Red Hat Decision Manager と他の製品およびコンポーネントの統合

手順

1. Red Hat Decision Manager Spring Boot アプリケーションが含まれるディレクトリーで、テキストエディターまたは IDE で <BUSINESS-APPLICATION>-service/pom.xml ファイルを開きます。<BUSINESS-APPLICATION> は Spring Boot プロジェクトの名前に置き換えてください。

2. 以下のリポジトリーを repositories 要素に追加します。

   <repository>
     <id>jboss-enterprise-repository-group</id>
     <name>Red Hat JBoss Enterprise Maven Repository</name>
     <url>https://maven.repository.redhat.com/ga/</url>
     <layout>default</layout>
     <releases>
       <updatePolicy>never</updatePolicy>
     </releases>
     <snapshots>
       <updatePolicy>daily</updatePolicy>
     </snapshots>
   </repository>

3. 以下のプラグインを pluginRepositories 要素に追加します。

   注記

   pom.xml ファイルに pluginRepositories 要素がない場合は、これも追加します。

   <pluginRepository>
     <id>jboss-enterprise-repository-group</id>
     <name>Red Hat JBoss Enterprise Maven Repository</name>
     <url>https://maven.repository.redhat.com/ga/</url>
     <layout>default</layout>
     <releases>
       <updatePolicy>never</updatePolicy>
     </releases>
     <snapshots>
       <updatePolicy>daily</updatePolicy>
     </snapshots>
   </pluginRepository>

   これにより、お使いのビジネスアプリケーションに、製品化した Maven リポジトリーが追加されます。

手順

1. Red Hat カスタマーポータルの Software Downloads ページに移動し (ログインが必要)、ドロップダウンオプションから以下の製品およびバージョンを選択します。

   • 製品: Process Automation Manager
   • バージョン: 7.13.4
2. Red Hat Process Automation Manager 7.13 Maven リポジトリー (rhpam-7.13.4-maven-repository.zip) をダウンロードします。
3. ダウンロードしたアーカイブをデプロイメントします。
4. ~/.m2/ ディレクトリーに移動し、テキストエディターまたは統合開発環境 (IDE) で Maven の settings.xml ファイルを開きます。

5. 以下の行を Maven settings.xml ファイルの <profiles> 要素に追加します。ここで、<MAVEN_REPOSITORY> はダウンロードした Maven リポジトリーのパスです。<MAVEN_REPOSITORY> の形式は、file://$PATH (例: file:///home/userX/rhpam-7.13.4.GA-maven-repository/maven-repository) にする必要があります。

   <profile>
     <id>red-hat-enterprise-maven-repository</id>
     <repositories>
       <repository>
         <id>red-hat-enterprise-maven-repository</id>
         <url><MAVEN_REPOSITORY></url>
         <releases>
           <enabled>true</enabled>
         </releases>
         <snapshots>
           <enabled>false</enabled>
         </snapshots>
       </repository>
     </repositories>
     <pluginRepositories>
       <pluginRepository>
         <id>red-hat-enterprise-maven-repository</id>
         <url><MAVEN_REPOSITORY></url>
         <releases>
           <enabled>true</enabled>
         </releases>
         <snapshots>
           <enabled>false</enabled>
         </snapshots>
       </pluginRepository>
     </pluginRepositories>
   </profile>

6. 以下の行を Maven の settings.xml ファイルの <activeProfiles> 要素に追加し、ファイルを保存します。

   <activeProfile>red-hat-enterprise-maven-repository</activeProfile>

手順

1. Red Hat Decision Manager Spring Boot アプリケーションが含まれるディレクトリーで、テキストエディターまたは IDE で business-application-service/src/main/java/com/company/service/DefaultWebSecurityConfig.java ファイルを開きます。

2. 特定のロールがある場合にのみ認証されたユーザーによるアクセス要求を承認するには、以下のいずれかの方法で .antMatchers("/rest/*").authenticated().and() 行を編集します。

   • 1 つのロールを承認するには、以下の例のように antMatchers メソッドを編集します。ここで、<role> はユーザーがアクセスするために必要なロールに置き換えます。

     @Configuration("kieServerSecurity")
     @EnableWebSecurity
     public class DefaultWebSecurityConfig extends WebSecurityConfigurerAdapter {
     
         @Override
         protected void configure(HttpSecurity http) throws Exception {
             http
                 .cors().and().csrf().disable()
                 .authorizeRequests()
                     .antMatchers("/**").hasRole("<role>")
                     .anyRequest().authenticated()
                 .and().httpBasic()
                 .and().headers().frameOptions().disable();
         }
         ...

   • さまざまなロールのうちの 1 つを持つユーザーを承認するには、以下の例のように antMatchers メソッドを編集します。ここで、<role> および <role1> はそれぞれ、ユーザーがアクセスするために持つことができるロールです。

     @Configuration("kieServerSecurity")
     @EnableWebSecurity
     public class DefaultWebSecurityConfig extends WebSecurityConfigurerAdapter {
     
         @Override
         protected void configure(HttpSecurity http) throws Exception {
             http
                 .cors().and().csrf().disable()
                 .authorizeRequests()
                     .antMatchers("/**").hasAnyRole("<role>", "<role1")
                     .anyRequest().authenticated()
                 .and().httpBasic()
                 .and().headers().frameOptions().disable();
         }
         ...

手順

1. Red Hat Decision Manager Spring Boot アプリケーションが含まれるディレクトリーで、テキストエディターまたは統合開発環境 (IDE) で business-application-service/src/main/java/com/company/service/DefaultWebSecurityConfig.java ファイルを開きます。

2. 以下の例で示すように .antMatchers メソッドを編集します。

       @Override
       protected void configure(HttpSecurity http) throws Exception {
   
                   http
                       .cors().and().csrf().disable()
                       .authorizeRequests()
                       .antMatchers("/*")
                           .permitAll()
                       .and().headers().frameOptions().disable();
   
       }

   PermitAll メソッドは、指定された URL パターンに対するすべての要求を許可します。

手順

1. AnonymousAuthenticationFilter クラスを拡張する以下のクラスを作成します。

   import org.springframework.security.authentication.AnonymousAuthenticationToken;
   import org.springframework.security.core.Authentication;
   import org.springframework.security.core.AuthenticationException;
   import org.springframework.security.core.GrantedAuthority;
   import org.springframework.security.core.authority.SimpleGrantedAuthority;
   import org.springframework.security.core.context.SecurityContextHolder;
   import org.springframework.security.web.authentication.AnonymousAuthenticationFilter;
   
   import javax.servlet.FilterChain;
   import javax.servlet.ServletException;
   import javax.servlet.ServletRequest;
   import javax.servlet.ServletResponse;
   import javax.servlet.http.HttpServletRequest;
   import java.io.IOException;
   import java.util.Arrays;
   import java.util.Collections;
   import java.util.List;
   
   public class <CLASS_NAME> extends AnonymousAuthenticationFilter {
       private static final Logger log = LoggerFactory.getLogger(<CLASS_NAME>.class);
   
       public AnonymousAuthFilter() {
           super("PROXY_AUTH_FILTER");
       }
   
       @Override
       public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
               throws IOException, ServletException {
   
           SecurityContextHolder.getContext().setAuthentication(createAuthentication((HttpServletRequest) req));
           log.info("SecurityContextHolder pre-auth user: {}",  SecurityContextHolder.getContext());
   
           if (log.isDebugEnabled()) {
               log.debug("Populated SecurityContextHolder with authenticated user: {}",
                       SecurityContextHolder.getContext().getAuthentication());
           }
   
           chain.doFilter(req, res);
       }
   
       @Override
       protected Authentication createAuthentication(final HttpServletRequest request)
               throws AuthenticationException {
   
           log.info("<ANONYMOUS_USER>");
   
   
           List<? extends GrantedAuthority> authorities = Collections
                   .unmodifiableList(Arrays.asList(new SimpleGrantedAuthority("<ROLE>")
                   ));
           return new AnonymousAuthenticationToken("ANONYMOUS", "<ANONYMOUS_USER>", authorities);
       }
   
   }

2. 以下の変数を置き換えてください。

   • <CLASS_NAME> を、このクラスの名前 (AnonymousAuthFilter など) に置き換えます。
   • <ANONYMOUS_USER> をユーザー ID (Service_Group など) に置き換えます。
   • <ROLE> を <ANONYMOUS_USER> に付与する必要がある権限を持つロールに置き換えます。

3. <ANONYMOUS_USER> に複数のロールを割り当てる必要がある場合は、以下の例に示すようにロールを追加します。

   .unmodifiableList(Arrays.asList(new SimpleGrantedAuthority("<ROLE>")
   , new SimpleGrantedAuthority("<ROLE2>")

4. .anonymous().authenticationFilter(new <CLASS_NAME>()).and() を business-application-service/src/main/java/com/company/service/DefaultWebSecurityConfig.java ファイルに追加します。<CLASS_NAME> は作成したクラス名に置き換えます。

       @Override
       protected void configure(HttpSecurity http) throws Exception {
   
                   http
                       .anonymous().authenticationFilter(new <CLASS_NAME>()).and() // Override anonymousUser
                       .cors().and().csrf().disable()
                       .authorizeRequests()
                       .antMatchers("/*").permitAll()
                       .and().headers().frameOptions().disable();
   
       }

手順

1. Red Hat シングルサインオン (SSO) をダウンロードします。手順は、Red Hat Single Sign-On Getting Started Guide を参照してください。

2. RHSSO を設定します。

   1. デフォルトのマスターレルムを使用するか、新しいレルムを作成します。

      レルムは、一連のユーザー、認証情報、ロール、およびグループを管理します。ユーザーはレルムに属し、レルムにログインします。レルムは相互に分離され、制御するユーザーのみを管理および認証できます。

   2. springboot-app クライアントを作成して、パブリックに AccessType を追加します。

   3. 以下の例で示すように、ローカルの設定に合わせて有効なリダイレクト URI と Web オリジンを設定します。

      • 有効なリダイレクト URI: http://localhost:8090/*
      • Web オリジン: http://localhost:8090
   4. アプリケーションで使用するレルムロールを作成します。
   5. アプリケーションで使用するユーザーを作成してロールを割り当てます。

3. 以下の要素およびプロパティーを Spring Boot プロジェクトの pom.xml ファイルに追加します。ここで、<KEYCLOAK_VERSION> は使用している Keycloak のバージョンに置き換えます。

   <properties>
     <version.org.keycloak><KEYCLOAK_VERSION></version.org.keycloak>
   </properties>

4. 以下の依存関係を Spring Boot プロジェクトの pom.xml ファイルに追加します。

   <dependencyManagement>
     <dependencies>
       <dependency>
         <groupId>org.keycloak.bom</groupId>
         <artifactId>keycloak-adapter-bom</artifactId>
         <version>${version.org.keycloak}</version>
         <type>pom</type>
         <scope>import</scope>
       </dependency>
     </dependencies>
   </dependencyManagement>
   
     ....
   
   <dependency>
     <groupId>org.keycloak</groupId>
     <artifactId>keycloak-spring-boot-starter</artifactId>
   </dependency>

5. Spring Boot プロジェクトディレクトリーで business-application-service/src/main/resources/application.properties ファイルを開き、以下の行を追加します。

   # keycloak security setup
   keycloak.auth-server-url=http://localhost:8100/auth
   keycloak.realm=master
   keycloak.resource=springboot-app
   keycloak.public-client=true
   keycloak.principal-attribute=preferred_username
   keycloak.enable-basic-auth=true

6. business-application-service/src/main/java/com/company/service/DefaultWebSecurityConfig.java ファイルを変更して、Spring Security が RHSSO で正しく機能することを確認します。

   import org.keycloak.adapters.KeycloakConfigResolver;
   import org.keycloak.adapters.springboot.KeycloakSpringBootConfigResolver;
   import org.keycloak.adapters.springsecurity.authentication.KeycloakAuthenticationProvider;
   import org.keycloak.adapters.springsecurity.config.KeycloakWebSecurityConfigurerAdapter;
   import org.springframework.beans.factory.annotation.Autowired;
   import org.springframework.context.annotation.Bean;
   import org.springframework.context.annotation.Configuration;
   import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
   import org.springframework.security.config.annotation.web.builders.HttpSecurity;
   import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
   import org.springframework.security.core.authority.mapping.SimpleAuthorityMapper;
   import org.springframework.security.core.session.SessionRegistryImpl;
   import org.springframework.security.web.authentication.session.RegisterSessionAuthenticationStrategy;
   import org.springframework.security.web.authentication.session.SessionAuthenticationStrategy;
   
   @Configuration("kieServerSecurity")
   @EnableWebSecurity
   public class DefaultWebSecurityConfig extends KeycloakWebSecurityConfigurerAdapter {
   
       @Override
       protected void configure(HttpSecurity http) throws Exception {
           super.configure(http);
           http
           .csrf().disable()
           .authorizeRequests()
               .anyRequest().authenticated()
               .and()
           .httpBasic();
       }
   
       @Autowired
       public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
           KeycloakAuthenticationProvider keycloakAuthenticationProvider = keycloakAuthenticationProvider();
           SimpleAuthorityMapper mapper = new SimpleAuthorityMapper();
           mapper.setPrefix("");
           keycloakAuthenticationProvider.setGrantedAuthoritiesMapper(mapper);
           auth.authenticationProvider(keycloakAuthenticationProvider);
       }
   
       @Bean
       public KeycloakConfigResolver KeycloakConfigResolver() {
          return new KeycloakSpringBootConfigResolver();
       }
   
       @Override
       protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {
           return new RegisterSessionAuthenticationStrategy(new SessionRegistryImpl());
       }
   }

手順

1. <BUSINESS-APPLICATION>/<BUSINESS-APPLICATION>-service/src/main/resources ディレクトリーに移動します。<BUSINESS-APPLICATION> は Spring Boot プロジェクトの名前に置き換えます。
2. テキストエディターで application.properties ファイルを開きます。

3. REST エンドポイントのホスト、ポート、およびパスを設定します。<ADDRESS> はサーバーアドレスに、<PORT> はサーバーポートに置き換えます。

   server.address=<ADDRESS>
   server.port=<PORT>
   cxf.path=/rest

   以下の例では、REST エンドポイントをポート 8090 の localhost アドレスに追加します。

   server.address=localhost
   server.port=8090
   cxf.path=/rest

手順

1. <BUSINESS-APPLICATION>/<BUSINESS-APPLICATION>-service/src/main/resources ディレクトリーに移動します。<BUSINESS-APPLICATION> は Spring Boot プロジェクトの名前に置き換えます。
2. テキストエディターで application.properties ファイルを開きます。

3. 以下の例のように KIE Server パラメーターを設定します。

   kieserver.serverId=<BUSINESS-APPLICATION>-service
   kieserver.serverName=<BUSINESS-APPLICATION>-service
   kieserver.location=http://localhost:8090/rest/server
   kieserver.controllers=http://localhost:8080/business-central/rest/controller

   以下の表で、ビジネスプロジェクトに設定可能な KIE Server のパラメーターを紹介します。

   表5.1 kieserver パラメーター

   パラメーター	値	説明
   kieserver.serverId	string	Process Automation Manager コントローラーに接続時にビジネスアプリケーションを識別するために使用する ID。
   kieserver.serverName	string	Process Automation Manager コントローラーに接続時にビジネスアプリケーションを識別するために使用する名前。kieserver.serverId パラメーターに使用した文字と同じものを使用できます。
   kieserver.location	URL	REST API を使用する他のコンポーネントがこのサーバーの場所を識別するために使用します。server.address および server.port で定義されている場所は使用しないでください。
   kieserver.controllers	URL	コントローラー URL のコンマ区切りリスト

手順

1. <BUSINESS-APPLICATION>/<BUSINESS-APPLICATION>-service/src/main/resources ディレクトリーに移動します。<BUSINESS-APPLICATION> は Spring Boot プロジェクトの名前に置き換えます。
2. テキストエディターで application.properties ファイルを開きます。

3. ランタイムにコンポーネントが起動するように設定するには、コンポーネントの値を true に設定します。

   以下の表は、ランタイムに起動するように設定できるコンポーネントのリストです。

   表5.2 kieserver ケーパビリティーパラメーター

   パラメーター	値	説明
   kieserver.drools.enabled	true, false	Decision Manager コンポーネントを有効または無効にします。
   kieserver.dmn.enabled	true, false	DMN (Decision Model and Notation) コンポーネントを有効または無効にします。

手順

1. UserGroupCallback の別の実装を提供するには、以下のコードを、アプリケーションクラスに追加するか、@Configuration のアノテーションが付いた別のクラスに追加します。

   @Bean(name = "userGroupCallback")
   public UserGroupCallback userGroupCallback(IdentityProvider identityProvider) throws IOException {
       return new MyCustomUserGroupCallback(identityProvider);
   }

2. UserInfo の別の実装を提供するには、以下のコードを、アプリケーションクラスに追加するか、@Configuration のアノテーションが付いた別のクラスに追加します。

   @Bean(name = "userInfo")
   public UserInfo userInfo() throws IOException {
       return new MyCustomUserInfo();
   }

手順

1. <BUSINESS-APPLICATION>/<BUSINESS-APPLICATION>-service ディレクトリーに移動します。<BUSINESS-APPLICATION> は Spring Boot プロジェクトの名前に置き換えます。
2. テキストエディターでサービスプロジェクト pom.xml ファイルを開きます。

3. サービスプロジェクトの pom.xml ファイルに以下の依存関係を追加して、このファイルを保存します。

   <dependency>
     <groupId>org.apache.cxf</groupId>
     <artifactId>cxf-rt-rs-service-description-swagger</artifactId>
     <version>3.2.6</version>
   </dependency>
   <dependency>
     <groupId>io.swagger</groupId>
     <artifactId>swagger-jaxrs</artifactId>
     <version>1.5.15</version>
     <exclusions>
       <exclusion>
         <groupId>javax.ws.rs</groupId>
         <artifactId>jsr311-api</artifactId>
       </exclusion>
     </exclusions>
   </dependency>

4. Swagger UI を有効にするには (任意)、以下の依存関係を pom.xml ファイルに追加して、このファイルを保存します。

   <dependency>
     <groupId>org.webjars</groupId>
     <artifactId>swagger-ui</artifactId>
     <version>2.2.10</version>
   </dependency>

5. テキストエディターで <BUSINESS-APPLICATION>/<BUSINESS-APPLICATION>-service/src/main/resources/application.properties ファイルを開きます。

6. Swagger サポートを有効にするには、以下の行を application.properties ファイルに追加します。

   kieserver.swagger.enabled=true

手順

1. <BUSINESS-APPLICATION>/<BUSINESS-APPLICATION>-service ディレクトリーに移動します。

2. 以下のコマンドの 1 つを実行します。

   表7.1 スタンドアロンの起動オプション

   コマンド	説明
   ./launch.sh clean install	(Linux または UNIX) スタンドアロンモードで起動します。
   ./launch.bat clean install	(Windows) スタンドアロンモードで起動します。
   ./launch.sh clean install -Pmysql	(Linux または UNIX ) MySQL データベースでアプリケーションを設定した場合に、スタンドアロンモードで起動します。
   ./launch.bat clean install -Pmysql	(Windows) MySQL データベースでアプリケーションを設定した場合に、スタンドアロンモードで起動します。
   ./launch.sh clean install -Ppostgres	(Linux または UNIX ) PostgreSQL データベースでアプリケーションを設定した場合に、スタンドアロンモードで起動します。
   ./launch.bat clean install -Ppostgres	(Windows) PostgreSQL データベースでアプリケーションを設定した場合に、スタンドアロンモードで起動します。

   clean install の引数で、Maven に、新規インストールをするように指示を出します。プロジェクトは、以下の順番に構築されます。

   • データモデル
   • ビジネスアセット

   • サービス

     スクリプトの初回実行時には、プロジェクトの依存関係がすべてダウンロードされるため、プロジェクトのビルドに時間がかかる場合があります。ビルドの最後に、アプリケーションが起動します。

3. 以下のコマンドを入力して、ビジネスアプリケーションにアクセスします。

   http://localhost:8090/

4. 認証情報 user/user または kieserver/kieserver1! を入力します。

手順

1. <BUSINESS-APPLICATION>/<BUSINESS-APPLICATION>-service ディレクトリーに移動します。<BUSINESS-APPLICATION> は Spring Boot プロジェクトの名前に置き換えます。

2. 以下のコマンドの 1 つを実行します。

   表7.2 管理起動オプション

   コマンド	説明
   ./launch-dev.sh clean install	(Linux または UNIX) 開発モードで起動します。
   ./launch-dev.bat clean install	(Windows) 開発モードで起動します。
   ./launch-dev.sh clean install -Pmysql	(Linux または UNIX ) MySQL データベースでアプリケーションを設定した場合に、開発モードで起動します。
   ./launch-dev.bat clean install -Pmysql	(Windows) MySQL データベースでアプリケーションを設定した場合に、開発モードで起動します。
   ./launch-dev.sh clean install -Ppostgres	(Linux または UNIX) postgreSQL データベースでアプリケーションを設定した場合に、開発モードで起動します。
   ./launch-dev.bat clean install -Ppostgres	(Windows) PostgreSQL データベースでアプリケーションを設定した場合に、開発モードで起動します。

   clean install の引数で、Maven に、新規インストールをするように指示を出します。プロジェクトは、以下の順番に構築されます。

   • データモデル
   • ビジネスアセット

   • サービス

     スクリプトの初回実行時には、プロジェクトの依存関係がすべてダウンロードされるため、プロジェクトのビルドに時間がかかる場合があります。ビルドの最後に、アプリケーションが起動します。

3. 以下のコマンドを入力して、ビジネスアプリケーションにアクセスします。

   http://localhost:8090/

4. 認証情報 user/user または kieserver/kieserver1! を入力します。ビジネスアプリケーションを起動した後に、Process Automation Manager コントローラーと接続すると、Business Central の Menu → Deploy → Execution Servers に表示されます。

手順

1. 以下のコマンドを実行して、使用環境に以前の Red Hat Decision Manager 機能 XML ファイルが含まれているかどうかを確認します。

   $ JBossFuse:karaf@root> feature:repo-list
   $ JBossFuse:karaf@root> feature:list

2. 以下のコマンドを入力します。<FUSE_HOME> は Fuse のインストールディレクトリーに置き換えて、Red Hat Fuse コンソールを起動します。

   $ ./<FUSE_HOME>/bin/fuse

3. 以下のコマンドを入力します。<FEATURE_NAME> は、アンインストールする機能の名前に置き換えて、以前の機能 XML ファイルを使用するアプリケーションまたは機能をアンインストールします。

   JBossFuse:karaf@root> features:uninstall <FEATURE_NAME>

   以下の例では、機能の削除方法を紹介します。

   JBossFuse:karaf@root> features:uninstall drools-module
   JBossFuse:karaf@root> features:uninstall jbpm
   JBossFuse:karaf@root> features:uninstall kie-ci

4. Karaf の home で、drools、kie、または jbpm を使用するバンドルへの参照を検索します。以下の例では、grep を使用してこれらのコンポーネントを検索する方法を示しています。

   karaf@root> list -t 0 -s | grep drools
   karaf@root> list -t 0 -s | grep kie
   karaf@root> list -t 0 -s | grep jbpm

   この例は、上記のコマンドからの出力です。

   250 │ Active   │  80 │ 7.19.0.201902201522          │ org.drools.canonical-model
   251 │ Active   │  80 │ 7.19.0.201902201522          │ org.drools.cdi
   252 │ Active   │  80 │ 7.19.0.201902201522          │ org.drools.compiler

5. 以下のコマンドを入力します。BUNDLE_ID は、検索で返されたバンドル ID に置き換えて、以前の手順で検出されたバンドルを削除します。

   karaf@root> osgi:uninstall BUNDLE_ID

6. 次のコマンドを入力して、古くなった drools-karaf-features の URL を削除します。

   karaf@root> features:removeurl
    mvn:org.kie/kie-karaf-features/VERSION.Final-redhat-VERSION/xml/features

7. Fuse を再起動します。

手順

1. Maven リポジトリーを設定するには、テキストエディターで FUSE_HOME/etc/org.ops4j.pax.url.mvn.cfg ファイルを開きます。

2. https://maven.repository.redhat.com/ga/ リポジトリーが org.ops4j.pax.url.mvn.repositories 変数に存在することを確認します。必要に応じて、追加してください。

   注記

   org.ops4j.pax.url.mvn.repositories 変数内のエントリーをコンマ、スペース、およびバックスラッシュ (, \) で区切ります。バックスラッシュを追加すると、強制的に改行されます。

3. Fuse を起動するには以下のコマンドを入力します。<FUSE_HOME> は Fuse のインストールディレクトリーに置き換えます。

   $ ./FUSE_HOME/bin/fuse

4. インストールの前提条件が含まれる機能ファイルに参照を追加するには、以下のコマンドを入力します。<FUSE_VERSION は、インストールする Fuse のバージョンに置き換えます。

   $ feature:repo-add mvn:org.jboss.fuse.features/rhba-features/<FUSE-VERSION>/xml/features

5. 以下のコマンドを入力して、Red Hat Decision Manager 機能の XML ファイルへの参照を追加します。

   $ JBossFuse:karaf@root> features:addurl mvn:org.kie/kie-karaf-features/VERSION/xml/features-fuse

   現在の drools-karaf-features バージョンを確認するには、Red Hat Decision Manager 7 Supported Configurations ページを参照してください。

6. 以下のコマンドを入力して、Red Hat Decision Manager 機能の XML ファイルで提供される機能をインストールします。このコマンドでは、<FEATURE_NAME> は、「Red Hat Decision Manager の Karaf 機能」 に記載の機能の 1 つに置き換えます。

   JBossFuse:karaf@root> features:install <FEATURE_NAME>

7. 次のコマンドを入力して、インストールを確認します。

   $ JBossFuse:karaf@root>feature:list

   機能が正常にインストールされると、ステータスは started になります。

1. RH-SSO 管理コンソールにログインして、ユーザーを追加するレルムを開きます。

2. Manage セクションで Users メニューアイテムをクリックします。

   Users ページに空のユーザーリストが表示されます。

3. 空のユーザーリストで Add User ボタンをクリックして、新規ユーザーの作成を開始します。

   Add User ページが開きます。

4. Add User ページで、ユーザー情報を入力して Save をクリックします。
5. Credentials タブをクリックして、パスワードを作成します。

6. Red Hat Decision Manager へのアクセスを許可するロールの新規ユーザーを割り当てます。たとえば、Business Central にアクセスするには admin ロールを割り当てるか、KIE Server にアクセスするには kie-server ロールを割り当てます。

   注記

   Business Central から OpenShift にデプロイするプロジェクトの場合は、ロールを割り当てずに mavenuser という RH-SSO ユーザーを作成し、OpenShift テンプレートの BUSINESS_CENTRAL_MAVEN_USERNAME および BUSINESS_CENTRAL_MAVEN_PASSWORD にこのユーザーを追加します。

7. Roles セクションの Realm Roles タブで、このロールをレルムロールとして定義します。

   Business Central で使用するロールの場合は、ロールを kie クライアントのクライアントロールとして定義できます。kie クライアントの設定手順は、「RH-SSO への Business Central クライアントの作成」 を参照してください。クライアントロールを使用するには、「Business Central への RH-SSO クライアントアダプターのインストール」 の説明に従って、Business Central の追加設定も設定する必要があります。

   レルムロールとして KIE Server で使用するロールを定義する必要があります。

8. Users ページの Role Mappings タブをクリックして、ロールを割り当てます。

手順

1. Web ブラウザーに http://localhost:8180/auth/admin と入力して、RH-SSO 管理コンソールを開き、RH-SSO のインストール時に作成した管理者の認証情報を使用してログインします。

   注記

   Red Hat OpenShift Container Platform で RH-SSO を設定している場合は、RH-SSO ルートに公開されている URL を入力します。OpenShift 管理者は、必要に応じてこの URL を提供してください。

   初回のログイン時に、新規ユーザー登録フォームで初期ユーザーを設定できます。

2. RH-SSO 管理コンソールで、Realm Settings メニューアイテムをクリックします。

3. Realm Settings ページで Add Realm をクリックします。

   Add realm ページが表示されます。

4. Add realm ページで、レルムの名前を指定して Create をクリックします。

5. Clients メニューアイテムをクリックし、Create をクリックします。

   Add Client ページが表示されます。

6. Add Client ページで、レルムにクライアントを新規作成するのに必要な情報を指定します。以下に例を示します。

   • Client ID: kie
   • Client protocol: openid-connect

   • Root URL: http://localhost:8080/business-central

     注記

     Red Hat OpenShift Container Platform で RH-SSO を設定している場合は、KIE Server ルートに公開されている URL を入力します。OpenShift 管理者は、必要に応じてこの URL を提供してください。

7. Save をクリックして変更を保存します。

   作成した新規クライアントの Access Type は、デフォルトでは public に設定されています。この設定を confidential に変更します。

   これで、Business Central アプリケーションのクライアントが含まれるレルムに RH-SSO サーバーが設定され、localhost:8180 で HTTP 接続をリッスンした状態で実行しています。このレルムは、Business Central アプリケーションに異なるユーザー、ロール、セッションを提供します。

   注記

   RH-SSO サーバークライアントは単一の business-central デプロイメントに対して URL を 1 つ使用します。配置設定が 2 つ以上ある場合、以下のようなエラーメッセージが表示されることがあります。

   ご迷惑をおかけしております…​ 無効なパラメーター: redirect_uri

   このエラーを解決するには、クライアント設定の Valid Redirect URIs フィールドに /* を追加します。

   Configure ページで、Clients > kie > Settings と進み、Valid Redirect URIs フィールドに、たとえば、/* を追加してください。

   http://localhost:8080/business-central/*

手順

1. Red Hat カスタマーポータルの Software Downloads ページに移動し (ログインが必要)、ドロップダウンオプションから製品およびバージョンを選択します。

   • 製品: Red Hat Single Sign-On
   • バージョン: 7.5
2. Patches タブを選択します。
3. Red Hat Single Sign-On 7.5 Client Adapter for EAP 7 (rh-sso-7.5.0-eap7-adapter.zip または最新のバージョン) をダウンロードします。

4. adapter zip をデプロイメントしてインストールします。インストール手順は、Red Hat Single Sign On アプリケーションおよびサービスの保護ガイド の「JBoss EAP アダプター」セクションを参照してください。

   注記

   -Dserver.config=standalone-full.xml プロパティーでアダプターをインストールします。

5. Red Hat JBoss EAP インストールの EAP_HOME/standalone/configuration ディレクトリーに移動し、テキストエディターで standalone-full.xml ファイルを開きます。

6. 以下の例に表示されているシステムプロパティーを <system-properties> に追加します。

   <system-properties>
     <property name="org.jbpm.workbench.kie_server.keycloak" value="true"/>
     <property name="org.uberfire.ext.security.management.api.userManagementServices" value="KCAdapterUserManagementService"/>
     <property name="org.uberfire.ext.security.management.keycloak.authServer" value="http://localhost:8180/auth"/>
   </system-properties>

7. オプション: クライアントロールを使用する場合は、以下のシステムプロパティーを追加します。

     <property name="org.uberfire.ext.security.management.keycloak.use-resource-role-mappings" value="true"/>

   デフォルトでは、クライアントのリソース名は kie です。クライアントリソース名は、RH-SSO でクライアントの設定に使用したクライアント名と同じである必要があります。カスタムのクライアントリソースを使用する場合は、以下のシステムプロパティーも追加します。

     <property name="org.uberfire.ext.security.management.keycloak.resource" value="customClient"/>

   customClient はクライアントリソース名に置き換えます。

8. RH-SSO サブシステム設定を追加します。以下に例を示します。

   <subsystem xmlns="urn:jboss:domain:keycloak:1.1">
    <secure-deployment name="business-central.war">
      <realm>demo</realm>
      <realm-public-key>MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCrVrCuTtArbgaZzL1hvh0xtL5mc7o0NqPVnYXkLvgcwiC3BjLGw1tGEGoJaXDuSaRllobm53JBhjx33UNv+5z/UMG4kytBWxheNVKnL6GgqlNabMaFfPLPCF8kAgKnsi79NMo+n6KnSY8YeUmec/p2vjO2NjsSAVcWEQMVhJ31LwIDAQAB</realm-public-key>
      <auth-server-url>http://localhost:8180/auth</auth-server-url>
      <ssl-required>external</ssl-required>
      <enable-basic-auth>true</enable-basic-auth>
      <resource>kie</resource>
      <credential name="secret">759514d0-dbb1-46ba-b7e7-ff76e63c6891</credential>
      <principal-attribute>preferred_username</principal-attribute>
    </secure-deployment>
   </subsystem>

   この例で、

   • secure-deployment name は、アプリケーションの WAR ファイルの名前です。
   • realm は、使用するアプリケーション用に作成したレルムの名前です。
   • realm-public-key は、作成したレルムの公開鍵です。この鍵は、RH-SSO 管理コンソールで作成したレルムの Realm settings ページの Keys タブで確認できます。realm-public-key の値を指定しない場合は、サーバーが自動的に取得します。
   • auth-server-url は、RH-SSO 認証サーバーの URL です。
   • enable-basic-auth は、クライアントがトークンベースと Basic 認証の両方のアプローチを使用して要求を実行できるように、Basic 認証メカニズムを有効にする設定です。
   • resource は、作成したクライアントの名前です。クライアントロールを使用するには、RH-SSO でクライアントの設定時に使用したクライアントリソース名を設定します。
   • credential name は、作成したクライアントの秘密鍵です。この鍵は、RH-SSO 管理コンソールの Clients ページの Credentials タブで確認できます。

   • principal-attribute は、アプリケーションでユーザー名を表示するための属性です。この値を指定しないと、アプリケーションに、ユーザー名ではなくユーザー ID が表示されます。

     注記

     RH-SSO サーバーは、ユーザー名を小文字に変換します。したがって、RH-SSO と統合すると、Red Hat Decision Manager ではユーザー名が小文字で表示されます。ユーザー名が、ビジネスプロセスに大文字でハードコードされている場合は、アプリケーションが大文字のユーザー名を識別できない場合があります。

     クライアントロールを使用する場合は、<secure-deployment> の下に以下の設定も追加します。

     <use-resource-role-mappings>true</use-resource-role-mappings>

9. Elytron サブシステムには、JACC 仕様に基づいた組み込み型ポリシープロバイダーがあります。standalone.xml、または Elytron がインストールされているファイルで手動で JACC を有効にするには、以下のタスクのいずれかを実行します。

   • ポリシープロバイダーを作成するには、Red Hat JBoss EAP の管理コマンドラインインターフェイス (CLI) で以下のコマンドを入力します。

     /subsystem=undertow/application-security-domain=other:remove()
     /subsystem=undertow/application-security-domain=other:add(http-authentication-factory="keycloak-http-authentication")
     /subsystem=ejb3/application-security-domain=other:write-attribute(name=security-domain, value=KeycloakDomain)

     Red Hat JBoss EAP 管理 CLI に関する詳細は、Red Hat JBoss EAP の Management CLI Guide を参照してください。

   • Red Hat JBoss EAP インストールの EAP_HOME/standalone/configuration ディレクトリーに移動します。standalone.xml ファイルおよび standalone-full.xml ファイルで Elytron と undertow サブシステム設定の場所を特定して JACC を有効にします。以下に例を示します。

     <subsystem xmlns="urn:jboss:domain:undertow:12.0" ... >
     ...
       <application-security-domains>
         <application-security-domain name="other" http-authentication-factory="keycloak-http-authentication"/>
       </application-security-domains>

     <subsystem xmlns="urn:jboss:domain:ejb3:9.0">
     ...
       <application-security-domains>
           <application-security-domain name="other" security-domain="KeycloakDomain"/>
       </application-security-domains>

10. EAP_HOME/bin/ に移動し、以下のコマンドを実行して Red Hat JBoss EAP サーバーを起動します。

    ./standalone.sh -c standalone-full.xml

手順

1. JSON 設定ファイルを生成します。

   1. RH-SSO 管理コンソール (http://localhost:8180/auth/admin) に移動します。
   2. Clients をクリックします。

   3. 以下の設定で新規クライアントを作成します。

      • Client ID は kie-git に設定します。
      • Access Type は confidential に設定します。
      • Standard Flow Enabled オプションを無効にします。
      • Direct Access Grants Enabled オプションを有効にします。
      
   4. Save をクリックします。
   5. クライアント設定画面の上部にある Installation タブをクリックして、Format Option に Keycloak OIDC JSON を選択します。
   6. Download をクリックします。
2. ダウンロードした JSON ファイルを、サーバーのファイルシステム内でアクセス可能なディレクトリーに移動するか、アプリケーションクラスパスに追加します。このファイルのデフォルトの名前と場所は $EAP_HOME/kie-git.json です。

3. オプション: EAP_HOME/standalone/configuration/standalone-full.xml ファイルの <system-properties> タグの下に、以下のシステムプロパティーを追加してください。

   <property name="org.uberfire.ext.security.keycloak.keycloak-config-file" value="$EAP_HOME/kie-git.json"/>

   プロパティーの $EAP_HOME/kie-git.json 値を、新しい JSON 設定ファイルへの絶対パスまたはクラスパス (classpath:/EXAMPLE_PATH/kie-git.json) に置き換えてください。

   注記

   org.uberfire.ext.security.keycloak.keycloak-config-file プロパティーを設定しない場合、Red Hat Decision Manager は $EAP_HOME/kie-git.json ファイルを読み取ります。

手順

1. RH-SSO 管理コンソールで、16章RH-SSO のインストールおよび設定で作成したセキュリティーレルムを開きます。

2. Clients をクリックし、Create をクリックします。

   Add Client ページが表示されます。

3. Add Client ページで、レルムに KIE Server クライアントを作成するのに必要な情報を入力し、Save をクリックします。以下に例を示します。

   • クライアント ID: kie-execution-server
   • Root URL: http://localhost:8080/kie-server

   • クライアントのプロトコル: openid-connect

     注記

     Red Hat OpenShift Container Platform で RH-SSO を設定している場合は、KIE Server ルートに公開されている URL を入力します。OpenShift 管理者は、必要に応じてこの URL を提供してください。

4. 新規クライアントの Access Type は、デフォルトでは public に設定されています。この設定を confidential に変更して、もう一度 Save をクリックします。

5. Credentials タブに移動して秘密鍵をコピーします。秘密鍵は、kie-execution-server クライアントを設定するのに必要になります。

   注記

   RH-SSO サーバークライアントは単一の KIE Server デプロイメントに対して URL を 1 つ使用します。配置設定が 2 つ以上ある場合、以下のようなエラーメッセージが表示されることがあります。

   ご迷惑をおかけしております…​ 無効なパラメーター: redirect_uri

   このエラーを解決するには、クライアント設定の Valid Redirect URIs フィールドに /* を追加します。

   Configure ページで、Clients > kie-execution-server > Settings と進み、Valid Redirect URIs フィールドに、たとえば、/* を追加してください。

   http://localhost:8080/kie-server/*

手順

1. Red Hat カスタマーポータルの Software Downloads ページに移動し (ログインが必要)、ドロップダウンオプションから製品およびバージョンを選択します。

   • 製品: Red Hat Single Sign-On
   • バージョン: 7.5
2. Red Hat Single Sign-On 7.5 Client Adapter for JBoss EAP 7 (rh-sso-7.5.0-eap7-adapter.zip または最新のバージョン) をダウンロードします。
3. adapter zip をデプロイメントしてインストールします。インストール手順は、Red Hat Single Sign On アプリケーションおよびサービスの保護ガイド の「JBoss EAP アダプター」セクションを参照してください。
4. EAP_HOME/standalone/configuration に移動して、standalone-full.xml ファイルを開きます。
5. 両方のファイルから、<single-sign-on/> 要素を削除します。
6. Red Hat JBoss EAP システムの EAP_HOME/standalone/configuration ディレクトリーに移動し、standalone-full.xml ファイルを編集して RH-SSO サブシステム設定を追加します。以下に例を示します。

7. Red Hat JBoss EAP システムの EAP_HOME/standalone/configuration に移動し、standalone-full.xml ファイルを編集して RH-SSO サブシステム設定を追加します。以下に例を示します。

   <subsystem xmlns="urn:jboss:domain:keycloak:1.1">
     <secure-deployment name="kie-server.war">
        <realm>demo</realm>
        <realm-public-key>MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCrVrCuTtArbgaZzL1hvh0xtL5mc7o0NqPVnYXkLvgcwiC3BjLGw1tGEGoJaXDuSaRllobm53JBhjx33UNv+5z/UMG4kytBWxheNVKnL6GgqlNabMaFfPLPCF8kAgKnsi79NMo+n6KnSY8YeUmec/p2vjO2NjsSAVcWEQMVhJ31LwIDAQAB</realm-public-key>
        <auth-server-url>http://localhost:8180/auth</auth-server-url>
        <ssl-required>external</ssl-required>
        <resource>kie-execution-server</resource>
        <enable-basic-auth>true</enable-basic-auth>
        <credential name="secret">03c2b267-7f64-4647-8566-572be673f5fa</credential>
        <principal-attribute>preferred_username</principal-attribute>
     </secure-deployment>
   </subsystem>
   
   <system-properties>
     <property name="org.kie.server.sync.deploy" value="false"/>
   </system-properties>

   この例で、

   • secure-deployment name は、アプリケーションの WAR ファイルの名前です。
   • realm は、使用するアプリケーション用に作成したレルムの名前です。
   • realm-public-key は、作成したレルムの公開鍵です。この鍵は、RH-SSO 管理コンソールで作成したレルムの Realm settings ページの Keys タブで確認できます。この公開鍵の値を指定しない場合は、サーバーが自動的に取得します。
   • auth-server-url は、RH-SSO 認証サーバーの URL です。
   • resource は、作成したサーバークライアントの名前です。
   • enable-basic-auth は、クライアントがトークンベースと Basic 認証の両方のアプローチを使用して要求を実行できるように、Basic 認証メカニズムを有効にする設定です。
   • credential name は、作成したサーバークライアントの秘密鍵です。この鍵は、RH-SSO 管理コンソールの Clients ページの Credentials タブで確認できます。
   • principal-attribute は、アプリケーションでユーザー名を表示するための属性です。この値を指定しないと、アプリケーションに、ユーザー名ではなくユーザー ID が表示されます。
8. 設定変更を保存します。

9. 以下のコマンドを使用し、Red Hat JBoss EAP サーバーを再起動して KIE Server を実行します。

   EXEC_SERVER_HOME/bin/standalone.sh -c standalone-full.xml -Dorg.kie.server.id=<ID> -Dorg.kie.server.user=<USER> -Dorg.kie.server.pwd=<PWD> -Dorg.kie.server.location=<LOCATION_URL> -Dorg.kie.server.controller=<CONTROLLER_URL> -Dorg.kie.server.controller.user=<CONTROLLER_USER> -Dorg.kie.server.controller.pwd=<CONTOLLER_PASSWORD>

   以下に例を示します。

   EXEC_SERVER_HOME/bin/standalone.sh -c standalone-full.xml -Dorg.kie.server.id=kieserver1 -Dorg.kie.server.user=kieserver -Dorg.kie.server.pwd=password -Dorg.kie.server.location=http://localhost:8080/kie-server/services/rest/server -Dorg.kie.server.controller=http://localhost:8080/business-central/rest/controller -Dorg.kie.server.controller.user=kiecontroller -Dorg.kie.server.controller.pwd=password

10. KIE Server の実行中に、以下のコマンドを実行してサーバーの状態を確認します。<KIE_SERVER_USER> は kie-server ロールが割り当てられているユーザーで、そのパスワードは <PASSWORD> です。

    curl http://<KIE_SERVER_USER>:<PASSWORD>@localhost:8080/kie-server/services/rest/server/

手順

1. トークンを使用して KIE Server を管理するように Business Central を設定するには、以下を実行します。

   1. org.kie.server.token プロパティーを設定します。

   2. org.kie.server.user プロパティーと org.kie.server.pwd プロパティーは設定しないでください。

      これで、Red Hat Decision Manager は Authorization: Bearer $TOKEN 認証メソッドを使用します。

2. トークンベースの認証を使用して REST API を使用する場合は、以下を行います。

   1. org.kie.server.controller.token プロパティーを設定します。
   2. org.kie.server.controller.user プロパティーおよび org.kie.server.controller.pwd プロパティーは設定しないでください。

手順

1. RH-SSO 管理コンソールで Clients メニューアイテムをクリックし、Create をクリックして新規クライアントを作成します。

   Add Client ページが表示されます。

2. Add Client ページで、レルムにクライアントを新規作成するのに必要な情報を指定します。以下に例を示します。

   • Client ID: kie-remote
   • クライアントのプロトコル: openid-connect
3. Save をクリックして変更を保存します。

4. Realm Settings でトークンの設定を変更します。

   1. RH-SSO 管理コンソールで、Realm Settings メニューアイテムをクリックします。
   2. Tokens タブをクリックします。

   3. Access Token Lifespan の値を 15 分に変更します。

      これにより、有効期限が切れる前にトークンを取得してサービスを呼び出すための十分な時間が得られます。

   4. Save をクリックして変更を保存します。

5. リモートクライアントの公開クライアントを作成したら、以下のコマンドを使用して、RH-SSO サーバーのトークンエンドポイントに HTTP 要求を行ってトークンを取得できます。

   RESULT=`curl --data "grant_type=password&client_id=kie-remote&username=admin&password=password" http://localhost:8180/auth/realms/demo/protocol/openid-connect/token`

   このコマンドのユーザーは Business Central RH-SSO ユーザーです。詳細は、「Red Hat Decision Manager ユーザーの追加」 を参照してください。

6. RH-SSO サーバーから取得したトークンを表示するには、以下のコマンドを使用します。

   TOKEN=`echo $RESULT | sed 's/.*access_token":"//g' | sed 's/".*//g'`