StorageTek Enterprise Library Software

Transcription

1 StorageTek Enterprise Library Software Guide de sécurité E Mars 2015

2 StorageTek Enterprise Library Software Guide de sécurité E Copyright 2015, Oracle et/ou ses affiliés. Tous droits réservés. Ce logiciel et la documentation qui l'accompagne sont protégés par les lois sur la propriété intellectuelle. Ils sont concédés sous licence et soumis à des restrictions d'utilisation et de divulgation. Sauf stipulation expresse de votre contrat de licence ou de la loi, vous ne pouvez pas copier, reproduire, traduire, diffuser, modifier, accorder de licence, transmettre, distribuer, exposer, exécuter, publier ou afficher le logiciel, même partiellement, sous quelque forme et par quelque procédé que ce soit. Par ailleurs, il est interdit de procéder à toute ingénierie inverse du logiciel, de le désassembler ou de le décompiler, excepté à des fins d'interopérabilité avec des logiciels tiers ou tel que prescrit par la loi. Les informations fournies dans ce document sont susceptibles de modification sans préavis. Par ailleurs, Oracle Corporation ne garantit pas qu'elles soient exemptes d'erreurs et vous invite, le cas échéant, à lui en faire part par écrit. Si ce logiciel, ou la documentation qui l'accompagne, est concédé sous licence au Gouvernement des Etats-Unis, ou à toute entité qui délivre la licence de ce logiciel ou l'utilise pour le compte du Gouvernement des Etats-Unis, la notice suivante s'applique : U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government. Ce logiciel ou matériel a été développé pour un usage général dans le cadre d'applications de gestion des informations. Ce logiciel ou matériel n'est pas conçu ni n'est destiné à être utilisé dans des applications à risque, notamment dans des applications pouvant causer un risque de dommages corporels. Si vous utilisez ce logiciel ou matériel dans le cadre d'applications dangereuses, il est de votre responsabilité de prendre toutes les mesures de secours, de sauvegarde, de redondance et autres mesures nécessaires à son utilisation dans des conditions optimales de sécurité. Oracle Corporation et ses affiliés déclinent toute responsabilité quant aux dommages causés par l'utilisation de ce logiciel ou matériel pour des applications dangereuses. Oracle et Java sont des marques déposées d'oracle Corporation et/ou de ses affiliés. Tout autre nom mentionné peut correspondre à des marques appartenant à d'autres propriétaires qu'oracle. Intel et Intel Xeon sont des marques ou des marques déposées d'intel Corporation. Toutes les marques SPARC sont utilisées sous licence et sont des marques ou des marques déposées de SPARC International, Inc. AMD, Opteron, le logo AMD et le logo AMD Opteron sont des marques ou des marques déposées d'advanced Micro Devices. UNIX est une marque déposée de The Open Group. Ce logiciel ou matériel et la documentation qui l'accompagne peuvent fournir des informations ou des liens donnant accès à des contenus, des produits et des services émanant de tiers. Oracle Corporation et ses affiliés déclinent toute responsabilité ou garantie expresse quant aux contenus, produits ou services émanant de tiers, sauf mention contraire stipulée dans un contrat entre vous et Oracle. En aucun cas, Oracle Corporation et ses affiliés ne sauraient être tenus pour responsables des pertes subies, des coûts occasionnés ou des dommages causés par l'accès à des contenus, produits ou services tiers, ou à leur utilisation, sauf mention contraire stipulée dans un contrat entre vous et Oracle.

3 Table des matières Préface... 5 Public... 5 Accessibilité de la documentation Présentation Présentation du produit Principes généraux de sécurité Mise à jour du logiciel Restriction d'accès au réseau Consultation des dernières informations de sécurité Installation sécurisée Installation d'els Configuration d'els suivant l'installation Fonctions de sécurité Sécurisation d'els à l'aide du protocole AT-TLS - z/os uniquement Utilisation de la fonction de sécurité XAPI d'els Considérations de sécurité pour les développeurs A. Liste de contrôle du déploiement sécurisé B. Références

4 4

5 Préface Ce document décrit les fonctions de sécurité du logiciel StorageTek Enterprise Library Software (ELS) d'oracle. Public Ce guide s'adresse à toute personne impliquée dans l'utilisation des fonctions de sécurité et dans l'installation et la configuration sécurisée du logiciel StorageTek Enterprise Library Software (ELS). Accessibilité de la documentation Pour plus d informations sur l engagement d Oracle pour l accessibilité à la documentation, visitez le site Web Oracle Accessibility Program, à l'adresse pls/topic/lookup?ctx=acc&id=docacc. Accès aux services de support Oracle Les clients Oracle qui ont souscrit un contrat de support ont accès au support électronique via My Oracle Support. Pour plus d'informations, visitez le site pls/topic/lookup?ctx=acc&id=info ou le site topic/lookup?ctx=acc&id=trs si vous êtes malentendant. Préface 5

6 6

7 1 Présentation Cette section contient une présentation de la suite logicielle ELS et explique les principes généraux de sécurité des applications Présentation du produit ELS fournit une prise en charge de l'automatisation des bandes aux environnements de bande mainframe d'oracle StorageTek pour les plates-formes suivantes : Plate-forme IBM z/os. ELS prend en charge une architecture d'automatisation de bande client/serveur TCP/IP, ce qui permet au logiciel client SMC s'exécutant sur une partition LPAR z/os de communiquer avec le logiciel serveur HSC/VTCS s'exécutant sur une partition LPAR z/os différente. Plate-forme IBM z/vm. Le logiciel VM Client d'els pour les systèmes z/vm communique avec le serveur HSC/VTCS en cours d'exécution sur un LPAR z/os pour automatiser la bande virtuelle et physique traitant z/vm. Plate-forme Fujitsu MSP/EX. Le composant SMC doit s'exécuter sur chaque hôte sur lequel un traitement de bande a lieu. Le composant serveur d'els (HSC/VTCS) peut s'exécuter sur le même hôte MSP/EX que le composant SMC. Il peut également s'exécuter sur un hôte distant différent. Si SMC et HSC/VTCS se trouvent sur des hôtes MSP/EX différents, le protocole TCP/IP est utilisé pour envoyer des demandes depuis l'hôte client vers l'hôte serveur. Pour permettre la réception de demandes HTTP d'un client SMC distant, le composant HTTP doit être activé sur le SMC s'exécutant sur l'hôte serveur. Les communications client/serveur d'els sont utilisées pour envoyer des demandes de chemin de contrôle, principalement des demandes de montage/démontage, pour des volumes de bande virtuels et physiques. Les informations comprises dans ces demandes de chemin de contrôle sont les informations relatives à la configuration et la stratégie TapePlex, les adresses d'unité de transport de bande virtuel/physique et les numéros de série de volume de bande virtuel/physique. Il est important de noter que les communications client/serveur d'els ne contiennent pas de données client, lesquelles sont toujours acheminées via des interfaces de chemin de données IBM FICON/ESCON connectant des partitions LPAR de l'hôte aux transports de bande ou périphériques de bande virtuels VSM Oracle StorageTek. Les informations contenues dans le présent guide de sécurité s'appliquent à toutes les versions d'els. Comme décrit dans la partie 3 de ce guide, il est possible de sécuriser les communications de chemin de contrôle client/serveur d'els si une protection de ce type est souhaitée ou nécessaire. Par ailleurs, ce document couvre tous les aspects de sécurité des diverses opérations d'installation et de postinstallation d'els. Chapitre 1. Présentation 7

8 Principes généraux de sécurité 1.2. Principes généraux de sécurité Les principes suivants sont essentiels pour une utilisation sécurisée des produits Mise à jour du logiciel L'un des principes fondamentaux d'une utilisation sécurisée est l'installation régulière des dernières versions et patches du logiciel. Le dernier bundle de maintenance cumulatif d'els, ainsi que les correctifs PTF individuels et les données HOLDDATA, sont tous disponibles sur My Oracle Support (MOS). Les bundles de maintenance cumulatifs sont mis à jour tous les mois de sorte à inclure tous les correctifs PTF du dernier cycle de test de régression mensuel d'els. Tous les correctifs PTF d'un bundle cumulatif ont été testés ensemble sous la forme d'un package complet. Il est possible de recevoir des notifications par de correctif PTF HIPER en s'abonnant aux documents d'alerte sur les sujets d'actualité MOS concernant les produits ELS. Les clients sont encouragés à conserver les niveaux de maintenance actuels, à maintenir les données HOLDDATA à jour et à s'abonner aux alertes sur les sujets d'actualité liés à HIPER Restriction d'accès au réseau Dans un souci de performances et de sécurité, acheminez les communications de chemin de contrôle d'els via un réseau isolé protégé par un pare-feu. L'utilisation d'un pare-feu vous permet d'être certain que l'accès aux systèmes ELS est limité à un réseau défini, qui peut être surveillé et restreint le cas échéant. L'utilisation d'un réseau dédié aux communications client/serveur d'els élimine les conflits d'utilisation avec d'autres applications et améliore les performances des systèmes de bande Consultation des dernières informations de sécurité Oracle s'efforce d'améliorer continuellement les logiciels et la documentation. Recherchez régulièrement des révisions éventuelles du présent guide de sécurité et de toute autre documentation produit d'els. Toutes les guides référencés dans ce document sont disponibles sur le site Oracle Technical Network dans la section Tape Storage Products. 8

9 2 Installation sécurisée La fonction SAF (System Authorization Facility) d'ibm z/os fournit une protection essentielle sur la plupart des aspects de sécurité d'els. La fonction SAF est généralement implémentée avec le package RACF d'ibm ou un équivalent. Cette section décrit l'utilisation d'un environnement SAF basé sur RACF en vue d'installer et de configurer une installation ELS sécurisée Installation d'els Le document Oracle StorageTek Enterprise Library Software: Installation d'els décrit comment installer et configurer votre version d'els en utilisant la protection RACF. Reportez-vous à ce document pour plus d'informations sur les sujets d'installation suivants liés à la sécurité : Installation du logiciel de base et du dernier bundle de maintenance cumulatif Autorisation APF de bibliothèque de chargement ELS Autorisation APF de bibliothèque d'exits utilisateur HSC Autorisation APF de bibliothèque de chargement SMC JES Configuration d'els suivant l'installation Les documents Oracle nommés ci-dessous décrivent les tâches de configuration suivant l'installation pour votre version d'els : StorageTek Enterprise Library Software: Gestion du HSC et du VTCS StorageTek Enterprise Library Software : Configuration et gestion du SMC StorageTek Enterprise Library Software: ELS Programming Reference Reportez-vous à ces documents pour plus d'informations sur les sujets de postinstallation suivants liés à la sécurité : Définition d'une protection RACF pour la sécurité du jeu de données CDS Définition d'une autorité de commande et d'une autorité d'interface de programmation à l'aide de l'exit utilisateur HSC SLSUX15 Définition d'une autorité d'accès au volume pour le montage et l'éjection des volumes à l'aide de l'exit utilisateur HSC SLSUX14 Définition d'une autorité VOLSER des pools MVC et des sous-pools de travail vides Chapitre 2. Installation sécurisée 9

10 Configuration d'els suivant l'installation Définition d'un segment OMVS RACF de SMC pour les communications avec un soussystème HSC distant Définition d'un segment OMVS RACF de SMC pour les communications avec un appareil VLE 10

11 3 Fonctions de sécurité Ce chapitre décrit les mécanismes de sécurité spécifiques qu'offre ELS Sécurisation d'els à l'aide du protocole AT-TLS - z/os uniquement Le protocole AT-TLS (Application Transparent Transport Layer Security) d'ibm z/os utilise le chiffrement de données SSL pour sécuriser les applications TCP/IP z/os. Pour plus d'informations sur le protocole AT-TLS, reportez-vous à la publication IBM z/os Communications Server: IP Configuration Guide et consultez les informations sur l'agent de stratégie AT-TLS disponibles dans la publication IBM z/os Communications Server: IP Configuration Reference. La sécurisation des communications client/serveur ELS entre le composant SMC et le composant HSC/VTCS est décrite dans le livre blanc Oracle Using AT-TLS with HSC/SMC Client/Server z/os Solution: Implementation Example. Ce livre blanc est publié sur le site Oracle Technical Network dans la section Tape Storage Products. Reportez-vous à cette publication pour obtenir des informations de configuration détaillées. Pour sécuriser le logiciel ELS à l'aide du protocole AT-TLS, Oracle recommande l'emploi d'un des algorithmes de chiffrement SSL suivants : Famille SHA-2 (SHA-256, SHA-384, SHA-512) AES >= 128 bits RSA >= bits Diffie-Hellman (DH) >= bits ECC >= 256 bits Les autres algorithmes de chiffrement SSL offrent une protection plus faible et ne doivent pas être utilisés avec ELS. Remarque: Actuellement, l'appareil StorageTek Virtual Library Extension (VLE) pour VSM ne prend pas en charge les communications AT-TLS. Ne choisissez donc pas le protocole AT-TLS pour sécuriser les communications VLE d'els. Chapitre 3. Fonctions de sécurité 11

12 Utilisation de la fonction de sécurité XAPI d'els 3.2. Utilisation de la fonction de sécurité XAPI d'els ELS 7.3 introduit une nouvelle fonction de sécurité XAPI pour les communications client/ serveur. Elle est activée par défaut sur le serveur HTTP SMC. Elle offre des fonctionnalités d'authentification d'utilisateur supplémentaires issues du protocole XAPI qui sont entièrement contenues dans ELS. Pour utiliser la fonction de sécurité XAPI, vous devez définir les informations d'identification de sécurité (codes utilisateur et mots de passe) des clients et des serveurs ELS. Les opérations TapePlex d'els 7.3 utilisent ces informations d'identification pour sécuriser les transactions XAPI (montage, démontage, consultation de volume, ajout au pool de travail). L'utilisation des informations d'identification de sécurité XAPI est totalement transparente et ne requiert pas l'intervention d'un utilisateur ou d'un opérateur. Reportez-vous au document Configuration et gestion du SMC version 7.3 pour plus d'informations sur la configuration de la fonction de sécurité XAPI. Le meilleur moyen de sécuriser les transactions XAPI des TapePlex qui hébergent uniquement des applications client ELS (SMC et VM) est d'utiliser les fonctions AT/ TLS décrites dans Section 3.1, «Sécurisation d'els à l'aide du protocole AT-TLS - z/os uniquement». AT/TLS est une fonction de couche transport externe et transparente pour ELS. Utilisez la fonction de sécurité XAPI d'els 7.3 pour sécuriser les TapePlex qui hébergent des clients hors ELS (clients de systèmes ouverts) ou une combinaison de clients ELS (SMC et VM) et de clients hors ELS. Dans ces environnements, la fonction AT-TLS peut être associée à la fonction de sécurité XAPI d'els 7.3 mais elle ne permet pas de sécuriser les transactions XAPI des clients hors ELS. 12

13 4 Considérations de sécurité pour les développeurs Le document Oracle StorageTek Enterprise Library Software: ELS Programming Reference décrit les API ELS mises à la disposition des développeurs d'applications. L'interface de programmation d'els est basée sur l'interface UUI (Unified User Interface), laquelle utilise l'exit de sécurité de commande HSC SLSUX15 pour gérer l'accès à ses fonctions sur la base d'une autorisation RACF (ou équivalent). Reportez-vous à la section Section 2.2, «Configuration d'els suivant l'installation» pour plus d'informations sur la sécurisation de SLSUX15 à l'aide de RACF. Chapitre 4. Considérations de sécurité pour les développeurs 13

14 14

15 Annexe A Liste de contrôle du déploiement sécurisé 1. Utilisez la protection RACF (ou équivalent) comme l'explique le présent guide de sécurité. 2. Limitez l'accès au réseau. Le logiciel ELS et les bibliothèques de bandes qu'il gère doivent se trouver derrière le pare-feu de l'entreprise. 3. Si nécessaire, protégez le trafic réseau d'els à l'aide du protocole AT-TLS d'ibm ou de la fonction de sécurité XAPI d'els. 4. Appliquez tous les correctifs PTF et les données HOLDDATA d'els. 5. Contactez l'équipe de support logiciel d'oracle sur le site si vous constatez des vulnérabilités dans le logiciel ELS d'oracle. Annexe A. Liste de contrôle du déploiement sécurisé 15

16 16

17 Annexe B Références La documentation ELS est enregistrée dans des bibliothèques organisées selon la version d'els. Vous pouvez y accéder à la partir de la page de documentation des produits de stockage sur bande. Annexe B. Références 17

18 18