Começar a usar o Mainframe Connector

Antes de instalar o Mainframe Connector, faça a configuração inicial, incluindo a concessão dos papéis necessários à sua conta de serviço, a configuração da segurança dos seus recursos e a configuração da conectividade de rede entre o mainframe e o Google Cloud. As seções a seguir descrevem cada tarefa em detalhes.

Conceder permissões à conta de serviço

Verifique se os papéis a seguir foram concedidos à sua conta de serviço. É possível conceder vários papéis à sua conta de serviço usando o console Google Cloud ou conceder os papéis de maneira programática.

Configurar a segurança dos seus recursos

Confira se as seguintes permissões exigidas pela Java Cryptography Extension Common Cryptographic Architecture (IBMJCECCA) (Java 8 ou Java 17) foram concedidas para seu mainframe. A segurança da camada de transporte (TLS) é usada em todas as solicitações feitas do seu mainframe para as APIs do Google Cloud . Se essas permissões não forem concedidas, uma mensagem de erro INSUFFICIENT ACCESS AUTHORITY vai aparecer.

  • ICSF Query Facility (CSFIQF)
  • Geração de números aleatórios criptograficamente seguros (CSFRNG)
  • Random Number Generate Long (CSFRNGL)
  • Importação de chave PKA (CSFPKI)
  • Geração de assinatura digital (CSFDSG)
  • Verificação de assinatura digital (CSFDSV)

Configurar a conectividade de rede

O conector de mainframe interage com as APIs do Cloud Storage, do BigQuery e do Cloud Logging. Verifique se o Cloud Interconnect e o VPC Service Controls (VPC-SC) estão configurados para permitir o acesso a recursos específicos do BigQuery, do Cloud Storage e do Cloud Logging de intervalos de IP especificados, com base na política da sua empresa. Também é possível usar as APIs do Pub/Sub, Dataflow e Dataproc para mais integração entre jobs em lote do IBM z/OS e pipelines de dados no Google Cloud.

Verifique se a equipe de administração de rede tem acesso ao seguinte:

  • Sub-redes IP atribuídas às partições lógicas (LPARs) do IBM z/OS
  • Contas de serviçoGoogle Cloud usadas por jobs em lote do IBM z/OS
  • Google Cloud IDs de projeto que contêm recursos acessados por jobs em lote do IBM z/OS

Configurar firewalls, roteadores e sistemas de nomes de domínio

Configure seus arquivos de IP do mainframe para incluir regras em firewalls, roteadores e sistemas de nomes de domínio (DNSs) para permitir o tráfego de e para Google Cloud. É possível instalar userid.ETC.IPNODES ou userid.HOSTS.LOCAL como arquivo de hosts para resolver os endpoints padrão da API Cloud Storage como o endpoint VPC-SC. O arquivo de exemplo userid.TCPIP.DATA é implantado para configurar o DNS para usar as entradas do arquivo de hosts.

- ETC.IPNODES
  - 199.36.153.4 www.googleapis.com
  - 199.36.153.5 www.googleapis.com
  - 199.36.153.6 www.googleapis.com
  - 199.36.153.7 www.googleapis.com
  - 199.36.153.4 oauth2.googleapis.com
  - 199.36.153.5 oauth2.googleapis.com
  - 199.36.153.6 oauth2.googleapis.com
  - 199.36.153.7 oauth2.googleapis.com
  - 127.0.0.1 LPAR1 (based on LPAR configuration)
  - 127.0.0.1 LPAR2
  - 127.0.0.1 LPAR3
- HOSTS.LOCAL
  - HOST : 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7 : WWW.GOOGLEAPIS.COM ::::
  - HOST : 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7 : OAUTH2.GOOGLEAPIS.COM ::::
- TCPIP.DATA
  - LOOKUP LOCAL DNS

Configurar sua rede para aplicar o VPC-SC

Para aplicar o VPC-SC na sua rede local, configure-o da seguinte maneira:

  • Configure os roteadores locais para rotear o tráfego de saída do IBM z/OS para sub-redes de destino nas redes VPC e no domínio especial restricted.googleapis.com usando o Cloud Interconnect ou uma rede privada virtual (VPN).
  • Configure os firewalls locais para permitir o tráfego de saída para sub-redes VPC ou instâncias de VM e endpoints da API do Google: restricted.googleapis.com 199.36.153.4/30.
  • Configure os firewalls locais para negar todo o outro tráfego de saída e evitar o bypass do VPC-SC.
  • Configure os firewalls locais para permitir o tráfego de saída para https://www.google-analytics.com.

A seguir