Mit Object Connect (Option 22 von IBM i) können auf eine einfache Art und Weise Objekte, wie Bibliotheken oder Verzeichnisse, von einem System auf ein anderes kopiert werden – ohne explizit Sicherungsmedien dafür anzulegen. Ursprünlgich für SNA entwickelt, unterstützt Object Connect seit IBM i 7.4 und dem PTF SI73777 nun auch TCP/IP Verbindungen.
Die grundlegende Arbeitsweise besteht in der Ausführung eines Save Befehls auf einem System, im Weiteren als SOURCE bezeichnet, der Übertragung der Daten durch den *OBJC Server auf das Zielsystem und der Anwendung des korrespondierenden Restore Befehls auf dem Zielsystem, welches wir als TARGET bezeichnen.
| ObjectConnect commands | IBM i save and restore commands |
| Save/Restore Integrated File System (SAVRST) | Save (SAV), Restore (RST) |
| Save/Restore Object (SAVRSTOBJ) | Save Object (SAVOBJ), Restore Object (RSTOBJ) |
| Save/Restore Changed Object (SAVRSTCHG) | Save Changed Object (SAVCHGOBJ), Restore Object (RSTOBJ) |
| Save/Restore Library (SAVRSTLIB) | Save Library (SAVLIB), Restore Library (RSTLIB) |
| Save/Restore Document Library Object (SAVRSTDLO) | Save Document Library Object (SAVDLO), Restore Document Library Object (RSTDLO) |
| Save/Restore Configuration (SAVRSTCFG) | Save Configuration (SAVCFG), Restore Configuration (RSTCFG) |
Allerdings, so einfach das klingt, muss vorher einiges für die sichere Übertragung der Daten getan werden. Der Schwerpunkte liegt dabei auf der Einrichtung einer sicheren SSL Kommunkation zwischen Client und Server mittels des Digital Certificate Managers, kurz DCM.
Vorausgesetzt es exisieren sowohl auf SOURCE und TARGET eine lokale Certificate Authority (CA) und damit signierte Server Zertifikate, besteht die Aufgabe darin, dass den Object Connect Service Serverzertifikate zuzuordnen und dafür zu sorgen, dass diese von der jeweils anderen Seite vertraut werden.[i] Dies entfällt, wenn SOURCE und TARGET Zertifkate derselben CA benutzen.
Starten Sie den DCM über http://<hostname oder IP Adresse>:2001/DCM und melden Sie sich mit einem Profil, welches mindestens *SECADM und *ALLOBJ Rechte besitzt, an.[ii] Verwenden Sie am Besten ein User aus der Gruppe *SECOFR, der alle Sonderrechte besitzt.
Quelle: ReetmeyerWählen Sie die Option “Zertifikatsspeicher öffnen”, klicken Sie auf *SYSTEM und geben Sie das Passwort für den Zertifikatsspeicher ein. Sollte es Ihnen nicht bekannt sein, könnten Sie als Security Officer überschreiben. Falls der Zertifkatsspeicher * SYSTEM nicht existiert, gehen Sie entsprechend Endnote 1 vor.
Im Zertifikatsspeicher sollte mindestens ein Zeritifkat sichbar sein. Im Bild zusehen ist ein Server Zertifikat mit Namen “P3 2024”, welches in 338 Tagen ungültig wird und danach entweder erneuert oder durch ein anderes ersetzt werden muss. Ohne gültiges Zertifikat wird keine SSL Verbindung aufgebaut. Ungültige Zertifikate werden neuerdings auch rot gekennzeichnet.
Quelle: ReetmeyerKlicken Sie nun oberhalb der Zertifikate auf die Auswahl “Anwendungsdefinitionen verwalten”, welches Ihnen alle bisher definierten Anwendungsschnittstellen inklusive der zugeordneten Zertifikate zeigt. Im Bild zu sehen ist die Konfiguration des Telnet Servers, dem das Zertifikat “P3 2024” zugeordnet ist. Damit ist mit diesem System ein Secure Telnet auf Port 992 möglich.
Quelle: ReetmeyerDie Anwendungsdefitionen für Object Connect sind QIBM_QSVR_OBJC_SERVER und QIBM_QSVR_OBJC_CLIENT. Um einen gegenseitigen Austausch von Objekten zu ermöglichen ist es notwendig, beiden ein Serverzertifikat zuzuordnen.
Klicken Sie auf auf “Anzeigen” in einer der beiden Anwendungsdefitionen und danach auf “Zertifikat zuordnen”. Jetzt können Sie ein Serverzertifikat auswählen und mit “Zuodnen” bestätigen. Danach sollte dies in dem Feld der Anwendungsdefintion auch sichtbar sein. Wiederholen Sie dies mit der anderen Definition und tun Sie das ebenfalls auf dem anderen System.[iii]
Quelle: ReetmeyerJetzt müssen noch die CA Trust List erstellt werden. Standardmäßig gibt es keine CA-Vertrauensliste und nur alle aktivierten CAs im *SYSTEM-Speicher sind vertrauenswürdig. Dazu benötigen wir die CA Zertifikate des jeweils anderen Servers.
Wählen Sie in der Navigationsleiste links Startseite” aus und öffnen Sie den Zertifikatsspeicher der “Lokalen Zerrifizierungsinstanz”. Wählen Sie das CA Zertifikat aus, klicken Sie auf “Anzeigen” und anschließend auf “Exportieren”. Nun können Sie das CA Zertifikat in einer Datei auf Ihrer Workstation speichern.
Quelle: ReetmeyerZum Import auf den anderen Server müssen Sie sich dort beim DCM anmelden, Wählen Sie in der Navigationsleiste “Zertifikat hochladen” aus und uploaden Sie das exportierte CA Zertifikat des jeweils anderen Servers von Ihrer Workstation. Obwohl schon hochgeladen ist es nicht im DCM verfügbar. Dazu muss es erst importiert werden. Öffnen Sie dazu den Zertifikatsspeicher *SYSTEM und klicken Sie auf “Importieren”. Wählen Sie als Zertifikatstyp “Zertifizierungsinstanz” aus, Mit “Uploads durchsuchen” das vorher hochgeladene CA Zertifikat auswählen und speichern.
Quelle: ReetmeyerZur Definition der Trustlist müssen wir wieder über den Speicher *SYSTEM und “Anwendungsdefinitionen verwalten” zu den Anwendungsdefinitionen QIBM_QSVR_OBJC_SERVER und QIBM_QSVR_OBJC_CLIENT gehen. Jeweils eine auswählen und “CA-Anerkennungsliste definieren” einen Haken auf das zuvor importierte CA Zertifikat setzen und mit einem Klick auf “Definieren” bestätigen.
Quelle: ReetmeyerWenn das auf beiden Seiten erfolgt ist, sollten die Anwendungsdefintionen für Object Connect auf Client und Server ähnlich den Grafiken aussehen
Quelle: ReetmeyerVergessen sie nicht danach die *OBJC Server auf beiden Seiten mit
ENDTCPSVR SERVER(*OBJC) und STRTCPSVR SERVER(*OBJC)neu zu starten.
Nun ist es Zeit die Übertragung mittels Object Connect zu testen. Beispielsweise könnte man ein Home Verzeichnis kopieren, welches auf dem anderen System nicht existiert.
SAVRST RMTLOCNAME(<TARGET>) OBJ(('/home/xxxxx')) CNNTYPE(*IP) RMTUSER(<username>) RMTPWD(<password>) PVTAUT(*YES)Im Joblog ist ein Bericht bezüglich der Übertragung zu finden – ähnlich den nachfolgende Zeilen:
63 objects saved.
Following messages are from remote location TARGET.
63 objects restored.
63 objects saved and restored.Sollte etwas nicht übertragen worden sein, finden Sie Hinweise darauf ebenfalls im Joblog, genauso wie Hinweise auf eventuelle Probleme.
Viel Erfolg!
[i] Sollte die Voraussetzung nicht erfüllt sein, beginnt man mit der Erzeugung einer lokalen CA wie zum Beispiel hier beschrieben, und erzeugt ein Serverzertifikat. Empfehlendwert ist die Verwendung einer einheitlichen Unternehmens CA zur Ausstellung aller im Unternehmen verwendeten Zertifikate, die über Ex- und Import verteilt werden können.
[ii] Welche Funktionen im DCM verfügbar sind, hängt von dem Zertifikatspeicher ab, in dem Sie arbeiten. und von den Berechtigungen ab, die Ihr IBM i-Benutzerprofil hat. Alle Aufgaben für den Betrieb einer CA, die Verwaltung der von Anwendungen verwendeten Zertifikate und andere Aufgaben auf Systemebene sind nur für IBM i Sicherheitsbeauftragte oder Administratoren verfügbar.
[iii] Alternativ kann man dies auch durch Anzeigen eines Serverzertifikates und klicken auf “Zuordnen” in einem Schritt erledigen, wobei hier sogar die Option besteht durch “Alle auswählen” den existierenden Anwendungsdefintionen das Zertifkat zuzuweisen.
Der Autor Ralf Reetmeyer schreibt regelmäßig für den TechKnowLetter.
Ralf Reetmeyer ist Geschäftsführer der UBR Reetmeyer GmbH.