Neuerungen in IBM WebSphere MQ Version 7.1 - Teil 1

Wesentliche Neuerung in WebSphere MQ 7.1 im Security Bereich sind die Channel Authentication Records. Dieses Feature muss zuerst für den entsprechenden Queue Manager mittels eines MQSC Befehles aktiviert werden. Jedem MQ Channel können eine oder mehrere Channel Authentication Records zugewiesen werden. In einem Channel Authentication Record wird definiert, welcher User basierend auf den vom Client angegebenen Informationen an das Berechtigungssystem weitergeleitet wird.

So kann beispielweise hinterlegt werden, dass der MQ Client, der sich mit der User ID „Administrator“ von dem System mit der IP Adresse „10.0.0.2“ verbindet die Rechte des Users „mqm“ bekommen soll. Als weitere Parameter stehen der DN im SSL Zertifikat sowie der Name des Remote Queue Managers zur Verfügung. Die für einen Channel definierten Authentication Records können komfortabel über einen MQSC Befehl abgefragt werden. Bis jetzt mussten zur Umsetzung von User-Mappings MQ Exits wie zum Beispiel Block IP genutzt werden. Da bei der Umsetzung der Mappingsvorschriften allerdings auf die Angaben des MQ Clients vertraut wird, sollten damit nur firmenintern Zugriffsrechte gesetzt werden. Bei der Kommunikation mit externen Partnersystemen sollte weiterhin mutual Authentication mittels SSL zur Authentifizierung eingesetzt werden.

Im Bereich der Autorisierung können Zugriffsrechte auf Queues und Topics nun direkt mittels MQSC Befehlen zugewiesen werden. Bis jetzt musste dafür immer der separate Befehl setmqaut genutzt werden. Die folgende Grafik verdeutlicht auf welcher Ebene diese so genannte Access Control List die Autorisierung vornimmt.

Um eine Konfiguration eines Queue Managers zu speichern war bisher das SupportPac MS03, besser bekannt als saveqmgr, nötig. Ab der WebSphere MQ Version 7.1 gibt es nun den integrierten Befehl „dmpmqcfg“, welcher die Aufgaben des SupportPacs erfüllt und nicht mehr separat heruntergeladen werden muss.