüsseldatei kann viele
verschiedene Schlüssel enthalten. Deshalb muss jeder Schlüssel durch einen eindeutigen
Namen (Label) gekennzeichnet werden.
Ob verschlüsselte Daten wirklich geschützt sind, hängt vom Schutz des jeweiligen
Schlüssels ab, der beim Verschlüsselungsprozess benutzt wurde. Die Schlüsseldatei
ist eine spezielle Datei, auf die über herkömmliche Mechanismen (z.B. SQL, ODBC)
nicht zu gegriffen werden kann. Um die Datenverschlüsselungs schlüssel zu schützen,
werden diese in der Schlüsseldatei über einen so genannten Master Key verschlüsselt.
Dieser Master Key muss vom Sicherheitsbeauftragten gesetzt werden und befindet
sich in einem geschützten Bereich im Licensed Internal Code (LIC) auf dem System.
Die Schlüsseldateien, Datenverschlüsselungsschlüssel und Master Keys können
in V6.1 über neue CL-Befehle, den IBM System i Navigator oder der webbasierenden
Schnittstelle IBM Systems Director Navigator for i5/OS definiert und verwaltet werden.
Die Befehle können über die 5250 Menüs GO CMDMST bzw. GO CMDCKM aufgerufen
werden.
Implementierungsübersicht
Die neue Backup-Verschlüsselungsfunktion kann mit relativ wenigen Konfigurationsschritten
aktiviert und genutzt werden. Die folgende Auflistung beschreibt im
Überblick die einzelnen Schritte anhand von CL-Befehlen. Selbstverständlich können
diese Schritte auch über die graphischen Schnittstellen ausgeführt werden:
www.inn-online.de < Seite > Seite: 12