Secure Sockets Layer（SSL）は、サーバーとクライアント（通常はWebサーバー（Webサイト）とブラウザー、またはメールサーバーとメールクライアント）の間に暗号化されたリンクを確立するための標準的なセキュリティテクノロジーです。 詳細はこちら
こちら の記事では、LinuxでODBC接続を行う方法 をご紹介しました。
今回は、SSL/TLS を使用するように InterSystems IRIS スーパーサーバを構成 した IRIS に対して、ODBCで SSL/TLS 接続をする方法をご紹介します。
LinuxでODBC接続を行う方法 の記事で紹介している手順で、SSL/TLS なしでODBC接続できる環境を用意していることを前提にご説明します。
手順は以下のようになります。手順の詳細は、この後で説明します。
３．TLS 構成ファイル odbcssl.ini を作成します
４．環境変数 ISC_SSLconfigurations で <path>/odbcssl.ini を指定します
CA証明書に問題がないか証明書情報を確認します。
※ ***.***.***.*** ：接続先IRISサーバのIPアドレス
これは、InterSystems FAQサイトの記事です。
メール送付のコードを記述する前に、管理ポータルで SSL/TLS 構成を作成します。
管理ポータル > システム管理 > セキュリティ > SSL/TLS 構成
メール送付までの流れは以下の通りです。
ターミナルからの実行例は以下の通りです（Gmail を利用しています）。
《メモ》
現在（2022年5月30日以降）、Gmailを利用したメール送付を行う場合 OAuth2.0 の利用が必須となりました。Gmailを利用する場合の手順ついては、「OAuth 2.0 を利用して IRIS から Gmail を送信する」をご参照ください。
Windows と Mac で InterSystems IRIS 2019.1 (および 2018.1.2) の SSL/TLS 設定に認証局 (CA) の証明書を簡単に追加する新しい方法ができました。 IRIS にオペレーティングシステムの証明書ストアを使用することを要求するために、
%OSCertificateStore
を "信頼された証明書機関 X.509 証明書を含むファイル" のフィールドに入力します。 以下はポータルでそれを実行する方法を示した画像です。
また、これについて説明したドキュメントへのリンクはこちらです。 "信頼された証明書機関の証明書を含むファイル" のオプションの中を探してください。
必要な操作はこれだけです！ これで、OS 証明書ストアに載っているすべての CA の証明書をこの設定に使用することができます。
Docker環境下でWebアプリのコンテナとIRISのコンテナをRESTfulAPIで連携した時の
SSL化方法。
ちなみにこの方法で管理ポータル等もSSL通信が可能になります。
参考サイト：
※ Vue.jsはローカル上でホットリロードを利用した開発環境。 ※ IRISはローカル上に構築したDockerコンテナ下で稼働中。
今回、IRISをDockerコンテナで稼働させる方法は割愛します。
Vue.jsで開発中のアプリケーションをhttpsでホットリロード利用出来るように起動する。
npm run serve -- --https
これで開発中のデバッグ画面をhttpsで呼び出して利用する事ができるようになるが、このままでは、httpsからhttpにアクセスする事が出来ない為、IRISのRESTを呼び出すことが出来ない。
Nginxでプロキシサーバーを立てて、httpsでアクセスされたら全てIRISのサーバーにリダイレクトするようにする。
Vue.jsのホットリロードを使った環境においてWebアプリケーションを開発しています。Webアプリケーションから開発環境と同じローカルPCにあるDocker上のIRISへ％RESTを使用しRESTfulAPI通信をしていますが、Webアプリケーションをhttpsで利用した場合は、httpsからhttpへはAPI通信ができないので、間にプロキシサーバーを立ててリダイレクトしないといけないと思います。しかし上手くいきません。
○ npm run serve で起動したWebアプリ http -> httpでIRISの%RESTを呼び出せる。
× npm run serve -- --https で起動した場合 https -> http は呼び出しできない。
https -> プロキシサーバ（https-httpへリダイレクト）-> httpでIRISの％RESTが呼びさせるはず。
環境
Webアプリ：Vue.js 例）https://localhost:3014/
IRIS：Docker上のコンテナで稼働 例）http://localhost:9091 -> 57772
やってみた事
1. Docker上にnginxのコンテナを作成。openssl にてSAN付きオレオレ証明書の作成
2. リダイレクトの定義を作成
現象
これはInterSystems FAQ サイトの記事です。
%Net.HttpRequest クラスの SSLConfiguration プロパティに SSL/TLS 構成の「クライアント」構成名が指定されているかご確認ください。
%Net.HttpRequest クラスを使用して、https の url にアクセスするためには、以下のドキュメントに記載されている SSL/TLS 構成 の「クライアント」構成を作成して指定した名前を SSLConfiguration プロパティに指定する必要があります。
管理ポータルの [システム管理] > [セキュリティ] > [SSL/TLS構成] メニューを開き、「構成名」に任意名を設定し、「保存」ボタンをクリックします（そのほかの構成パラメータは、デフォルト値で作成します）。
実行例は以下の通りです（https://www3.nhk.or.jp/news/ にアクセスしています）。
CachéまたはEnsembleへの接続にStudio、ODBC、またはターミナルを使用している場合、その接続をどのように保護すれば良いのか疑問に思うかもしれません。 選択肢の一つに、TLS（別名SSL）を接続に追加することが挙げられます。 Cachéクライアントアプリケーション（TELNET、ODBC、Studio）にはすべて、TLSを接続に追加する機能があります。 あとは単純にその構成を行うだけです。
2015.1以降はこれらのクライアントを簡単に設定できるようになりました。 ここでは、その新しい方法について説明します。 既に古い方法を使用している場合も引き続き機能しますが、新しい方法への切り替えを検討することをお勧めします。
これらのクライアントアプリケーションは、サーバーがインストールされていないマシンにインストールできます。 ただし、CACHESYSデータベースやcpfファイルなど、設定を保存する通常の場所へのアクセスに依存することはできません。 その代わり、受け付ける証明書やプロトコルの設定はテキストファイルに保存されます。 このファイルの設定の多くは、管理ポータルのSSL/TLS構成の設定に似ています。
独自のファイルを作成する必要があります。 クライアントインストーラーは設定ファイルを作成しません。