25.9. インターフェースのセキュア化

手順25.4 SASL GSSAPI/Kerberos 認証の設定: サーバー側の設定

1. セキュリティードメインサブシステムを使用して Kerberos のセキュリティーログインモジュールを定義します。

   <system-properties>
       <property name="java.security.krb5.conf" value="/tmp/infinispan/krb5.conf"/>
       <property name="java.security.krb5.debug" value="true"/>
       <property name="jboss.security.disable.secdomain.option" value="true"/>
   </system-properties>
   
   <security-domain name="infinispan-server" cache-type="default">
       <authentication>
           <login-module code="Kerberos" flag="required">
               <module-option name="debug" value="true"/>
               <module-option name="storeKey" value="true"/>
               <module-option name="refreshKrb5Config" value="true"/>
               <module-option name="useKeyTab" value="true"/>
               <module-option name="doNotPrompt" value="true"/>
               <module-option name="keyTab" value="/tmp/infinispan/infinispan.keytab"/>
               <module-option name="principal" value="HOTROD/localhost@INFINISPAN.ORG"/>
           </login-module>
       </authentication>
   </security-domain>

2. キャッシュコンテナーに承認ロールが定義されており、これらのロールが 「Red Hat JBoss Data Grid の承認の設定」 に示されるようにキャッシュの承認ブロックで適用されていることを確認します。
3. Hot Rod コネクターを以下のように設定します。

   <hotrod-connector socket-binding="hotrod" 
   		  cache-container="default">
   	<authentication security-realm="ApplicationRealm">
   		<sasl server-name="node0" 
   		      mechanisms="{mechanism_name}" 
   		      qop="{qop_name}" 
   		      strength="{value}">
   			<policy>
   				<no-anonymous value="true" />
   			</policy>
   			<property name="com.sun.security.sasl.digest.utf8">true</property>
   		</sasl>
     </authentication>
   </hotrod-connector>

   • server-name 属性は、サーバーが着信クライアントに対して宣言する名前を指定します。クライアント設定にも同じサーバー名の値が含まれる必要があります。
   • server-context-name 属性は、特定の SASL メカニズムのサーバーサブジェクトを取得するために使用されるログインコンテキストの名前を指定します (例: GSSAPI)。
   • mechanisms 属性は、使用される認証メカニズムを指定します。サポートされるメカニズムの一覧は、「SASL を使用した Hot Rod でのユーザー認証」 を参照してください。
   • qop 属性は、設定についての本番環境の値の SASL の品質を指定します。この属性のサポートされる値は、auth (認証)、auth-int (改ざんを検出するためにメッセージがチェックサムに対して検証されることを意味する認証と整合性)、および auth-conf (メッセージの暗号化も行われることを意味する認証、整合性および機密性) です。auth-int auth-conf などのように複数の値を指定できます。順番は優先順位を示し、クライアントとサーバーの優先順位の両方に一致する最初の値が選択されます。
   • strength 属性は、SASL の暗号強度を指定します。有効な値は low、medium、および high です。
   • policy 要素内の no-anonymous 要素は、匿名ログインを受け入れるメカニズムを許可するかどうかを指定します。許可するには、この値を false にし、拒否するには true に設定します。
4. 各クライアントでクライアント側の設定を実行します。Hot Rod クライアントをプログラムを用いて設定する際に、この設定の情報については、JBoss Data Grid の 『Developer Guide』 で確認できます。

手順25.5 Hot Rod 認証の設定 (MD5)

1. sasl 要素を authentication 要素に追加し、以下のように Hot Rod コネクター設定をセットアップします (authentication 要素の詳細は、「セキュリティーレルムの宣言的な有効化」 を参照してください)。

   <hotrod-connector socket-binding="hotrod" 
                               cache-container="default">
       <authentication security-realm="ApplicationRealm">
           <sasl server-name="myhotrodserver" 
                    mechanisms="DIGEST-MD5" 
                    qop="auth" />
       </authentication>
   </hotrod-connector>

   • server-name 属性は、サーバーが着信クライアントに対して宣言する名前を指定します。クライアント設定にも同じサーバー名の値が含まれる必要があります。
   • mechanisms 属性は、使用される認証メカニズムを指定します。サポートされるメカニズムの一覧は、「SASL を使用した Hot Rod でのユーザー認証」 を参照してください。
   • qop 属性は、設定についての本番環境の値の SASL の品質を指定します。この属性のサポートされる値は、auth、auth-int、および auth-conf です。
2. 各クライアントが Hot Rod コネクターに接続されるように設定します。この手順をプログラムを用いて実行する際に、その方法については JBoss Data Grid の 『Developer Guide』 で確認できます。