Sécurité et protection des fournisseurs de données pour DB2
Vous pouvez utiliser les fournisseurs de données pour DB2 (« fournisseur de données ») pour connecter des applications de consommateur de données Windows aux serveurs d’administration de base de données relationnelle IBM DB2 distants. Le fournisseur de données fonctionne comme un client du demandeur d’application d’architecture de base de données relationnelle (DRDA) qui prend en charge le protocole DRDA et les formats compatibles avec les produits serveur IBM DB2 faisant office de serveurs d’applications DRDA.
Vous pouvez utiliser le fournisseur de données en envoyant des instructions de langage de requête structurées. Ces instructions comprennent des instructions de langage de définition de données (DDL) pour l’administration, et des instructions de gestion de manipulation des données pour les opérations de lecture et d’écriture. Le fournisseur de données connecte les applications clientes Windows aux bases de données du serveur DB2 avec un protocole de contrôle de transmission sur un réseau de protocole Internet (TCP/IP) ou avec un routage haute performance d’architecture de système en réseau (SNA) sur un protocole Internet (HPR/IP) qui utilisent une ou plusieurs des fonctionnalités de sécurité facultatives décrites plus loin dans cette rubrique.
Sécurité
Compte d’utilisateur
Les outils du fournisseur de données, les outils d’accès aux données et les liaisons de données s’exécutent dans le contexte d’un compte d’utilisateur. Le compte d’utilisateur doit être membre des groupes locaux Administrateurs HIS et Utilisateurs du runtime HIS.
Liste de contrôle d’accès de dossier
Le compte d’utilisateur a besoin des paramètres de liste de contrôle d’accès de dossier associés aux groupes locaux Administrateurs HIS et Utilisateurs du runtime HIS.
Program Files\Microsoft Host Integration Server 2020
Program Files\Microsoft Host Integration Server 2020\system
Program Files\Microsoft Host Integration Server 2020\ SysWOW64
Program Files\Microsoft Host Integration Server 2020\traces
Documents\Host Integration Server\Data Sources
Protection
Le fournisseur de données accorde l’autorisation d’exécution sur les packages DB2 au groupe public DB2
Quand vous créez des packages DB2, l’outil d’accès aux données et le fournisseur de données définissent les autorisations d’exécution sur les packages DB2 sur PUBLIC, qui comprend tous les utilisateurs DB2. Pour durcir la sécurité sur votre serveur DB2, nous vous recommandons de révoquer les autorisations d’exécution PUBLIC sur ces packages, et de les accorder uniquement aux utilisateurs ou groupes DB2 sélectionnés.
Les outils de données stockent les informations d’authentification en texte brut dans le fichier UDL (Universal Data Link) ou un fichier de chaîne de connexion (TXT)
L'Assistant Source de données et les liaisons de données stockent les informations d'authentification (nom d'utilisateur et mot de passe) sous forme de texte brut dans le fichier UDL (Universal Data Link) ou le fichier (TXT) de chaîne de connexion. Nous vous recommandons de configurer les fournisseurs de données pour utiliser Enterprise Single Sign-On (ESSO), qui stocke de manière sécurisée les mappages des comptes Windows Active Directory aux informations d’identification IBM DB2. Les fournisseurs de données récupèrent ces mappages pendant l’exécution pour authentifier de manière sécurisée les utilisateurs Windows sur les serveurs de base de données IBM DB2 distants. Vous devez exécuter le fournisseur de données in-process avec le consommateur de données et les outils de données.
DRDA prend en charge un chiffrement intégré faible basé sur DES
DRDA prend en charge une authentification et un chiffrement de données intégrés qui utilisent des technologies de chiffrement faible DES (Data Encryption Standard) 56 bits. Nous vous recommandons de configurer le fournisseur de données pour utiliser un chiffrement de données fort à l’aide de SSL (Secure Sockets Layer) V3.0 ou TLS (Transport Layer Security) V2.0. Pour le chiffrement de l'authentification uniquement, vous pouvez utiliser AES (Advanced Encryption Standard) pour prendre en charge le chiffrement renforcé à 256 bits.
Le fournisseur de données se connecte en utilisant un mot de passe et un nom d’utilisateur non chiffrés en texte brut
Le fournisseur de données se connecte aux ordinateurs serveur DB2 distants sur un réseau TCP/IP ou SNA en utilisant une authentification de base, où le nom d’utilisateur et le mot de passe ne sont pas chiffrés et sont envoyés en texte brut. Nous vous recommandons de configurer le fournisseur de données pour utiliser le chiffrement d’authentification à l’aide de Kerberos, SSL V3.0 ou TLS V1.0, ou à l’aide d’AES.
Le fournisseur de données envoie et reçoit des données non chiffrées
Le fournisseur de données envoie et reçoit des données non chiffrées. Il est recommandé de configurer le fournisseur de données de manière à ce qu'il utilise le chiffrement de données à l'aide du protocole SSL version 3.0 ou TLS version 1.0.
Normes de chiffrement pour DB2
Le tableau suivant décrit les normes de chiffrement prises en charge pour DB2.
| Chiffrement | Authentification | Données |
|---|---|---|
| Kerberos | Oui | Non |
| SSL V3 | Oui | Oui |
| TLS V2 | Oui | Oui |
| AES | Oui | Non |
Les consommateurs de données et les outils de données lisent et écrivent les fichiers de connexion vers et à partir de dossiers non sécurisés
Les consommateurs de données et les outils de données peuvent lire et écrire des fichiers de connexion dans des dossiers non sécurisés. Vous devez stocker des fichiers UDL (Universal Data Link) ou de chaîne de connexion (TXT) dans Host Integration Server\Data Sources ou dans un répertoire de programme, puis sécuriser le dossier avec des droits d’administrateur local. Vous devez conserver les informations de connexion dans les banques d'informations sécurisées des consommateurs de données et des outils de données, puis exécuter le fournisseur de données in-process avec le consommateur de données et les outils de données.
Les consommateurs de données et les outils de données peuvent demander des connexions avec des propriétés non valides
Les consommateurs de données et les outils de données peuvent demander des connexions avec des valeurs de propriété de connexion non valides. Vous devez utiliser les consommateurs de données qui créent des connexions en utilisant les objets de connexion du fournisseur de données au lieu de passer des paires nom/valeur d'arguments de chaîne de connexion non vérifiées. Vous devez définir une valeur de délai de connexion pour annuler les tentatives de connexion non valides.
Les consommateurs de données et les outils de données peuvent demander des commandes avec des données non valides
Les consommateurs de données et les outils de données peuvent demander des commandes avec des données non valides. Vous devez utiliser les consommateurs de données qui créent des commandes en utilisant la commande du fournisseur de données avec des objets de paramètre pour valider les types de paramètre, au lieu de passer des chaînes de commande non vérifiées avec des valeurs de données insérées. Vous devez définir une valeur de délai d’expiration des commandes pour annuler les tentatives de commande non valides. Vous devez utiliser l'unité de travail distribuée (DUW) DRDA à la place de l'unité de travail distante (RUW) pour protéger les consommateurs de données utilisant des transactions de validation en deux phases.