Data Grid セキュリティーガイド

手順

1. 承認を有効にし、ロールマッパーを指定し、ロールおよびパーミッションのセットを定義する GlobalConfigurationBuilder を作成します。

   GlobalConfigurationBuilder global = new GlobalConfigurationBuilder();
   global
      .security()
         .authorization().enable() 

   1

   
            .principalRoleMapper(new IdentityRoleMapper()) 

   2

   
            .role("admin") 

   3

   
               .permission(AuthorizationPermission.ALL)
            .role("reader")
               .permission(AuthorizationPermission.READ)
            .role("writer")
               .permission(AuthorizationPermission.WRITE)
            .role("supervisor")
               .permission(AuthorizationPermission.READ)
               .permission(AuthorizationPermission.WRITE)
               .permission(AuthorizationPermission.EXEC);

   Copy to Clipboard Toggle word wrap

   1

   Cache Manager の Data Grid 承認を有効にします。

   2

   ロールにプリンシパルをマップ PrincipalRoleMapper の実装を指定します。

   3

   ロールとその関連付けられたパーミッションを定義します。

2. ConfigurationBuilder で承認を有効にして、ユーザーロールに基づいてアクセスを制限します。

   ConfigurationBuilder config = new ConfigurationBuilder();
   config
      .security()
         .authorization()
            .enable(); 

   1

   Copy to Clipboard Toggle word wrap

   1

   暗黙的に、グローバル設定からすべてのロールを追加します。

   すべてのロールをキャッシュに適用しない場合は、以下のようにキャッシュに承認されたロールを明示的に定義します。

   ConfigurationBuilder config = new ConfigurationBuilder();
   config
      .security()
         .authorization()
            .enable()
            .role("admin") 

   1

   
            .role("supervisor")
            .role("reader");

   Copy to Clipboard Toggle word wrap

   1

   キャッシュに承認されたロールを定義します。この例では、writer ロールのみを持つユーザーは "secured" キャッシュには許可されていません。Data Grid は、これらのユーザーからのアクセス要求を拒否します。

手順

1. cache-container でロールマッパーを指定するグローバル承認を設定し、ロールとパーミッションのセットを定義します。

2. ユーザーロールに基づいてアクセスを制限するようにキャッシュの承認を設定します。

   <infinispan>
      <cache-container default-cache="secured" name="secured">
         <security>
            <authorization> 

   1

   
               <identity-role-mapper /> 

   2

   
               <role name="admin" permissions="ALL" /> 

   3

   
               <role name="reader" permissions="READ" />
               <role name="writer" permissions="WRITE" />
               <role name="supervisor" permissions="READ WRITE EXEC"/>
            </authorization>
         </security>
         <local-cache name="secured">
            <security>
               <authorization/> 

   4

   
            </security>
         </local-cache>
      </cache-container>
   </infinispan>

   Copy to Clipboard Toggle word wrap

   1

   Cache Manager の Data Grid 承認を有効にします。

   2

   ロールにプリンシパルをマップ PrincipalRoleMapper の実装を指定します。

   3

   ロールとその関連付けられたパーミッションを定義します。

   4

   暗黙的に、グローバル設定からすべてのロールを追加します。

   すべてのロールをキャッシュに適用しない場合は、以下のようにキャッシュに承認されたロールを明示的に定義します。

   <infinispan>
      <cache-container default-cache="secured" name="secured">
         <security>
            <authorization>
               <identity-role-mapper />
               <role name="admin" permissions="ALL" />
               <role name="reader" permissions="READ" />
               <role name="writer" permissions="WRITE" />
               <role name="supervisor" permissions="READ WRITE EXEC"/>
            </authorization>
         </security>
         <local-cache name="secured">
            <security>
               <authorization roles="admin supervisor reader"/> 

   1

   
            </security>
         </local-cache>
      </cache-container>
   
   </infinispan>

   Copy to Clipboard Toggle word wrap

   1

   キャッシュに承認されたロールを定義します。この例では、writer ロールのみを持つユーザーは "secured" キャッシュには許可されていません。Data Grid は、これらのユーザーからのアクセス要求を拒否します。

1. Data Grid クラスターの最初のノードであるコーディネーターノードは、秘密鍵を生成します。
2. 参加ノードは、コーディネーターとの証明書認証を実行して、相互に ID を検証します。
3. 参加ノードは、コーディネーターノードに秘密鍵を要求します。その要求には、参加ノードの公開鍵が含まれています。
4. コーディネーターノードは、秘密鍵を公開鍵で暗号化し、参加ノードに返します。
5. 参加ノードは秘密鍵を復号してインストールします。
6. ノードはクラスターに参加し、秘密鍵でメッセージを暗号化および復号化します。

1. ノードは、起動時に Data Grid クラスパスのキーストアから秘密鍵をインストールします。
2. ノードはクラスターに参加し、秘密鍵でメッセージを暗号化および復号化します。

手順

1. Data Grid がノードの ID を検証できるようにする証明書チェーンでキーストアを作成します。

2. クラスター内の各ノードのクラスパスにキーストアを配置します。

   Data Grid Server の場合は、$RHDG_HOME ディレクトリーにキーストアを配置します。

3. 以下の例のように、SSL_KEY_EXCHANGE プロトコルおよび ASYM_ENCRYPT プロトコルを Data Grid 設定の JGroups スタックに追加します。

   <infinispan>
       <jgroups>
            <stack name="encrypt-tcp" extends="tcp"> 

   1

   
              <SSL_KEY_EXCHANGE keystore_name="mykeystore.jks" 

   2

   
                                keystore_password="changeit" 

   3

   
                                stack.combine="INSERT_AFTER"
                                stack.position="VERIFY_SUSPECT"/> 

   4

   
              <ASYM_ENCRYPT asym_keylength="2048" 

   5

   
                       asym_algorithm="RSA" 

   6

   
                       change_key_on_coord_leave = "false" 

   7

   
                       change_key_on_leave = "false" 

   8

   
                       use_external_key_exchange = "true" 

   9

   
                       stack.combine="INSERT_AFTER"
                       stack.position="SSL_KEY_EXCHANGE"/> 

   10

   
            </stack>
       </jgroups>
       <cache-container name="default" statistics="true">
         <transport cluster="${infinispan.cluster.name}"
                    stack="encrypt-tcp" 

   11

   
                    node-name="${infinispan.node.name:}"/>
      </cache-container>
   </infinispan>

   Copy to Clipboard Toggle word wrap

   1

   Data Grid のデフォルト TCP スタックを拡張する "encrypt-tcp" という名前のセキュアな JGroups スタックを作成します。

   2

   ノードが証明書認証を実行するために使用するキーストアに名前を付けます。

   3

   キーストアのパスワードを指定します。

   4

   stack.combine 属性と stack.position 属性を使用して、デフォルトの TCP スタックの VERIFY_SUSPECT プロトコルの後に SSL_KEY_EXCHANGE を挿入します。

   5

   コーディネーターノードが生成する秘密鍵の長さを指定します。デフォルト値は 2048 です。

   6

   コーディネーターノードが秘密鍵の生成に使用する暗号化エンジンを指定します。デフォルト値は RSA です。

   7

   コーディネーターノードが変更されたときに新しい秘密鍵を生成して配布するように Data Grid を設定します。

   8

   ノードが離脱するときに新しい秘密鍵を生成して配布するように Data Grid を設定します。

   9

   証明書認証に SSL_KEY_EXCHANGE プロトコルを使用するように Data Grid ノードを設定します。

   10

   stack.combine 属性と stack.position 属性を使用して、デフォルトの TCP スタックの SSL_KEY_EXCHANGE プロトコルの後に ASYM_ENCRYPT を挿入します。

   11

   セキュアな JGroups スタックを使用するように Data Grid クラスターを設定します。

手順

1. シークレットキーが含まれるキーストアを作成します。

2. クラスター内の各ノードのクラスパスにキーストアを配置します。

   Data Grid Server の場合は、$RHDG_HOME ディレクトリーにキーストアを配置します。

3. 次の例のように、Data Grid 設定の JGroups スタックに SYM_ENCRYPT プロトコルを追加します。

   <infinispan>
       <jgroups>
            <stack name="encrypt-tcp" extends="tcp"> 

   1

   
              <SYM_ENCRYPT keystore_name="myKeystore.p12" 

   2

   
                           keystore_type="PKCS12" 

   3

   
                           store_password="changeit" 

   4

   
                           key_password="changeit" 

   5

   
                           alias="myKey" 

   6

   
                           stack.combine="INSERT_AFTER"
                           stack.position="VERIFY_SUSPECT"/> 

   7

   
            </stack>
       </jgroups>
       <cache-container name="default" statistics="true">
         <transport cluster="${infinispan.cluster.name}"
                    stack="encrypt-tcp" 

   8

   
                    node-name="${infinispan.node.name:}"/>
      </cache-container>
   </infinispan>

   Copy to Clipboard Toggle word wrap

   1

   Data Grid のデフォルト TCP スタックを拡張する "encrypt-tcp" という名前のセキュアな JGroups スタックを作成します。

   2

   ノードが秘密鍵を取得するキーストアに名前を付けます。

   3

   キーストアのタイプを指定します。JGroups はデフォルトで JCEKS を使用します。

   4

   キーストアのパスワードを指定します。

   5

   秘密鍵のパスワードを指定します。

   6

   秘密鍵のエイリアスを指定します。

   7

   stack.combine 属性と stack.position 属性を使用して、デフォルトの TCP スタックの VERIFY_SUSPECT プロトコルの後に SYM_ENCRYPT を挿入します。

   8

   セキュアな JGroups スタックを使用するように Data Grid クラスターを設定します。