Zowe'nin Tek Servisli API ML Modu, AT-TLS Jobname Kurallarınızın Kapsamını Değiştiriyor
Zowe 3.4.0'dan beri yeni bir kurulum, API Mediation Layer'ın tamamını AG jobname sonekli tek bir z/OS address space olarak çalıştırıyor. AT-TLS bir bağlantıya hangi kuralın uygulanacağını kısmen jobname'e bakarak seçtiği için bu geçiş, mevcut policy'nizin neyi yakaladığını değiştiriyor. Aşağıda etkilenen üç kural tipi ve kaçınılması gereken bir dokümantasyon hatası var.
Beş API ML sunucusu artık tek bir JVM'de
Zowe 3.3.0, API ML için single-service deployment'ı getirdi; 3.4.0 kurulumu ise bu modu varsayılan olarak açıyor. Gateway, Discovery Service, API Catalog ve Caching Service tek bir JVM içinde, hem 7554 hem 7553 portunu dinleyen tek bir address space'te çalışıyor (single-service rehberi). Kimlik doğrulama servisi ZAAS da Gateway'in içine alınıyor (mimari sayfası) ve varsayılan 7552, 7555, 7558 portları artık kullanılmıyor (single-service rehberi).
Multi-service modunda bu sunucuların her birinin kendi soneki vardı: Gateway için AG, Discovery için AD, Catalog için AC, Caching için CS (mimari sayfası), ZAAS için de AZ. Varsayılan ZWE1 önekiyle beş ayrı isim tek bir ZWE1AG'ye iniyor.
Bu değişiklik kendini Zowe operatörü olarak görmeyen ekipleri de etkiliyor. IBM, Db2 for z/OS için Data Studio desteğini 31 Mart 2025'te sonlandırdı (IBM); IBM'den Joe Winchester da Planet Mainframe kullanıcı grubu oturumunda yerine gelen Db2 Administration Foundation'ın tamamen Zowe üzerine kurulduğunu anlattı (Planet Mainframe). Aynı oturumda Zowe 3.x'in birden çok address space'ten tek bir modele geçişi de ele alındı.
AT-TLS için jobname değişikliği neden bir policy değişikliği
Bir TTLSRule isteğe bağlı olarak Jobname taşıyabilir. IBM'in referansına göre bu durumda bir paketin kurala uyması için o job adına sahip bir uygulamaya giden ya da ondan gelen trafik olması gerekiyor; sondaki yıldız ise adı wildcard yapıyor (TTLSRule statement).
Port, adres ve yön bir kuralı daraltmaya devam ediyor. Kaybolan şey, Catalog'un açtığı bağlantılar için Gateway'inkileri dışarıda bırakan bir kural yazabilme imkânı: tek address space içinde ikisi de aynı adı taşıyor.
Üç kural tipi ve geçişin her birine etkisi
PAGENT policy'nizde Zowe jobname'i geçen her kuralı şu üç gruptan birine koyun:
- Wildcard'lar (
ZWE1*,ZWE1A*). Zowe'nin kendi örnek kuralları ikisini de kullanıyor veZWE1AGikisine de uyuyor (AT-TLS rehberi). Bunlar eşleşmeye devam ediyor; yalnızca port aralıklarını gözden geçirmek gerekiyor. - Artık çalışmayan sunucular için tam adlar (
ZWE1AZ,ZWE1AD,ZWE1AC,ZWE1CS). Bunlar artık hiçbir şeyle eşleşmiyor. Single-service rehberi özellikle z/OSMF outbound kuralını anıyor: kuralZWE1AZ'denZWE1AG'ye taşınmazsa kimlik doğrulama varsayılan ayarlarla çalışmayabilir. ZWE1AGiçin tam adlı kurallar. Eşleşmeye devam ediyorlar ama kapsadıkları trafik büyüdü. Yalnızca Gateway için yazılmış bir kural, artık aynı process içindeki Discovery, Catalog ve Caching kodunun açtığı bağlantılara da uygulanıyor.
En sıkı denetlenmesi gereken üçüncü grup. Zowe, Zowe sunucu sertifikasını X.509 client sertifikası kabul eden bir southbound servise gönderen outbound kuralın, çağıranı Zowe sunucusunun user ID'si olarak doğrulattığı konusunda uyarıyor (AT-TLS rehberi). O sertifikayı sunan her ZWE1AG kuralı, artık yazıldığı günkünden daha fazla kod adına sunuyor.
Mimari sayfası, kodun hiç kullanmadığı bir soneki yazıyor
Zowe'nin mimari sayfası (son güncelleme 18 Ağustos 2026), single-service sunucusunun "jobname suffix of GW" kullandığını söylüyor ve GW'yi Discovery Service, Catalog ve Caching Service için de tekrarlıyor.
Kod başka bir şey söylüyor. zowe/api-layer deposundaki single-service başlatıcısı APIML_CODE=AG tanımlıyor ve Java'yı _BPX_JOBNAME=${ZWE_zowe_job_prefix}${APIML_CODE} ile başlatıyor (50684ae commit'indeki start.sh). Single-service rehberi ZWE1AG diyor ve örnek log satırlarını bu adla basıyor; single-service AT-TLS rehberi de her API ML portu için ZWE1AG listeliyor. Dördünü de 24 Eylül 2026'da kontrol ettim.
Jobname ZWE1GW diye yazılmış bir kural, IBM'in bir ile sekiz karakter arası ad kuralına uyuyor ama hiçbir Zowe process'i bu adı taşımıyor. Adı çalışan address space'ten alın; mimari sayfasını bu noktada düzeltilene kadar yanlış kabul edin.
Address space ile birlikte taşınan portlar ve log satırları
Kuralların dışında iki şey daha değişiyor:
- Infinispan portları. Single-service modu Caching Service için
infinispanstorage'ı zorunlu kılıyor ve Infinispan ek portlar istiyor (single-service rehberi). Zowe'nin örnek inbound kuralları 7600 ile 7601'e ayrı bir kural veriyor ve 7555'i bilerek atlıyor; rehbere göre bu, policy'yi multi-service moduyla uyumlu tutuyor (AT-TLS rehberi). - Log önekleri. Discovery, Catalog ve Caching mesajları artık
ZWE1AGaltında basılıyor.ZWEAM000Igibi mesaj kodları aynı kalıyor ve değişiklik yalnızca spool ile USS loglarını etkiliyor; WTO'lar değişmiyor (single-service rehberi).
Mesaj ID'sine bakan otomasyon geçişten sağ çıkıyor. Jobname ile mesajı birlikte arayan otomasyonun yeni adı öğrenmesi gerekiyor.
3.4 varsayılanını kabul etmeden önce yapılacaklar
Policy'nizde zowe.job.prefix ile başlayan her Jobname'i listeleyin ve her birini yukarıdaki üç gruptan birine yerleştirin. z/OSMF outbound kuralını ZWE1AG'ye taşıyın, artık var olmayan sunucuların kurallarını silin ve sertifika gönderen her tam adlı ZWE1AG kuralını yeniden okuyun. Ardından F PAGENT,REFRESH komutunu verin ve Zowe'yi yeniden başlatın; AT-TLS rehberi bunu açık bağlantılarla ilgili sorunlardan kaçınmak için öneriyor.
3.4 single-service modunda Kubernetes desteklenmiyor. components.apiml.enabled değerini false yaparak geri dönebilirsiniz ve Zowe bu seçeneğin v3 yaşam döngüsü boyunca kalacağını söylüyor (single-service rehberi). Policy'yi, mevcut bir kurulumda components.apiml.enabled değerini true yapmadan ve yeni bir 3.4 kurulumunu ilk kez başlatmadan önce düzeltin.