6.5. 設定ファイルのパスワードの暗号化
デフォルトでは、AMQ Broker はすべてのパスワードをプレーンテキストとして設定ファイルに保存します。承認されていないアクセスを防ぐために、適切なパーミッションですべての設定ファイルのセキュリティーを保護するようにしてください。また、プレーンテキストのパスワードを暗号化するか、マスクして、不要なビューアーが読み込まれないようにすることもできます。
マスクされたパスワードは、プレーンテキストのパスワードを暗号化したものです。暗号化バージョンは、AMQ Broker によって提供される mask コマンドラインユーティリティーによって生成されます。mask ユーティリティーの詳細は、コマンドラインのヘルプドキュメントを参照してください。
$ BROKER_INSTANCE_DIR/bin/artemis help mask
パスワードをマスクするには、プレーンテキストの値を暗号化された値に置き換えます。マスクされたパスワードは、実際の値が必要になったときに復号化されるように、識別子 ENC() でラップする必要があります。
以下の例では、BROKER_INSTANCE_DIR/etc/bootstrap.xml 設定ファイルには、keyStorePassword および trustStorePassword 属性のマスクされたパスワードが含まれます。
bootstrap.xml を使用した例
<web bind="https://localhost:8443" path="web"
keyStorePassword="ENC(-342e71445830a32f95220e791dd51e82)"
trustStorePassword="ENC(32f94e9a68c45d89d962ee7dc68cb9d1)">
<app url="activemq-branding" war="activemq-branding.war"/>
</web>
以下の設定ファイルでは、マスクされたパスワードのみを使用できます。
サポートされている設定ファイル
- broker.xml
- bootstrap.xml
- management.xml
- artemis-users.properties
-
login.config(
LDAPLoginModuleで使用)
設定ファイルは BROKER_INSTANCE_DIR/etc にあります。
artemis-users.properties は、ハッシュ化されたパスワードをマスクする場合のみサポートします。ブローカーの作成時にユーザーが作成されると、artemis-users.properties にはデフォルトでハッシュ化されたパスワードが含まれます。デフォルトの PropertiesLoginModule は artemis-users.properties ファイルのパスワードを復号化しませんが、代わりに入力をハッシュ化してパスワード検証の 2 つのハッシュ値を比較します。ハッシュされたパスワードをマスクされたパスワードに変更すると、AMQ コンソールにアクセスできなくなります。
broker.xml、bootstrap.xml、management.xml、および login.config はマスクされているが、ハッシュ化されていないパスワードをサポートします。
手順
例として、次の手順では、ファイル BROKER_INSTANCE_DIR/etc/broker.xml にある cluster-password 設定要素の値をマスクする方法について説明します。
コマンドプロンプトで、
maskユーティリティーを使用してパスワードを暗号化します。$ BROKER_INSTANCE_DIR/bin/artemis mask PASSWORD
暗号化されたパスワードが画面に表示されます。
result: 3a34fd21b82bf2a822fa49a8d8fa115d
マスクするプレーンテキストパスワードを含む設定ファイルを開きます。
<cluster-password> PASSWORD </cluster-password>プレーンテキストのパスワードを、手順 1 で作成した暗号化された値に置き換えます。
<cluster-password> 3a34fd21b82bf2a822fa49a8d8fa115d </cluster-password>
暗号化された値を識別子
ENC()でラップします。<cluster-password> ENC(3a34fd21b82bf2a822fa49a8d8fa115d) </cluster-password>
設定ファイルには、マスクされたパスワードが含まれるようになりました。パスワードは ENC() 識別子でラップされるため、AMQ Broker では使用前にこれを復号化します。
関連情報
AMQ Broker に含まれる設定ファイルの詳細は、AMQ Broker 設定ファイルおよび場所 を参照してください。
