Verwenden von SSL/TLS mit einer DB-Instance von Amazon RDS für Db2

Laden Sie den JDBC-Treiber herunter. Weitere Informationen finden Sie unter DB2-JDBC-Treiberversionen und Downloads in der IBM-Support-Dokumentation.

Erstellen Sie eine Shell-Skriptdatei mit dem folgenden Inhalt. Dieses Skript fügt alle Zertifikate aus dem Paket zu einem Java KeyStore hinzu.

#!/bin/bash
PEM_FILE=$1
PASSWORD=$2
KEYSTORE=$3
# number of certs in the PEM file
CERTS=$(grep 'END CERTIFICATE' $PEM_FILE| wc -l)
for N in $(seq 0 $(($CERTS - 1))); do
    ALIAS="${PEM_FILE%.*}-$N"
    cat $PEM_FILE |
    awk "n==$N { print }; /END CERTIFICATE/ { n++ }" |
    keytool -noprompt -import -trustcacerts -alias $ALIAS -keystore $KEYSTORE -storepass $PASSWORD
done

Verwenden Sie den folgenden Befehl, um das Shell-Skript auszuführen und die Datei PEM mit dem Zertifikatpaket in einen Java KeyStore zu importieren. Ersetzen Sie shell_file_name.sh durch den Namen Ihrer Shell-Skriptdatei und password durch das Passwort für Ihren Java KeyStore.

 ./shell_file_name.sh global-bundle.pem password truststore.jks

Führen Sie den folgenden Befehl aus, um eine Verbindung mit dem Db2-Server herzustellen. Ersetzen Sie die folgenden Platzhalter im Beispiel durch Ihre Angaben zur DB-Instance von RDS für Db2.

export trustStorePassword=MyPassword
java -cp ~/dsdriver/jdbc_sqlj_driver/linuxamd64/db2jcc4.jar \
com.ibm.db2.jcc.DB2Jcc -url \
"jdbc:db2://ip_address:port/database_name:\
sslConnection=true;sslTrustStoreLocation=\
~/truststore.jks;\
sslTrustStorePassword=${trustStorePassword};\
sslVersion=TLSv1.2;\
encryptionAlgorithm=2;\
securityMechanism=7;" \
-user master_username -password master_password

Installieren Sie die node-ibm_db-Treiber: Weitere Informationen finden Sie in der IBM Db2-Dokumentation unter Installieren des node-ibm_db-Treibers auf Linux- und UNIX-Systemen.

Erstellen Sie eine JavaScript-Datei anhand des folgenden Inhalts. Ersetzen Sie die folgenden Platzhalter im Beispiel durch Ihre Angaben zur DB-Instance von RDS für Db2.

var ibmdb = require("ibm_db");
const hostname = "ip_address";
const username = "master_username";
const password = "master_password";
const database = "database_name";
const port = "port";
const certPath = "/root/qa-bundle.pem";
ibmdb.open("DRIVER={DB2};DATABASE=" + database + ";HOSTNAME=" + hostname + ";UID=" + username + ";PWD=" + password + ";PORT=" + port + ";PROTOCOL=TCPIP;SECURITY=SSL;SSLServerCertificate=" + certPath + ";", function (err, conn){
 if (err) return console.log(err);
 conn.close(function () {
 console.log('done');
 });
});        

Verwenden Sie den folgenden Befehl, um die Datei JavaScript auszuführen.

node ssl-test.js

Erstellen Sie eine Python-Datei mit folgendem Inhalt: Ersetzen Sie die folgenden Platzhalter im Beispiel durch Ihre Angaben zur DB-Instance von RDS für Db2.

import click
import ibm_db
import sys

port = port;
master_user_id = "master_username" # Master id used to create your DB instance
master_password = "master_password" # Master password used to create your DB instance
db_name = "database_name" # If not given "db-name'
vpc_customer_private_ip = "ip_address" # Hosts end points - Customer private IP Addressicert_path = "/root/ssl/global-bundle.pem" # cert path

@click.command()        
@click.option("--path", help="certificate path")
def db2_connect(path):

    try:
        conn = ibm_db.connect(f"DATABASE={db_name};HOSTNAME={vpc_customer_private_ip};PORT={port};
            PROTOCOL=TCPIP;UID={master_user_id};PWD={master_password};SECURITY=ssl;SSLServerCertificate={path};", "", "")
        try:
            ibm_db.exec_immediate(conn, 'create table tablename (a int);')
            print("Query executed successfully")
        except Exception as e:
            print(e)
        finally:
            ibm_db.close(conn)
            sys.exit(1)
    except Exception as ex:
        print("Trying to connect...")

if __name__ == "__main__":
    db2_connect()

Erstellen Sie das folgende Shell-Skript, das die von Ihnen erstellte Datei Python ausführt. Ersetzen Sie python_file_name.py durch den Namen Ihrer Python-Skriptdatei.

#!/bin/bash
PEM_FILE=$1
# number of certs in the PEM file
CERTS=$(grep 'END CERTIFICATE' $PEM_FILE| wc -l)

for N in $(seq 0 $(($CERTS - 1))); do
    ALIAS="${PEM_FILE%.*}-$N"
    cert=`cat $PEM_FILE | awk "n==$N { print }; /END CERTIFICATE/ { n++ }"`
    cat $PEM_FILE | awk "n==$N { print }; /END CERTIFICATE/ { n++ }" > $ALIAS.pem
    python3 <python_file_name.py> --path $ALIAS.pem
    output=`echo $?`
    if [ $output == 1 ]; then
        break
    fi
done
            

Führen Sie den folgenden Befehl aus, um die Datei PEM mit dem Zertifikatpaket zu importieren und das Shell-Skript auszuführen. Ersetzen Sie shell_file_name.sh durch den Namen Ihrer Shell-Skriptdatei.

./shell_file_name.sh global-bundle.pem

Um mithilfe von Db2 CLP eine Verbindung mit Ihrer Db2-Instance herzustellen, benötigen Sie GSKit, das Sie von IBM Fix Central herunterladen können. Zur Verwendung von Db2 CLP benötigen Sie außerdem den IBM Db2-Client, den Sie vom IBM Support unter Herunterladen der Clients und Treiber der ersten Version 11.5 herunterladen können.

Erstellen Sie einen Keystore.

gsk8capicmd_64 -keydb -create -db "directory/keystore-filename" -pw "changeThisPassword" -type pkcs12 -stash

Importieren Sie die Zertifikatpakete in den Keystore.

gsk8capicmd_64 -cert -import -file global-bundle.pem -target directory/keystore-filename> -target_stashed

Aktualisieren Sie die Db2-Instance-Konfiguration.

db2 update dbm cfg using SSL_CLNT_KEYDB keystore-filename SSL_CLNT_STASH keystore stash file immediate

Katalogisieren Sie den Knoten und die Datenbank.

db2 catalog tcpip node ssluse1 REMOTE endpoint SERVER ssl_svcename security ssl

db2 catalog database testdb as ssltest at node ssluse1

Verbinden Sie mit der Datenbank.

db2 connect to ssltest user username using password