Chapitre 6. Sécurité

Procédure 6.3. Activer l'autorisation basée-rôle

1. Assigner des privilèges d'administrateur à un utilisateur

   Avant d'activer une autorisation basée-rôle, il faut assigner à au moins un utilisateur de confiance le rôle d'administrateur.
   Voir Procédure 6.5, « Gestion des permissions d'utilisateur » pour obtenir davantage d'informations.

2. Fermeture

   Fermer le serveur d'applications avant de procéder à ces changements.

3. Ouvrir components.xml

   Ouvrir le fichier jboss-as-web/server/PROFILE/deploy/jboss-brms.war/WEB-INF/components.xml dans un éditeur de texte.

4. Chercher l'élément <property name="enableRoleBasedAuthorization">

   Dans le fichier par défaut, components.xml, cet élément XML est l'enfant de <components>.

   <component name="org.jboss.seam.security.roleBasedPermissionResolver">
      <property name="enableRoleBasedAuthorization">false</property>
   </component>
   

   Copy to Clipboard Toggle word wrap

   Note

   Chercher l'XML suivant dans les versions 5.1 et versions précédentes

   <security:role-based-permission-resolver 
       enable-role-based-authorization="false"/>
   

   Copy to Clipboard Toggle word wrap

5. Mettre à jour la valeur de l'attribut à «True».

   Mettre à jour la valeur de la propriété enable-role-based-authorization à true et sauvegarder le fichier.

   <component name="org.jboss.seam.security.roleBasedPermissionResolver">
      <property name="enableRoleBasedAuthorization">true</property>
   </component>
   

   Copy to Clipboard Toggle word wrap

   Note

   Chercher l'XML suivant dans les versions 5.1 et versions précédentes

   <security:role-based-permission-resolver 
       enable-role-based-authorization="true"/>
   

   Copy to Clipboard Toggle word wrap

6. Démarrage à nouveau

   Démarrer le serveur d'applications à nouveau.

Procédure 6.4. Ajouter un nouvel utilisateur BRMS

1. Sélectionner les informations sur les permissions

   Sélectionner Administration à partir du menu de navigation, puis sélectionner User Permissions. (Permissions Utilisateur)

2. Ajouter le mappage d'utilisateur

   Cliquer sur le bouton Create new user mapping (Créer un nouveau mappage d'utilisateur). Saisir le nom d'utilisateur dans la boîte de dialogue, et cliquer sur OK.

   Note

   Le nom d'utilisateur indiqué pour le rôle doit correspondre à un nom d'utilisateur du service d'authentification ou il ne fonctionnera pas.

3. Ajouter les permissions

   Voir Procédure 6.5, « Gestion des permissions d'utilisateur » pour obtenir davantage d'informations.

Procédure 6.5. Gestion des permissions d'utilisateur

1. Sélectionner les permissions d'utilisateur

   Sélectionner Administration à partir du menu de navigation, puis sélectionner User Permissions. (Permissions Utilisateur)

2. Sélectionner l'utilisateur

   Sélectionner Open qui se trouve à côté du nom d'utilisateur.
   

   View larger image

   

   Figure 6.2. Détails Permissions

3. Assigner des permissions à l'utilisateur

   Cliquer sur l'icône pour ajouter des permissions, et sélectionner les permissions qui conviennent à partir du menu déroulant de Permission type. Appuyez sur OK pour confirmer.
   

   View larger image

   

   Figure 6.3. Modifier les permissions d'utilisateur

4. Retirer les permissions d'utilisateur

   Cliquez sur l'icône moins à côté de la permission supprimée, puis cliquez sur OK pour confirmer.

Procédure 6.6. Configurer Rule Package Signing

1. Créer un Keystore privé

   Utiliser la commande keytool pour créer le keystore privé :

   keytool -genkey -alias ALIAS -keyalg RSA -keystore PRIVATE.keystore

   Copy to Clipboard Toggle word wrap
   Le paramètre -alias indique le nom utilisé pour relier les entités reliées dans le keystore. Utiliser le même alias pour chacune de ces étapes. L'alias n'est pas sensible à la casse. Le paramètre -keystore fournit le nom du fichier qui sera créé pour contenir la clé privée.
   keytool vous invitera à vous identifier et à fournir deux mots de passe. Le premier mot de passe, le keystore password, sécurise le keystore. Le second mot de passe, le mot de passe clé, sécurise la clé qui est en cours de création.

   [localhost ]$ keytool -genkey -alias BRMSKey -keyalg RSA -keystore PrivateBRMS.keystore
   Enter keystore password:  
   Re-enter new password: 
   What is your first and last name?
      [Unknown]:  John Smith
   What is the name of your organizational unit?
      [Unknown]:  Accounts
   What is the name of your organization?
      [Unknown]:  ACME INC
   What is the name of your City or Locality?
      [Unknown]:  Captital City
   What is the name of your State or Province?
      [Unknown]:  CC
   What is the two-letter country code for this unit?
      [Unknown]:  US
   Is CN=John Smith, OU=Accounts, O=ACME INC, L=Captial City, ST=CC, C=US correct?
      [no]:  yes
   Enter key password for <BRMSKey>
      (RETURN if same as keystore password):  
   Re-enter new password:
   

   Copy to Clipboard Toggle word wrap

2. Créer un Certificat digital

   Utiliser la commande keytool pour créer un certificat digital :

   keytool -export -alias ALIAS -file CERTIFICATE.crt -keystore PRIVATE.keystore

   Copy to Clipboard Toggle word wrap
   Utiliser le même alias et le même keystore que pour l'étape précédente. Le paramètre -file est le nom de fichier du nouveau certificat qui va être créé. Le paramètre -keystore fournit le nom de fichier du keystore privé.
   Saisir le mot de passe du keystore quand vous y êtes invité.

   [localhost ]$ keytool -export -alias BRMSKey -file BRMSKey.crt -keystore PrivateBRMS.keystore
   Enter keystore password:  
   Certificate stored in file <BRMSKey.crt>

   Copy to Clipboard Toggle word wrap

3. Importer le Certificat digital dans le Truststore

   Utiliser la commande keytool pour importer le certificat digital dans un keystore :

   keytool -import -alias ALIAS -file CERTIFICATE.crt -keystore PUBLIC.keystore

   Copy to Clipboard Toggle word wrap
   Cela va créer un nouveau keystore, le truststore, qui contient le certificat digital. Le truststore rend le certificat digital disponible aux applications clients.

   [localhost ]$ keytool -import -alias BRMSKey -file BRMSKey.crt -keystore PublicBRMS.keystore
   Enter keystore password:  
   Re-enter new password: 
   Owner: CN=John Smith, OU=Accounts, O=ACME INC, L=Captial City, ST=CC, C=US
   Issuer: CN=John Smith, OU=Accounts, O=ACME INC, L=Captial City, ST=CC, C=US
   Serial number: 4ca0021b
   Valid from: Sun Sep 26 22:31:55 EDT 2010 until: Sat Dec 25 21:31:55 EST 2010
   Certificate fingerprints:
      MD5:  31:1D:1B:98:59:CC:0E:3C:3F:57:01:C2:FE:F2:6D:C9
      SHA1: 4C:26:52:CA:0A:92:CC:7A:86:04:50:53:80:94:2A:4F:82:6F:53:AD
      Signature algorithm name: SHA1withRSA
      Version: 3
   Trust this certificate? [no]:  yes
   Certificate was added to keystore

   Copy to Clipboard Toggle word wrap

4. Déplacer le keystore privé dans une location sécurisée

   Le keystore sécurisé a besoin d'être gardé dans une location sécurisée à laquelle le serveur de la plateforme JBoss Enterprise BRMS peut accéder. Il pourrait s'agir de la même machine ou d'une location de réseau sécurisée qui est disponible pour cette machine.

   Important

   La plateforme JBoss Enterprise BRMS Platform n'est pas en mesure de fournir des informations d'identification aux ressources de réseau. Si le keystore privé se trouve dans une location de réseau sécurisée, alors toute procédure d'authentification devra avoir lieu pour le compte du serveur JBoss Enterprise BRMS, pour rendre le keystore privé disponible. Par exemple, le système d'exploitation peut authentifier et monter un fichier partagé qui contient le keystore privé comme répertoire local auquel le serveur de JBoss Enterprise BRMS Platform peut accéder.

5. Déplacer le Truststore vers une location publique

   Le truststore a besoin d'être accessible aux applications client. Cela est possible en mettant le truststore sur un réseau en commun ou en l'hébergeant sur un webserveur.

6. Définir les propriétés de sérialisation de Drools.

   Les propriétés système de sérialisation de Drools ont besoin d'être configurées sur le serveur. Il s'agit des propriétés qui stockent des informations requises pour accéder aux keystores. Comme JBoss Enterprise BRMS Platform contient également des composants, les propriétés de truststore et du keystore privé devront être définies sur le serveur.
   Consulter Section 6.3.1, « Définir les propriétés de sérialisation » pour obtenir des détails sur l'endroit où définir les propriétés.
   Les propriétés qui sont besoin d'être définies sont les suivantes :
   • drools.serialization.sign - indique si la signature est activée. Doit être défini sur true.
   • drools.serialization.private.keyStoreURL - URL où le keystore privé se situe
   • drools.serialization.private.keyStorePwd - le mot de passe du keystore
   • drools.serialization.private.keyAlias - alias utilisé pour créer le keystore
   • drools.serialization.private.keyPwd - le mot de passe clé
   • drools.serialization.public.keyStoreURL - URL où se situe le truststore
   • drools.serialization.public.keyStorePwd - le mot de passe pour le truststore

7. Encrypter les informations d'identification du keystore

   Le mot de passe du keystore est actuellement stocké en texte ordinaire.
   Consulter https://access.redhat.com/kb/docs/DOC-47247 pour obtenir des instructions pour masquer les informations d'authentification du keystore.