Apache HTTP Server コネクターおよび負荷分散ガイド

手順

1. JBCS_HOME/httpd/conf.d ディレクトリーに移動します。

2. mod_jk.conf という名前の新しいファイルを作成し、次の設定の詳細を入力します。

   # Load mod_jk module
   # Specify the filename of the mod_jk lib
   LoadModule jk_module modules/mod_jk.so
   
   # Where to find workers.properties
   JkWorkersFile conf.d/workers.properties
   
   # Where to put jk logs
   JkLogFile logs/mod_jk.log
   
   # Set the jk log level [debug/error/info]
   JkLogLevel info
   
   # Select the log format
   JkLogStampFormat  "[%a %b %d %H:%M:%S %Y]"
   
   # JkOptions indicates to send SSL KEY SIZE
   JkOptions +ForwardKeySize +ForwardURICompat -ForwardDirectories
   
   # JkRequestLogFormat
   JkRequestLogFormat "%w %V %T"
   
   # Mount your applications
   JkMount /application/* loadbalancer
   
   # Add shared memory.
   # This directive is present with 1.2.10 and
   # later versions of mod_jk, and is needed for
   # for load balancing to work properly
   JkShmFile logs/jk.shm
   
   # Add jkstatus for managing runtime data
   <Location /jkstatus/>
       JkMount status
       Require ip 127.0.0.1
   </Location>

   重要

   LoadModule ディレクティブが、インストールした mod_jk ネイティブバイナリーを参照していることを確認します。

   注記

   JkMount ディレクティブは、Apache HTTP Server が mod_jk モジュールに転送できる URL を指定します。JkMount ディレクティブの設定に基づいて、mod_jk は受信した URL を正しいサーブレットコンテナーに転送します。

   Apache HTTP Server が静的コンテンツ (または PHP コンテンツ) を直接提供し、Java アプリケーションにのみロードバランサーを使用できるようにするには、前述の設定例では、Apache HTTP Server が URL /application/* のリクエストのみを mod_jk ロードバランサーに送信するよう指定します。

   または、JkMount ディレクティブで /* を指定して、すべての URL を mod_jk に転送するように Apache HTTP Server を設定することもできます。

3. オプション: JkMountFile ディレクティブを使用してマウントポイントの設定ファイルを指定するには、次の手順を実行します。

   1. JBCS_HOME/httpd/conf.d/ ディレクトリーに移動します。
   2. uriworkermap.properties という名前のファイルを作成します。

   3. 転送する URL とワーカー名を指定します。

      以下に例を示します。

      # Simple worker configuration file
      
      # Mount the Servlet context to the ajp13 worker
      /application=loadbalancer
      /application/*=loadbalancer

      注記

      必要な構文は次の形式です: /URL = WORKER_NAME

      上記の例では、/application のリクエストを JBoss Web Server Tomcat バックエンドに転送するように mod_jk を設定しています。

   4. JBCS_HOME/httpd/conf.d/mod_jk.conf ファイルで、次のディレクティブを入力します。

      # Use external file for mount points.
      # It will be checked for updates each 60 seconds.
      # The format of the file is: /url=worker
      # /examples/*=loadbalancer
      JkMountFile conf.d/uriworkermap.properties

4. オプション: Apache HTTP Server のログを有効にするには、次のいずれかの手順を実行します。

   • mod_jk.conf 設定に関する前の手順で示したように、JkRequestLogFormat ディレクティブに %w を含めます。
   • %{JK_WORKER_NAME}n を Apache HTTP Server LogFormat(s) に含めて、使用する mod_jk ワーカーの名前をログに記録します。

手順

1. JBCS_HOME/httpd/conf.d/ ディレクトリーに移動します。
2. workers.properties という名前のファイルを作成します。

3. 次の設定の詳細を入力します。

   # Define list of workers that will be used
   # for mapping requests
   worker.list=loadbalancer,status
   
   # Define Node1
   # modify the host as your host IP or DNS name.
   worker.node1.port=8009
   worker.node1.host=node1.mydomain.com
   worker.node1.type=ajp13
   worker.node1.ping_mode=A
   worker.node1.lbfactor=1
   worker.node1.secret=<YourSecret>
   
   # Define Node2
   # modify the host as your host IP or DNS name.
   worker.node2.port=8009
   worker.node2.host=node2.mydomain.com
   worker.node2.type=ajp13
   worker.node2.ping_mode=A
   worker.node2.lbfactor=1
   worker.node1.secret=<YourSecret>
   
   # Load-balancing behavior
   worker.loadbalancer.type=lb
   worker.loadbalancer.balance_workers=node1,node2
   worker.loadbalancer.sticky_session=1
   
   # Status worker for managing load balancer
   worker.status.type=status

   注記

   前の例で、host、port、および secret の設定を環境に適した値に置き換えてください。

   重要

   secret プロパティーは Tomcat AJP コネクターを使用する場合に必要になります。ワーカーノードまたはロードバランサーの シークレット プロパティーは、workers.properties ファイルで指定できます。以下に例を示します。

   worker.<WORKER_NAME>.secret=<YOUR_AJP_SECRET>

   前の例で、<WORKER_NAME> と <YOUR_AJP_SECRET> を環境に適した値に置き換えます。

手順

1. AJP コネクターを設定するには、次の手順を実行します。

   1. JBCS_HOME/tomcat<VERSION>/conf/server.xml ファイルを開きます。

   2. server.xml ファイルに、次の行を入力します。

      <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />

2. 各ワーカーノードのエンジンで jvmRoute 属性の一意の値を設定するには、次の詳細を入力します。

   <Engine name="Catalina" jvmRoute="node1" >

   重要

   jvmRoute 属性値が、workers.properties ファイルで指定されているワーカー名と一致していることを確認してください。

3. ワーカーノードまたはロードバランサーの secret プロパティーを指定するには、次の手順を実行します。

   1. JBCS_HOME/httpd/conf.d/workers.properties ファイルを開きます。

   2. workers.properties ファイルで、secret プロパティーが次の形式で指定されていることを確認します。

      worker.<WORKER_NAME>.secret=<YOUR_AJP_SECRET>`

      注記

      <WORKER_NAME> と <YOUR_AJP_SECRET> は、ご使用の環境に適した値に置き換えてください。

      注記

      ProxyPass ディレクティブを使用してロードバランサーに secret を設定すると、そのすべてのメンバーがこの secret を継承します。以下に例を示します。

      <Proxy balancer://mycluster>`
          BalancerMember ajp://node1:8009 route=node1 secret=YOUR_AJP_SECRET
          BalancerMember ajp://node2:8009 route=node2 secret=YOUR_AJP_SECRET
      </Proxy>
      ProxyPass /example/ balancer://mycluster/example/ stickysession=JSESSIONID|jsessionid

手順

1. mod_cluster 設定ファイルを開きます。

   注記

   通常、mod_cluster 設定ファイルは JBCS_HOME/httpd/conf.d/mod_cluster.conf ディレクトリーにあります。

2. プロキシーサーバーの Listen ディレクティブを作成するには、mod_cluster.conf ファイルに次の行を入力します。

   Listen IP_ADDRESS:PORT_NUMBER

   注記

   上記の例では、プロキシーサーバーがワーカーノードと通信するために使うサーバーネットワークインターフェイスのアドレスに IP_ADDRESS をプロキシーサーバーがワーカーノードと通信するのに使うサーバーネットワークインターフェイスのアドレスに、をプロキシーサーバーがリッスンするポートに置き換えてください。PORT_NUMBER をプロキシーサーバーがリッスンするポートに置き換えます。

   着信 TCP 接続用にポートが開いていることを確認します。

3. 仮想ホストを作成するには、mod_cluster.conf ファイルに次の詳細を入力します。

   <VirtualHost IP_ADDRESS:PORT_NUMBER>
   
      <Directory />
         Require ip IP_ADDRESS
      </Directory>
   
      KeepAliveTimeout 60
      MaxKeepAliveRequests 0
   
      ManagerBalancerName mycluster
      AdvertiseFrequency 5
      EnableMCPMReceive On
   
   </VirtualHost>

   注記

   前の例で、IP_ADDRESS と PORT_NUMBER を、Listen ディレクティブに指定したサーバーネットワークインターフェイスのアドレスとポート番号に置き換えます。

   このアドレスとポートの組み合わせは、mod_cluster 管理メッセージにのみ使用されます。このアドレスとポートの組み合わせは、一般的なトラフィックには使用されません。

手順

1. Tomcat にリスナーを追加するには、JWS_HOME/tomcat<VERSION>/conf/server.xml ファイル内の他の Listener 要素の下に、次の Listener 要素を追加します。

   <Listener className="org.jboss.modcluster.container.catalina.standalone.ModClusterListener" advertise="true" stickySession="true" stickySessionForce="false" stickySessionRemove="true" />

2. ワーカーノードに一意の ID を与えるには、JWS_HOME/tomcat<VERSION>/conf/server.xml ファイルを編集して、jvmRoute 属性と値を Engine 要素に追加します。

   <Engine name="Catalina" defaultHost="localhost" jvmRoute="worker01">

3. STATUS MCMP メッセージの頻度を設定するには、org.jboss.modcluster.container.catalina.status-frequency Java システムプロパティーを変更します。

   以下に例を示します。

   -Dorg.jboss.modcluster.container.catalina.status-frequency=6

   注記

   Tomcat ワーカーノードは、現在の負荷ステータスを含むステータスメッセージを Apache HTTP Server バランサーに定期的に送信します。これらのメッセージのデフォルトの頻度は 10 秒です。数百のワーカーノードがある場合、STATUS MCMP メッセージによって Apache HTTP Server ネットワークのトラフィック輻輳が増える可能性があります。

   MCMP メッセージ頻度を設定するには、org.jboss.modcluster.container.catalina.status-frequency Java システムプロパティーを変更します。デフォルトでは、プロパティーは秒単位で指定された値を 10 倍して受け入れます。たとえば、プロパティーを 1 に設定すると 10 秒になります。前の例では、プロパティーは 6 に設定されており、これは 60 秒を意味します。

4. オプション: プロキシーサーバーのアドバタイズ用にファイアウォールを設定するには、次のいずれかの手順を実行して、ワーカーノードのファイアウォールで UDP 接続用のポート 23364 を開きます。

   • Red Hat Enterprise Linux 7 の場合

     firewall-cmd --permanent --zone=public --add-port=23364/udp

   • PowerShell を使用する Microsoft Windows の場合

     Start-Process "$psHome\powershell.exe" -Verb Runas -ArgumentList '-command "NetSh Advfirewall firewall add rule name="UDP Port 23364" dir=in  action=allow protocol=UDP localport=23364"'
     Start-Process "$psHome\powershell.exe" -Verb Runas -ArgumentList '-command "NetSh Advfirewall firewall add rule name="UDP Port 23364" dir=out action=allow protocol=UDP localport=23364"'

     注記

     プロキシーサーバーが mod_cluster を使用する場合、プロキシーサーバーは UDP マルチキャストを使用して自身をアドバタイズできます。ほとんどのオペレーティングシステムのファイアウォールは、デフォルトでサーバーアドバタイズメント機能をブロックします。サーバーアドバタイズメントを有効にしてこれらのマルチキャストメッセージを受信するには、前述の例に示すように、ワーカーノードのファイアウォールで UDP 接続用にポート 23364 を開くことができます。

手順

1. JWS_HOME/tomcat<VERSION>/conf/server.xml ファイルを開きます。

2. mod_cluster リスナーを定義して動的プロキシー検出を無効にするには、ModClusterListener の Listener 要素を追加または変更します。

   以下に例を示します。

   <Listener className="org.jboss.modcluster.container.catalina.standalone.ModClusterListener" advertise="false" stickySession="true" stickySessionForce="false" stickySessionRemove="true"/>

   注記

   advertise プロパティーを false に設定していることを確認してください。

3. 静的プロキシーサーバーリストを作成するには、プロキシーのコンマ区切りリストを、IP_ADDRESS:PORT,IP_ADDRESS:PORT の形式で追加して、proxyList プロパティーを更新します。

   以下に例を示します。

   <Listener className="org.jboss.modcluster.container.catalina.standalone.ModClusterListener" advertise="false" stickySession="true" stickySessionForce="false" stickySessionRemove="true" proxyList="10.33.144.3:6666,10.33.144.1:6666"/>

手順

1. mod_ssl をインストールするには、次のコマンドを入力します。

   # yum install jbcs-httpd24-mod_ssl

2. SSL 設定設定を指定するには:

   1. JBCS_HOME/httpd/conf.d/ssl.conf ファイルを開きます。

   2. ServerName、SSLCertificateFile、および SSLCertificateKeyFile の詳細を入力します。

      以下に例を示します。

      <VirtualHost _default_:443>
      ServerName www.example.com:443
      SSLCertificateFile /opt/rh/jbcs-httpd24/root/etc/pki/tls/certs/localhost.crt
      SSLCertificateKeyFile /opt/rh/jbcs-httpd24/root/etc/pki/tls/private/localhost.key

      注記
      • ServerName は、SSL 証明書に関連付けられている共通名 (CN) と一致する必要があります。ServerName が CN に一致しない場合、クライアントブラウザーはドメイン名不一致エラーを表示します。
      • SSLCertificateFile は、SSL 証明書ファイルへのパスを指定します。
      • SSLCertificateKeyFile は、SSL 証明書に関連付けられている秘密鍵ファイルへのパスを指定します。
3. Listen ディレクティブが、デプロイメントの httpd サービスのホスト名または IP アドレスと一致することを確認します。

4. Apache HTTP Server を再起動するには、次のコマンドを入力します。

   # service jbcs-httpd24-httpd restart

手順

1. 認証局を設定します。

   注記

   CA が OCSP 証明書を発行できることを確認します。CA は、次の属性を証明書に追加できる必要があります。

   [ usr_cert ]
   ...
   authorityInfoAccess=OCSP;URI:http://<HOST>:<PORT>
   ...
   [ v3_OCSP ]
   basicConstraints = CA:FALSE
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = OCSP Signing

   前の例で、HOST と PORT を、設定する OCSP レスポンダーの詳細に置き換えます。

2. OCSP レスポンダーを設定します。

手順

1. JBCS_HOME/httpd/conf.d/ssl.conf ファイルを開きます。

2. 展開に適した OCSP 設定の詳細を指定します。

   以下に例を示します。

   # Require valid client certificates (mutual auth)
   SSLVerifyClient require
   SSLVerifyDepth  3
   # Enable OCSP
   SSLOCSPEnable on
   SSLOCSPDefaultResponder http://<HOST>:<PORT>
   SSLOCSPOverrideResponder on

   注記

   前の例は、クライアント証明書の OCSP 検証を有効にする方法を示しています。前の例で、<HOST> と <PORT> をデフォルトの OCSP レスポンダーの IP アドレスとポートに置き換えます。

手順

1. JBCS_HOME/httpd/conf.d/ ディレクトリーに移動します。
2. mod_cluster.conf という名前のファイルを作成します。

3. 次の設定の詳細を入力します。

   LoadModule proxy_cluster_module modules/mod_proxy_cluster.so
   LoadModule cluster_slotmem_module modules/mod_cluster_slotmem.so
   LoadModule manager_module modules/mod_manager.so
   LoadModule advertise_module modules/mod_advertise.so
   
   MemManagerFile cache/mod_cluster
   
   <IfModule manager_module>
     Listen 6666
     <VirtualHost *:6666>
       <Directory />
         Require ip 127.0.0.1
       </Directory>
       ServerAdvertise on
       EnableMCPMReceive
       <Location /mod_cluster_manager>
         SetHandler mod_cluster-manager
         Require ip 127.0.0.1
      </Location>
     </VirtualHost>
   </IfModule>

   注記

   上記の例は、JBoss Core Services を localhost でリッスンするプロキシーサーバーとして設定する方法を示しています。

手順

1. JWS_HOME/tomcat<VERSION>/conf/server.xml ファイルを開きます。

2. 次の Listener 要素を追加します。

   <Listener className="org.jboss.modcluster.container.catalina.standalone.ModClusterListener" advertise="true"/>

1. krb5.conf ファイルで設定設定を指定します。
2. JBCS_HOME/httpd/conf ファイルにキータブを作成します。
3. キータブにアクセス許可を割り当てます。
4. /etc/hosts ファイルに localhost が含まれていることを確認します。

手順

1. krb5.conf ファイルで設定設定を指定するには、次のようにします。

   1. /etc ディレクトリーに移動します。
   2. krb5.conf という名前のファイルを作成します。

   3. 次の設定の詳細を入力します。

      [logging]
        default = FILE:/var/log/krb5libs.log
        kdc = FILE:/var/log/krb5kdc.log
        admin_server = FILE:/var/log/kadmind.log
      
      [libdefaults]
        default_realm = EXAMPLE.COM
        default_tgs_enctypes = des-cbc-md5,des3-cbc-sha1-kd
        default_tkt_enctypes = des-cbc-md5,des3-cbc-sha1-kd
        dns_lookup_realm = false
        dns_lookup_kdc = false
        allow_weak_crypto = yes
        ticket_lifetime = 24h
        renew_lifetime = 7d
        forwardable = yes
      
      [realms]
        EXAMPLE.COM = {
          kdc = localhost:60088
          admin_server = localhost:60088
        }
      
      [domain_realm]
        .example.com = EXAMPLE.COM
        example.com = EXAMPLE.COM

2. キータブを作成するには:

   1. JBCS_HOME/httpd/conf ファイルを開きます。

   2. 以下の詳細を入力します。

      # ktutil
      ktutil: addent -password -p HTTP/localhost@EXAMPLE.COM -k 0 -e des-cbc-md5
      Password for HTTP/localhost@EXAMPLE.COM: secretpwd
      ktutil: list
      slot KVNO Principal
      ---- ---- ---------------------------------------------------------------------
         1    0               HTTP/localhost@EXAMPLE.COM
      ktutil: wkt JBCS_HOME/httpd/conf/krb5.keytab
      ktutil: quit

      重要

      環境変数は ktutil プロンプト内では拡張されません。JBCS_HOME 変数を絶対パスに置き換える必要があります。

3. 正しいグループと権限をキータブに適用するには、root ユーザーとして次のコマンドを入力します。

   # chgrp apache JBCS_HOME/httpd/conf/krb5.keytab
   # chmod 640 JBCS_HOME/httpd/conf/krb5.keytab

4. 以下のホスト設定が /etc/hosts ファイルに含まれていることを確認します。

   127.0.0.1 localhost

手順

1. JBCS_HOME/httpd/conf.d/ ディレクトリーに移動します。
2. auth_kerb.conf という名前のファイルを作成します。

3. 次の設定の詳細を入力します。

   #
   # The mod_auth_kerb module implements Kerberos authentication over HTTP, following the "Negotiate" protocol.
   #
   
   # The LoadModule statement is done in conf.d/10-auth_kerb.conf
   # LoadModule auth_kerb_module modules/mod_auth_kerb.so
   
   <Location /kerberostest>
     AuthType Kerberos
     AuthName "Kerberos Login"
     KrbMethodNegotiate On
     KrbMethodK5Passwd Off
     KrbAuthRealms EXAMPLE.COM
     KrbServiceName HTTP
     Krb5KeyTab $JBCS_HOME/httpd/krb5.keytab
     require valid-user
   </Location>

手順

1. テストページを作成するには、次の手順を実行します。

   1. JBCS_HOME/httpd/www/html/kerberostest ディレクトリーに移動します。
   2. auth_kerb_page.html という名前のテストページを作成します。

   3. 以下の詳細を入力します。

      <html>
      <body>
          <h1>mod_auth_kerb successfully authenticated!</h1>
      </body>
      </html>

2. オプション: JBCS_HOME/httpd/conf/httpd.conf ファイルで、ログレベルをデバッグに設定します。
3. Apache HTTP Server を起動します。詳細は、Red Hat JBoss Core Services Apache HTTP Server インストールガイド を参照してください。

4. テストユーザー hnelson の Kerberos 認証を開始するには、次のコマンドを入力します。

   $ kinit hnelson

5. テストユーザー hnelson の詳細を表示するには、次のコマンドを入力します。

   $ klist

   klist コマンドは、次のタイプの出力を生成します。

   Ticket cache: FILE:/tmp/krb5cc_18602
   Default principal: hnelson@EXAMPLE.COM
   
   Valid starting     Expires            Service principal
   06/03/13 14:21:13  06/04/13 14:21:13  krbtgt/EXAMPLE.COM@EXAMPLE.COM
   renew until 06/10/13 14:21:13