開始使用 Mainframe Connector

安裝 Mainframe Connector 前，請先執行初始設定步驟：

  • 將必要角色授予服務帳戶。
  • 設定資產安全性。
  • 設定大型主機與 Google Cloud之間的網路連線。

接著，您可以使用 OpenSSL 下載安裝套件並驗證其真實性。

以下各節將詳細說明各項工作。

授予服務帳戶權限

請確認服務帳戶已獲授下列角色。您可以使用 Google Cloud 控制台將多個角色授予服務帳戶，也可以透過程式化方式授予角色。

為資產設定安全性

請確保已為大型主機授予 Java Cryptography Extension Common Cryptographic Architecture (IBMJCECCA) (Java 8 或 Java 17) 所需的下列權限。從大型主機傳送至 Google Cloud API 的所有要求，都會使用傳輸層安全標準 (TLS)。如果未授予這些權限，系統會顯示 INSUFFICIENT ACCESS AUTHORITY 錯誤訊息。

  • ICSF 查詢設施 (CSFIQF)
  • 隨機數產生 (CSFRNG)
  • 隨機號碼產生長度 (CSFRNGL)
  • PKA 金鑰匯入 (CSFPKI)
  • 產生數位簽章 (CSFDSG)
  • 數位簽章驗證 (CSFDSV)

設定網路連線

Mainframe Connector 會與 Cloud Storage、BigQuery 和 Cloud Logging API 互動。請根據企業政策，確保已設定 Cloud Interconnect 和 VPC Service Controls (VPC-SC)，允許特定 IP 範圍存取特定 BigQuery、Cloud Storage 和 Cloud Logging 資源。您也可以使用 Pub/Sub、Dataflow 和 Managed Service for Apache Spark API，進一步整合 IBM z/OS 批次工作和 Google Cloud上的資料管道。

請確保網路管理團隊可存取下列項目：

  • 指派給 IBM z/OS 邏輯分割區 (LPAR) 的 IP 子網路
  • Google Cloud IBM z/OS 批次工作使用的服務帳戶
  • Google Cloud 含有 IBM z/OS 批次工作所存取資源的專案 ID

設定防火牆、路由器和網域名稱系統

設定大型主機 IP 檔案，在防火牆、路由器和網域名稱系統 (DNS) 中加入規則，允許流量傳向 Google Cloud和從 Google Cloud傳出。您可以安裝 userid.ETC.IPNODES 或 userid.HOSTS.LOCAL 做為主機檔案，將標準 Cloud Storage API 端點解析為 VPC-SC 端點。範例檔案 userid.TCPIP.DATA 會部署來設定 DNS，以使用主機檔案項目。

- ETC.IPNODES
  - 199.36.153.4 www.googleapis.com
  - 199.36.153.5 www.googleapis.com
  - 199.36.153.6 www.googleapis.com
  - 199.36.153.7 www.googleapis.com
  - 199.36.153.4 oauth2.googleapis.com
  - 199.36.153.5 oauth2.googleapis.com
  - 199.36.153.6 oauth2.googleapis.com
  - 199.36.153.7 oauth2.googleapis.com
  - 127.0.0.1 LPAR1 (based on LPAR configuration)
  - 127.0.0.1 LPAR2
  - 127.0.0.1 LPAR3
- HOSTS.LOCAL
  - HOST : 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7 : WWW.GOOGLEAPIS.COM ::::
  - HOST : 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7 : OAUTH2.GOOGLEAPIS.COM ::::
- TCPIP.DATA
  - LOOKUP LOCAL DNS

設定網路以強制執行 VPC-SC

如要在地端部署網路上強制執行 VPC-SC，請按照下列步驟設定：

  • 設定地端部署路由器，將 IBM z/OS 外送流量轉送至 VPC 網路和restricted.googleapis.com特殊網域內的目標子網路，方法是使用 Cloud Interconnect 或虛擬私人網路 (VPN)。
  • 設定地端部署防火牆，允許輸出流量傳送至虛擬私有雲子網路或 VM 執行個體和 Google API 端點 - restricted.googleapis.com 199.36.153.4/30。
  • 設定內部部署防火牆，拒絕所有其他輸出流量，防止虛擬私有雲安全控管機制遭到規避。
  • 設定地端部署防火牆，允許外送流量傳向 https://www.google-analytics.com。

下載並驗證安裝套件

如要開始使用 Mainframe Connector，請下載最新安裝套件。接著，您可以使用 OpenSSL，根據官方簽章驗證完整性。

如要下載及驗證 Mainframe Connector，請按照下列步驟操作：

  1. 將預先建構的Mainframe Connector JAR 檔案下載至使用者帳戶具有寫入權限的目錄。

    重要事項

    請注意，Mainframe Connector 會使用 Google Analytics 收集使用資料。這有助於我們改善軟體，提供更優質的使用者體驗。Google Analytics 預設為啟用。不過，您可以在執行 Mainframe Connector 時設定環境變數，選擇停用這項功能。

    使用 Google Analytics 時，請務必遵守《Google Analytics 服務條款和隱私權政策》。 下載 Mainframe Connector 即表示您已閱讀、瞭解並接受條款及細則。

    下載 取消

  2. 將公開金鑰儲存到名為 mfc-key.pub 的檔案：

    -----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----

  3. 下載您下載的發行構件的數位簽章檔案。

  4. 執行 OpenSSL 指令來驗證簽章：

    openssl dgst -sha256 -verify mfc-key.pub \
  -signature mainframe-connector.tgz.1.sig mainframe-connector.tgz

    這項指令的預期輸出內容為 Verified OK。

後續步驟