第1章 セキュリティーオプション

Cryostat のセキュリティー設定を行うと、Cryostat インスタンスをより適切に保護できます。

Cryostat は、ターゲット JVM アプリケーションの認証情報を暗号化し、Red Hat OpenShift の永続ボリューム要求 (PVC) に格納されているデータベースに保存できます。Cryostat は、認証情報をデータベースに追加する HTTP リクエストと、その認証情報を使用してターゲットアプリケーションに接続する JMX 接続で SSL/TLS をサポートします。また、Cryostat は、ユーザーによって提供されたパスフレーズまたは Red Hat build of Cryostat Operator によって生成されたパスフレーズを使用して、データベース内の認証情報を暗号化します。

Cryostat Operator を使用すると、これらの証明書をシークレットに追加し、このシークレットを含むように Cryostat カスタムリソース (CR) を設定することにより、特定のアプリケーションからの SSL/TLS 証明書を信頼するように Cryostat を設定できます。詳細は、Red Hat build of Cryostat Operator を使用した Cryostat の設定: TLS 証明書の設定 を参照してください。

Cryostat Web コンソールの Security メニューをクリックすると、ターゲット JVM にインポートされた SSL/TLS 証明書のリストを表示できます。

図1.1 ターゲット JVM でインポートされた SSL 証明書一覧の表示

1.1. 認証情報の保存および管理

ターゲット JVM アプリケーションに対して Java Management Extensions (JMX) 認証または HTTP 認証を有効にすると、Cryostat がアプリケーションの JFR レコーディングにアクセスできるように、認証情報の入力を求められます。

Cryostat Web コンソールで Recordings または Events メニュー項目をクリックすると、コンソールで Authentication Required ウィンドウが開きます。ターゲット JVM アプリケーションのユーザー名およびパスワードを入力する必要があります。その後、レコーディングを表示したり、アプリケーションで追加のレコーディング操作を実行したりできます。

図1.2 Cryostat Authentication Required ウィンドウの例

Cryostat は、Cryostat エージェントまたはターゲット JVM への接続に使用する認証情報を保存します。

重要

ターゲット JVM アプリケーションを再起動する必要がある場合は、アプリケーションの JFR レコーディングデータが失われないように、次のいずれかのタスクを完了してください。

• Cryostat Web コンソールの Recordings メニュー項目をクリックし、JFR レコーディングをアーカイブします。
• Cryostat アーカイブのストレージの場所にスナップショットのレコーディングをコピーするように Cryostat をスケジュールする自動化されたルールを作成します。

自動化されたルールを作成して複数のターゲット JVM をモニターする場合は、各ターゲット JVM 接続に対して認証情報を保存して再利用するように Cryostat を設定できます。この設定を使用すると、Cryostat Web コンソールでアプリケーションの JFR レコーディングに再度アクセスするときに、認証情報を再入力する必要がなくなります。

前提条件

• ターゲット JVM アプリケーションの JMX または HTTP 認証を有効にした。

手順

1. Security メニュー項目をクリックします。

2. Store Credentials ウィンドウで、Add ボタンをクリックします。Store Credentials ウィンドウが開きます。

   図1.3 Store Credentials ウィンドウの例

   

3. Match Expression フィールドに、一致式の詳細を指定します。

   注記

   疑問符アイコンを選択すると、Match Expression Hint スニペットに推奨の構文が表示されます。

4. Save をクリックします。Store Credentials ウィンドウにテーブルエントリーが表示され、ターゲット JVM の Match Expression が示されます。

   図1.4 Store Credentials ペインのテーブルエントリーの例

   
   重要

   セキュリティー上の理由から、テーブルエントリーにはユーザー名やパスワードは表示されません。

5. オプション: ターゲット JVM の保存済み認証情報を削除する場合は、このターゲット JVM のテーブルエントリーの横にあるチェックボックスを選択してから、Delete をクリックします。