Red Hat Decision Manager と Red Hat Single Sign-On の統合

1. RH-SSO 管理コンソールにログインして、ユーザーを追加するレルムを開きます。

2. Manage セクションで Users メニューアイテムをクリックします。

   Users ページに空のユーザー一覧が表示されます。

3. 空のユーザー一覧で Add User ボタンをクリックして、新規ユーザーの作成を開始します。

   Add User ページが開きます。

4. Add User ページで、ユーザー情報を入力して Save をクリックします。
5. Credentials タブをクリックして、パスワードを作成します。

6. Red Hat Decision Manager へのアクセスを許可するロールの新規ユーザーを割り当てます。たとえば、Business Central にアクセスするには admin ロールを割り当てるか、Decision Server にアクセスするには kie-server ロールを割り当てます。

   注記

   Business Central から OpenShift にデプロイするプロジェクトの場合は、ロールを割り当てずに mavenuser という RH-SSO ユーザーを作成し、OpenShift テンプレートの BUSINESS_CENTRAL_MAVEN_USERNAME および BUSINESS_CENTRAL_MAVEN_PASSWORD にこのユーザーを追加します。

7. Roles セクションの Realm Roles タブで、このロールをレルムロールとして定義します。
8. Users ページの Role Mappings タブをクリックして、ロールを割り当てます。

手順

1. Web ブラウザーに http://localhost:8180/auth/admin と入力して、RH-SSO 管理コンソールを開き、RH-SSO のインストール時に作成した管理者の認証情報を使用してログインします。

   注記

   Red Hat OpenShift Container Platform で RH-SSO を設定している場合は、RH-SSO ルートに公開されている URL を入力します。OpenShift 管理者は、必要に応じてこの URL を提供してください。

   初回のログイン時に、新規ユーザー登録フォームで初期ユーザーを設定できます。

2. RH-SSO 管理コンソールで、Realm Settings メニューアイテムをクリックします。

3. Realm Settings ページで Add Realm をクリックします。

   Add realm ページが表示されます。

4. Add realm ページで、レルムの名前を指定して Create をクリックします。

5. Clients メニューアイテムをクリックし、Create をクリックします。

   Add Client ページが表示されます。

6. Add Client ページで、レルムにクライアントを新規作成するのに必要な情報を指定します。以下に例を示します。

   • Client ID: kie
   • Client protocol: openid-connect

   • Root URL: http://localhost:8080/decision-central

     注記

     Red Hat OpenShift Container Platform で RH-SSO を設定している場合には、Decision Server ルートに公開されている URL を入力します。OpenShift 管理者は、必要に応じてこの URL を提供してください。

7. Save をクリックして変更を保存します。

   作成した新規クライアントの Access Type は、デフォルトでは public に設定されています。この設定を confidential に変更します。

   これで、Business Central アプリケーションのクライアントが含まれるレルムに RH-SSO サーバーが設定され、localhost:8180 で HTTP 接続をリッスンした状態で実行しています。このレルムは、Business Central アプリケーションに異なるユーザー、ロール、セッションを提供します。

手順

1. Red Hat カスタマーポータルの Software Downloads ページに移動し (ログインが必要)、ドロップダウンオプションから製品およびバージョンを選択します。

   • 製品: Red Hat Single Sign-On
   • Version: 7.3
2. Red Hat Single Sign-on 7.3. Client Adaptor for JBoss EAP 7 (rh-sso-7.3-eap7-adapter.zip) をダウンロードします。
3. rh-sso-7.3-eap7-adapter.zip を展開してインストールします。インストール手順は、Red Hat Single Sign On アプリケーションおよびサービスのセキュリティー保護ガイド の JBoss EAP Adapter セクションを参照してください。
4. EAP_HOME/standalone/configuration に移動して、standalone.xml ファイルおよび standalone-full.xml ファイルを開きます。
5. 両方のファイルから、<single-sign-on/> 要素を削除します。

6. Red Hat JBoss EAP インストールの EAP_HOME/standalone/configuration ディレクトリーに移動し、standalone.xml ファイルおよび standalone-full.xml ファイルを編集して、RH-SSO サブシステムの設定を追加します。以下に例を示します。

   <subsystem xmlns="urn:jboss:domain:keycloak:1.1">
    <secure-deployment name="decision-central.war">
      <realm>demo</realm>
      <realm-public-key>MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCrVrCuTtArbgaZzL1hvh0xtL5mc7o0NqPVnYXkLvgcwiC3BjLGw1tGEGoJaXDuSaRllobm53JBhjx33UNv+5z/UMG4kytBWxheNVKnL6GgqlNabMaFfPLPCF8kAgKnsi79NMo+n6KnSY8YeUmec/p2vjO2NjsSAVcWEQMVhJ31LwIDAQAB</realm-public-key>
      <auth-server-url>http://localhost:8180/auth</auth-server-url>
      <ssl-required>external</ssl-required>
      <enable-basic-auth>true</enable-basic-auth>
      <resource>kie</resource>
      <credential name="secret">759514d0-dbb1-46ba-b7e7-ff76e63c6891</credential>
      <principal-attribute>preferred_username</principal-attribute>
    </secure-deployment>
   </subsystem>

   この例で、

   • secure-deployment name は、アプリケーションの WAR ファイルの名前です。
   • realm は、使用するアプリケーション用に作成したレルムの名前です。
   • realm-public-key は、作成したレルムの公開鍵です。この鍵は、RH-SSO 管理コンソールで作成したレルムの Realm settings ページの Keys タブで確認できます。realm-public-key の値を指定しない場合は、サーバーが自動的に取得します。
   • auth-server-url は、RH-SSO 認証サーバーの URL です。
   • enable-basic-auth は、クライアントがトークンベースと Basic 認証の両方のアプローチを使用して要求を実行できるように、Basic 認証メカニズムを有効にする設定です。
   • resource は、作成したクライアントの名前です。
   • credential name は、作成したクライアントの秘密鍵です。この鍵は、RH-SSO 管理コンソールの Clients ページの Credentials タブで確認できます。

   • principal-attribute は、ユーザーのログイン名です。この値を指定しないと、アプリケーションに、ユーザー名ではなくユーザー ID が表示されます。

     注記

     RH-SSO サーバーは、ユーザー名を小文字に変換します。したがって、RH-SSO と統合すると、Red Hat Decision Manager ではユーザー名が小文字で表示されます。ユーザー名が、ビジネスプロセスに大文字でハードコードされている場合は、アプリケーションが大文字のユーザー名を識別できない場合があります。

7. EAP_HOME/bin/ に移動し、以下のコマンドを実行して Red Hat JBoss EAP サーバーを起動します。

   ./standalone.sh -c standalone-full.xml

手順

1. Business Central アプリケーションデプロイメント記述子ファイル (WEB-INF/web.xml) を開き、以下の変更を適用します。

   • 以下の行を追加して、url-patterns の security-constraint パラメーターを追加します。

     <security-constraint>
       <web-resource-collection>
         <web-resource-name>remote-services</web-resource-name>
         <url-pattern>/rest/*</url-pattern>
         <url-pattern>/maven2/*</url-pattern>
         <url-pattern>/ws/*</url-pattern>
       </web-resource-collection>
       <auth-constraint>
         <role-name>rest-all</role-name>
         <role-name>rest-project</role-name>
         <role-name>rest-deployment</role-name>
         <role-name>rest-process</role-name>
         <role-name>rest-process-read-only</role-name>
         <role-name>rest-task</role-name>
         <role-name>rest-task-read-only</role-name>
         <role-name>rest-query</role-name>
         <role-name>rest-client</role-name>
       </auth-constraint>
     </security-constraint>

2. 変更を保存します。

手順

1. JSON 設定ファイルを生成します。

   1. RH-SSO 管理コンソール (http://localhost:8180/auth/admin) に移動します。
   2. Clients をクリックします。

   3. 以下の設定で新規クライアントを作成します。

      • Client ID は kie-git に設定します。
      • Access Type は confidential に設定します。
      • Standard Flow Enabled オプションを無効にします。
      • Direct Access Grants Enabled オプションを有効にします。
      
   4. Save をクリックします。
   5. クライアント設定画面の上部にある Installation タブをクリックして、Format Option に Keycloak OIDC JSON を選択します。
   6. Download をクリックします。
2. ダウンロードした JSON ファイルを、サーバーのファイルシステム内でアクセス可能なディレクトリーに移動するか、アプリケーションクラスパスに追加します。

3. EAP_HOME/standalone/configuration/standalone.xml ファイルおよび standalone-full.xml ファイルに、正しい RH-SSO ログインを指定します。デフォルトでは、Red Hat Decision Manager のセキュリティードメインは other に設定されます。このセキュリティードメインの login-module のデフォルト値を、以下の例で示す値に置き換えます。

   <security-domain name="other" cache-type="default">
     <authentication>
       <login-module code="org.keycloak.adapters.jaas.DirectAccessGrantsLoginModule" flag="required">
         <module-option name="keycloak-config-file" value="$EAP_HOME/kie-git.json"/>
       </login-module>
     </authentication>
   </security-domain>

4. module-option 要素で指定した JSON ファイルには、リモートサービスのセキュリティーを確保するために使用するクライアントが含まれます。module-option 要素の $EAP_HOME/kie-git.json の値を、この JSON 設定ファイルの絶対パスまたはクラスパス (classpath:/EXAMPLE_PATH/kie-git.json) に置き換えます。

   これで、RH-SSO サーバーで認証されたすべてのユーザーは、内部 GIT リポジトリーのクローンを作成できます。以下のコマンドで、USER_NAME を RH-SSO ユーザー (admin など) に変更します。

   git clone ssh://USER_NAME@localhost:8001/system

手順

1. 以下のライブラリーが WEB-INF/lib ディレクトリーにあることを確認します。

   uberfire-security-management-api-<latest_artifact_version>.jar
   uberfire-security-management-backend-<latest_artifact_version>.jar
   uberfire-security-management-keycloak-<latest_artifact_version>.jar
   keycloak-core-<latest_artifact_version>.jar
   keycloak-common-<latest_artifact_version>.jar

2. サードパーティーセキュリティーの JAR ファイルを削除します。以下は例になります。

   uberfire-security-management-wildfly-<latest_artifact_version>.jar
   uberfire-security-management-tomcat-<latest_artifact_version>.jar

3. WEB-INF/classes/security-management.properties ファイルの内容を、以下の内容に置き換えます。

   org.uberfire.ext.security.management.api.userManagementServices=KCAdapterUserManagementService
   org.uberfire.ext.security.management.keycloak.authServer=http://localhost:8180/auth

   注記

   WEB-INF/classes/security-management.properties ファイルが存在しない場合は、そのファイルを作成します。

4. /META-INF/jboss-deployment-structure.xml ファイルで、以下の依存関係および除外を編集します。

   <dependencies>
       <module name="org.jboss.resteasy.resteasy-jackson-provider" services="import"/>
   </dependencies>
   <exclusions>
       <module name="org.jboss.resteasy.resteasy-jackson2-provider"/>
       <module name="com.fasterxml.jackson.datatype.jackson-datatype-jsr310"/>
   </exclusions>

手順

1. RH-SSO 管理コンソールで、2章RH-SSO のインストールおよび設定で作成したセキュリティーレルムを開きます。

2. Clients をクリックし、Create をクリックします。

   Add Client ページが表示されます。

3. Add Client ページで、レルムに Decision Server クライアントを作成するのに必要な情報を入力し、Save をクリックします。以下に例を示します。

   • クライアント ID: kie-execution-server
   • Root URL: http://localhost:8080/kie-server

   • クライアントのプロトコル: openid-connect

     注記

     Red Hat OpenShift Container Platform で RH-SSO を設定している場合には、Decision Server ルートに公開されている URL を入力します。OpenShift 管理者は、必要に応じてこの URL を提供してください。

4. 新規クライアントの Access Type は、デフォルトでは public に設定されています。この設定を confidential に変更して、もう一度 Save をクリックします。
5. Credentials タブに移動して秘密鍵をコピーします。秘密鍵は、kie-execution-server クライアントを設定するのに必要になります。

手順

1. Red Hat カスタマーポータルの Software Downloads ページに移動し (ログインが必要)、ドロップダウンオプションから製品およびバージョンを選択します。

   • 製品: Red Hat Single Sign-On
   • Version: 7.3
2. Red Hat Single Sign-on 7.3.0 Client Adaptor for JBoss EAP 7 (rh-sso-7.3.0-eap7-adapter.zip) をダウンロードします。
3. rh-sso-7.3.0-eap7-adapter.zip を展開してインストールします。インストール手順は、Red Hat Single Sign On アプリケーションおよびサービスのセキュリティー保護ガイド の JBoss EAP Adapter セクションを参照してください。
4. EAP_HOME/standalone/configuration に移動して、standalone.xml ファイルおよび standalone-full.xml ファイルを開きます。
5. 両方のファイルから、<single-sign-on/> 要素を削除します。
6. Red Hat JBoss EAP システムの EAP_HOME/standalone/configuration ディレクトリーに移動し、standalone.xml ファイルを編集して RH-SSO サブシステム設定を追加します。以下に例を示します。

7. Red Hat JBoss EAP システムの EAP_HOME/standalone/configuration に移動し、standalone.xml ファイルおよび standalone-full.xml ファイルを編集して、RH-SSO サブシステムの設定を追加します。以下に例を示します。

   <subsystem xmlns="urn:jboss:domain:keycloak:1.1">
     <secure-deployment name="kie-execution-server.war">
        <realm>demo</realm>
        <realm-public-key>MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCrVrCuTtArbgaZzL1hvh0xtL5mc7o0NqPVnYXkLvgcwiC3BjLGw1tGEGoJaXDuSaRllobm53JBhjx33UNv+5z/UMG4kytBWxheNVKnL6GgqlNabMaFfPLPCF8kAgKnsi79NMo+n6KnSY8YeUmec/p2vjO2NjsSAVcWEQMVhJ31LwIDAQAB</realm-public-key>
        <auth-server-url>http://localhost:8180/auth</auth-server-url>
        <ssl-required>external</ssl-required>
        <resource>kie-execution-server</resource>
        <enable-basic-auth>true</enable-basic-auth>
        <credential name="secret">03c2b267-7f64-4647-8566-572be673f5fa</credential>
        <principal-attribute>preferred_username</principal-attribute>
     </secure-deployment>
   </subsystem>
   
   <system-properties>
     <property name="org.kie.server.sync.deploy" value="false"/>
   </system-properties>

   この例で、

   • secure-deployment name は、アプリケーションの WAR ファイルの名前です。
   • realm は、使用するアプリケーション用に作成したレルムの名前です。
   • realm-public-key は、作成したレルムの公開鍵です。この鍵は、RH-SSO 管理コンソールで作成したレルムの Realm settings ページの Keys タブで確認できます。この公開鍵の値を指定しない場合は、サーバーが自動的に取得します。
   • auth-server-url は、RH-SSO 認証サーバーの URL です。
   • resource は、作成したサーバークライアントの名前です。
   • enable-basic-auth は、クライアントがトークンベースと Basic 認証の両方のアプローチを使用して要求を実行できるように、Basic 認証メカニズムを有効にする設定です。
   • credential name は、作成したサーバークライアントの秘密鍵です。この鍵は、RH-SSO 管理コンソールの Clients ページの Credentials タブで確認できます。
   • principal-attribute は、ユーザーのログイン名です。この値を指定しないと、アプリケーションに、ユーザー名ではなくユーザー ID が表示されます。
8. 設定変更を保存します。

9. 以下のコマンドを使用し、Red Hat JBoss EAP サーバーを再起動して Decision Server を実行します。

   EXEC_SERVER_HOME/bin/standalone.sh -Dorg.kie.server.id=<ID> -Dorg.kie.server.user=<USER> -Dorg.kie.server.pwd=<PWD> -Dorg.kie.server.location=<LOCATION_URL> -Dorg.kie.server.controller=<CONTROLLER_URL> -Dorg.kie.server.controller.user=<CONTROLLER_USER> -Dorg.kie.server.controller.pwd=<CONTOLLER_PASSWORD>

   以下に例を示します。

   EXEC_SERVER_HOME/bin/standalone.sh -Dorg.kie.server.id=kieserver1 -Dorg.kie.server.user=kieserver -Dorg.kie.server.pwd=password -Dorg.kie.server.location=http://localhost:8080/kie-execution-server/services/rest/server -Dorg.kie.server.controller=http://localhost:8080/decision-central/rest/controller -Dorg.kie.server.controller.user=kiecontroller -Dorg.kie.server.controller.pwd=password

10. Decision Server の実行中に、以下のコマンドを実行してサーバーの状態を確認します。<KIE_SERVER_USER> は kie-server ロールが割り当てられているユーザー名で、そのパスワードは <PASSWORD> です。

    curl http://<KIE_SERVER_USER>:<PASSWORD>@localhost:8080/kie-execution-server/services/rest/server/

手順

1. トークンを使用して Decision Server を管理するように Business Central を設定するには、以下を実行します。

   1. org.kie.server.token プロパティーを設定します。

   2. org.kie.server.user プロパティーと org.kie.server.pwd プロパティーは設定しないでください。

      これで、Red Hat Decision Manager は Authorization: Bearer $TOKEN 認証メソッドを使用します。

2. トークンベースの認証を使用して REST API を使用する場合は、以下を行います。

   1. org.kie.server.controller.token プロパティーを設定します。
   2. org.kie.server.controller.user プロパティーおよび org.kie.server.controller.pwd プロパティーは設定しないでください。

手順

1. RH-SSO 管理コンソールで Clients メニューアイテムをクリックし、Create をクリックして新規クライアントを作成します。

   Add Client ページが表示されます。

2. Add Client ページで、レルムにクライアントを新規作成するのに必要な情報を指定します。以下に例を示します。

   • Client ID: kie-remote
   • Client protocol: openid-connect
3. Save をクリックして変更を保存します。

4. Realm Settings でトークンの設定を変更します。

   1. RH-SSO 管理コンソールで、Realm Settings メニューアイテムをクリックします。
   2. Tokens タブをクリックします。

   3. Access Token Lifespan の値を 15 分に変更します。

      これにより、有効期限が切れる前にトークンを取得してサービスを呼び出すための十分な時間が得られます。

   4. Save をクリックして変更を保存します。

5. リモートクライアントの公開クライアントを作成したら、以下のコマンドを使用して、RH-SSO サーバーのトークンエンドポイントに HTTP 要求を行ってトークンを取得できます。

   RESULT=`curl --data "grant_type=password&client_id=kie-remote&username=admin&password=password" http://localhost:8180/auth/realms/demo/protocol/openid-connect/token`

   このコマンドのユーザーは Business Central RH-SSO ユーザーです。詳細は、「Red Hat Decision Manager ユーザーの追加」 を参照してください。

6. RH-SSO サーバーから取得したトークンを表示するには、以下のコマンドを使用します。

   TOKEN=`echo $RESULT | sed 's/.*access_token":"//g' | sed 's/".*//g'`