セキュリティーガイド

手順2.1 新しい Java Security Manager ポリシーの設定

1. policytool を起動します。

   policytool ツールを以下のいずれかの方法で起動します。

   • Red Hat Enterprise Linux

     GUI またはコマンドプロンプトで、/usr/bin/policytool を実行します。

   • Microsoft Windows Server

     Start メニューまたは Java インストールの bin\ から policytool.exe を実行します。ロケーションは異なる場合があります。

2. ポリシーを作成します。

   ポリシーを作成するには、Add Policy Entry を選択します。必要なパラメーターを追加してから、完了 をクリック し ます。
   注記
   VFS を使用して、JBoss EAP にデプロイされたアプリケーションのパスを指定します。Linux では、パスは vfs:/content/application.war になります。Microsoft Windows では、vfs:/${user.dir}/content/application.war です。

   以下に例を示します。

   grant codeBase "vfs:/content/application.war/-" {
   permission java.util.PropertyPermission "*", "read";
   };
   

3. 既存のポリシーを編集します。

   既存のポリシーの一覧からポリシーを選択し、Edit Policy Entry ボタンを選択します。必要に応じてパラメーターを編集します。

4. 既存のポリシーを削除します。

   既存のポリシーの一覧からポリシーを選択し、Remove Policy Entry ボタンを選択します。

手順2.2 JBoss EAP 6 の Java Security Manager の設定

1. 設定ファイルを開く

   設定ファイルを開いて編集します。編集が必要な設定ファイルは、管理対象ドメインまたはスタンドアロンサーバーとオペレーティングシステムのどちらを使用するかによって異なります。

   • 管理対象ドメイン

     • For Linux: EAP_HOME/bin/domain.conf
     • Windows の場合： EAP_HOME\bin\domain.conf.bat

   • スタンドアロンサーバー

     • For Linux: EAP_HOME/bin/standalone.conf
     • Windows の場合： EAP_HOME\bin\standalone.conf.bat

2. Java Security Manager の有効化

   以下のいずれかの方法を使用して Java Security Manager を有効にします。
   • JBoss EAP 6 のサーバー起動スクリプトで -secmgr オプションを使用します。
   • 設定ファイルの secmgr="true" 行のコメントを解除します。

     • Linux の場合:

       # Uncomment this to run with a security manager enabled
       SECMGR="true"

     • Windows の場合:

       rem # Uncomment this to run with a security manager enabled
       set "SECMGR=true"

3. Java セキュリティーポリシーの指定

   -Djava.security.policy を使用して、セキュリティーポリシーの場所を指定できます。これは、改行なしで 1 行のみに置く必要があります。-Djava.security.policy を設定する場合は == を使用すると、セキュリティーマネージャーは指定されたポリシーファイル のみ を使用するように指定します。= を使用すると、セキュリティーマネージャーは JAVA_HOME/lib/security/java.security の policy.url セクションに設定されたポリシー と組み合わせ て指定されたポリシーを使用するように指定します。
   関連する JBoss EAP 6 設定ファイルでセキュリティーポリシー Java オプションを追加します。管理対象ドメインを使用している場合は、PROCESS_CONTROLLER_JAVA_OPTS および HOST_CONTROLLER_JAVA_OPTS が設定される前に挿入されていることを確認します。

   • Linux の場合:

     JAVA_OPTS="$JAVA_OPTS -Djava.security.policy==$JBOSS_HOME/bin/server.policy -Djboss.home.dir=$JBOSS_HOME"

   • Windows の場合:

     set "JAVA_OPTS=%JAVA_OPTS% -Djava.security.policy==%JBOSS_HOME%\bin\server.policy -Djboss.home.dir=%JBOSS_HOME%"

4. ドメインまたはサーバーの起動

   ドメインまたはサーバーを通常どおり起動します。

手順2.3 一般的なデバッグの有効化

• この手順を実行すると、セキュリティー関連デバッグ情報の一般的な機密レベルを有効にすることができます。

  次の行をサーバー設定ファイルに追加します。

  • JBoss EAP 6 インスタンスが管理対象ドメインで実行されている場合は、Linux の場合は bin/domain.conf ファイル、Windows の場合は bin\domain.conf.bat ファイルに追加されます。
  • JBoss EAP 6 インスタンスがスタンドアロンサーバーとして実行されている場合、行は Linux の場合は bin/standalone.conf ファイル、Windows の場合は bin\standalone.conf.bat ファイルに追加されます。

1. 管理 CLI を実行します。

   jboss-cli.sh または jboss-cli.bat コマンドを起動し、サーバーに接続します。

2. 新しいセキュリティーレルム自体を作成します。

   以下のコマンドを実行し、ドメインコントローラーまたはスタンドアロンサーバーに MyDomainRealm という名前の新しいセキュリティーレルムを作成します。
   ドメインインスタンスの場合は、以下のコマンドを使用します。

   /host=master/core-service=management/security-realm=MyDomainRealm:add()

   スタンドアロンインスタンスの場合には、以下のコマンドを使用します。

   /core-service=management/security-realm=MyDomainRealm:add()

3. 新規ロールについての情報を格納するプロパティーファイルへの参照を作成します。

   以下のコマンドを実行して、新しいロールに関連するプロパティーが含まれる myfile.properties という名前のファイルを作成します。
   注記
   新規作成されたプロパティーファイルは、含まれる add-user.sh スクリプトおよび add-user.bat スクリプトで管理されません。これは外部で管理される必要があります。
   ドメインインスタンスの場合は、以下のコマンドを使用します。

   /host=master/core-service=management/security-realm=MyDomainRealm/authentication=properties:add(path=myfile.properties)

   スタンドアロンインスタンスの場合には、以下のコマンドを使用します。

   /core-service=management/security-realm=MyDomainRealm/authentication=properties:add(path=myfile.properties)

1. add-user.sh または add-user.bat コマンドを実行します。

   ターミナルを開き、EAP_HOME/bin/ ディレクトリーに移動します。Red Hat Enterprise Linux または別の UNIX のようなオペレーティングシステムを実行している場合は、add-user.sh を実行します。Microsoft Windows Server を実行する場合は add-user.bat を実行します。

2. Management User または Application User を追加するかどうかを選択します。

   この手順では、b と入力してアプリケーションユーザーを追加します。

3. ユーザーを追加するレルムを選択します。

   デフォルトでは、利用可能なレルムは ApplicationRealm のみです。カスタムレルムを追加した場合は、代わりに名前を入力できます。

4. プロンプトが表示されたら、ユーザー名、パスワード、およびロールを入力します。

   プロンプトが表示されたら、希望のユーザー名、パスワード、および任意のロールを入力します。yes を入力して選択を確認するか、no と入力して変更をキャンセルします。変更は、セキュリティーレルムの各プロパティーファイルに書き込まれます。

1. JBoss EAP 6 を停止します。

   オペレーティングシステムに適した方法で割り込みを送信して JBoss EAP 6 を停止します。JBoss EAP 6 をフォアグラウンドアプリケーションとして実行している場合は、通常、Ctrl+C を押します。

2. バインドアドレスを指定して JBoss EAP 6 を再起動します。

   -b コマンドラインスイッチを使用して、特定のインターフェースで JBoss EAP 6 を起動します。
   注記
   以下の例では、10.1.1.1 を使用した IP アドレスが利用可能である必要があります。IP アドレスを確認するには、ifconfig コマンドを使用します。

   例4.1 パブリックインターフェースの指定

   EAP_HOME/bin/domain.sh -b 10.1.1.1

   例4.2 管理インターフェースの指定

   EAP_HOME/bin/domain.sh -bmanagement=10.1.1.1

   例4.3 各インターフェースへの異なるアドレスの指定

   EAP_HOME/bin/domain.sh -bmanagement=127.0.0.1 -b 10.1.1.1

   例4.4 すべてのネットワークインターフェースへのパブリックインターフェースのバインド

   EAP_HOME/bin/domain.sh -b 0.0.0.0

手順4.1 ネットワークファイアウォールと JBoss EAP 6 が連携するための管理

1. 管理コンソールへのログイン

   管理コンソールへのログインデフォルトでは、で実行され http://localhost:9990/console/ ます。

2. ソケットバインディンググループが使用するソケットバインディングを決定します。

   1. 管理コンソールの上部にある Configuration ラベルをクリックします。
   2. General Configuration メニューを展開します。Socket Binding を選択します。
   3. Socket Binding Declarations 画面が表示されます。最初は、standard-sockets グループが表示されます。右側のコンボボックスからそのグループを選択して、別のグループを選択します。
   注記
   スタンドアロンサーバーを使用する場合は、1 つのソケットバインディンググループのみが存在します。
   ソケット名とポートのリストが表示されます（ページごとに 8 つの値）。テーブルの下にある矢印ナビゲーションを使用すると、ページを移動できます。

3. 開く必要があるポートを判断します。

   特定ポートの機能および環境の要件によっては、一部のポートをファイアウォール上で開く必要がある場合があります。

4. JBoss EAP 6 にトラフィックを転送するようファイアウォールを設定します。

   以下の手順を実行して、必要なポートでトラフィックを許可するようネットワークファイアウォールを設定します。
   1. root ユーザーとしてファイアウォールマシンにログインし、コマンドプロンプトにアクセスします。
   2. system-config-firewall コマンドを実行してファイアウォール設定ユーティリティーを起動します。ファイアウォールシステムにログインする方法に応じて、GUI またはコマンドラインユーティリティーが起動します。このタスクでは、SSH でログインし、コマンドラインインターフェースを使用します。
   3. キーボードの TAB キーを使用して Customize ボタンに移動し、ENTER キーを押します。Trusted Services 画面が表示されます。
   4. 値は変更しないでくださいが、TAB キーを使用して Forward ボタンに移動し、ENTER を押して次の画面に移動します。他のポート画面が 表示されます。
   5. TAB キーを使用して < Add> ボタンに 移動し、ENTER を押します。Port and Protocol 画面が表示されます。
   6. Port / Port Range フィールドに 5445 を入力し、TAB キーを使用して Protocol フィールドに移動し、tcp と入力します。TAB キーを使用して OK ボタンに移動し、ENTER を押します。
   7. TAB キーを使用して、Port Forwarding 画面に到達するまで Forward ボタンに移動します。
   8. TAB キーを使用して < Add> ボタン に移動し、ENTER キーを押します。
   9. 以下の値を入力して、ポート 5445 のポート転送を設定します。
      • 送信元インターフェース： eth1
      • protocol: tcp
      • ポート/ポート範囲： 5445
      • 宛先 IP アドレス： 10 .1.1.2
      • ポート/ポート範囲： 5445
      TAB キーを使用して OK ボタンに移動し、ENTER を押します。
   10. TAB キーを使用して Close ボタンに移動し、ENTER を押します。
   11. TAB キーを使用して OK ボタンに移動し、ENTER を押します。変更を適用するには、警告を確認して Yes をクリックします。

5. JBoss EAP 6 ホストでファイアウォールを設定します。

   一部の組織では、JBoss EAP 6 サーバー自体でファイアウォールを設定し、操作に必要でないすべてのポートを閉じます。「JBoss EAP 6 により使用されるネットワークポート」 を参照して開くポートを決定してから、残りを閉じます。Red Hat Enterprise Linux 6 のデフォルト設定は、22 （Secure Shell(SSH)および 5353 （マルチキャスト DNS で使用される）以外のポートをすべて閉じます。ポートを設定する際には、誤ってロックアウトしないように、サーバーに物理アクセスがあることを確認します。

手順4.2 PowerShell を使用した Microsoft Windows 上でのファイアウォールの設定

1. デバッグの目的でファイアウォールを停止し、現在のネットワークの挙動がファイアウォールの設定と関係しているかどうかを判断します。

   Start-Process "$psHome\powershell.exe" -Verb Runas -ArgumentList '-command "NetSh Advfirewall set allprofiles state off"'

2. ポート 23364 で UDP 接続を許可します。以下に例を示します。

   Start-Process "$psHome\powershell.exe" -Verb Runas -ArgumentList '-command "NetSh Advfirewall firewall add rule name="UDP Port 23364" dir=in  action=allow protocol=UDP localport=23364"'
   Start-Process "$psHome\powershell.exe" -Verb Runas -ArgumentList '-command "NetSh Advfirewall firewall add rule name="UDP Port 23364" dir=out action=allow protocol=UDP localport=23364"'

手順4.3 mod_cluster アドバタイズを許可するよう Red Hat Enterprise Linux 7 でファイアウォールを設定

• Red Hat Enterprise Linux 7 で mod_cluster のアドバタイズを有効にするには、以下のようにファイアウォールで UDP ポートを有効にする必要があります。

  firewall-cmd --permanent --zone=public --add-port=23364/udp

  注記

  UDP マルチキャストをアドバタイズする mod_cluster バランサーのデフォルトアドレスおよびポートは 224.0.1.105:23364 です。

手順4.4 JBoss Web Server が HTTPS を使用するよう設定

1. 新しい HTTPS コネクターを追加します。

   https スキーム、https ソケットバインディング（デフォルトは 8443）を使用し、セキュアに設定されている HTTPS という名前のセキュアなコネクターを作成します。

   /profile=default/subsystem=web/connector=HTTPS/:add(socket-binding=https,scheme=https,protocol=HTTP/1.1,secure=true)
   

2. SSL 暗号化証明書およびキーを設定します。

   SSL 証明書を設定し、例に独自の値を置き換えます。この例では、キーストアがサーバー設定ディレクトリー（管理対象ドメインの EAP_HOME/domain/configuration/ ）にコピーされることを前提としています。

   /profile=default/subsystem=web/connector=HTTPS/ssl=configuration:add(name=https,certificate-key-file="${jboss.domain.config.dir}/keystore.jks",password=SECRET, key-alias=KEY_ALIAS, cipher-suite=CIPHERS)
   

3. プロトコルを TLSv1 に設定します。

   /profile=default/subsystem=web/connector=HTTPS/ssl=configuration/:write-attribute(name=protocol,value=TLSv1)
   

4. アプリケーションをデプロイします。

   設定したプロファイルを使用するサーバーグループにアプリケーションをデプロイします。スタンドアロンサーバーを使用する場合は、サーバーにアプリケーションをデプロイします。新しい SSL 暗号化接続を使用する HTTPS リクエスト。

手順4.5 SSL 暗号化キーおよび証明書の生成

1. パブリックキーおよびプライベートキーとともにキーストアを生成します。<remark>Bugzilla のバグの内容を反映済み</remark>

   以下のコマンドを実行して、現在のディレクトリーにエイリアス jboss が含まれる server.keystore という名前のキーストアを生成します。

   keytool -genkeypair -alias jboss -keyalg RSA -keystore server.keystore -storepass mykeystorepass --dname "CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,S=NC,C=US"

   この keytool コマンドで使用されるパラメーターの説明は次のとおりです。

   パラメーター	説明
   -genkeypair	公開鍵と秘密鍵が含まれるキーペアを生成する keytool コマンド。
   -alias	キーストアのエイリアス。この値は任意ですが、エイリアス jboss は JBoss Web サーバーによって使用されるデフォルトです。
   -keyalg	キーペア生成アルゴリズム。この場合、これは RSA です。
   -keystore	キーストアファイルの名前および場所。デフォルトの場所は、現在のディレクトリーです。選択する名前は任意です。この場合、ファイルの名前は server.keystore になります。
   -storepass	このパスワードは、鍵を読み取りできるようにキーストアに対して認証するために使用されます。パスワードは 6 文字以上である必要があります。パスワードは、キーストアへのアクセス時に入力する必要があります。この例では、mykeystorepass を使用しています。このパラメーターを省略すると、コマンドの実行時に入力が求められます。
   -keypass	実際の鍵のパスワードです。 注記 実装の制限により、ストアと同じパスワードを使用する必要があります。
   --dname	キーの識別名を記述する引用符で囲まれた文字列（例： "CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,C=US"）。この文字列は、以下のコンポーネントを連結したものです。 CN: 共通名またはホスト名。ホスト名が "jsmith.mycompany.com" の場合、CN は jsmith になります。 OU - 組織単位（例： Engineering） O - 組織名（例： mycompany.com）。 l - ローカリティー（例： Raleigh または「London」） s - "NC" など、状態または 提案 について参照してください。このパラメーターは任意です。 c - 2 文字の国コード。たとえば、「US」または「UK」です。

   上記のコマンドを実行すると、次の情報が要求されます。

   • コマンドラインで -storepass パラメーターを使用しなかった場合は、キーストアパスワードを入力するように求められます。次のプロンプトで新しいパスワードを再入力します。
   • コマンドラインで -keypass パラメーターを使用しない場合は、キーパスワードを入力するように求められます。Enter を押して、キーストアパスワードと同じ値に設定します。
   コマンドが完了すると、ファイル server.keystore にエイリアス jboss のある単一のキーが含まれるようになりました。

2. 鍵を確認します。

   以下のコマンドを使用して、キーが正常に動作することを検証します。

   keytool -list -keystore server.keystore

   キーストアパスワードの入力が求められます。キーストアの内容が表示されます（この場合は、jbossと呼ばれる単一のキー）。jboss キーのタイプ( PrivateKeyEntry )に注目してください。これは、キーストアにこのキーのパブリックおよびプライベートエントリーの両方が含まれることを示します。

3. 証明書の署名要求を生成します。

   次のコマンドを実行し、手順 1 で作成したキーストアより公開鍵を使用して証明書署名要求を生成します。

   keytool -certreq -keyalg RSA -alias jboss -keystore server.keystore -file certreq.csr

   キーストアに対して認証を行うためにパスワードが要求されます。次に、keytool コマンドは、現在の作業ディレクトリーに certreq.csr という新しい証明書署名要求を作成します。

4. 新しく生成された証明書署名要求をテストします。

   以下のコマンドを使用して証明書の内容をテストします。

   openssl req -in certreq.csr -noout -text

   証明書の詳細が表示されます。

5. オプション: 証明書署名要求を認証局 (CA) に送信します。

   認証局(CA)は証明書を認証できるため、サードパーティークライアントが信用できると見なされます。CA は署名済み証明書を提供し、必要に応じて 1 つ以上の中間証明書を提供します。

6. オプション: キーストアからの自己署名証明書のエクスポート

   テストまたは内部目的でのみ必要な場合は、自己署名証明書を使用できます。以下のように、手順 1 で作成したキーストアからエクスポートできます。

   keytool -export -alias jboss -keystore server.keystore -file server.crt

   キーストアに対して認証を行うためにパスワードが要求されます。現在の作業ディレクトリーに、server.crt という名前の自己署名証明書が作成されます。

7. 署名済み証明書を中間証明書とともにインポートします。

   CA によって指示された順序で各証明書をインポートします。インポートする証明書ごとに、intermediate.ca または server.crt を実際のファイル名に置き換えます。証明書が個別のファイルとして提供されない場合は、各証明書に個別のファイルを作成し、その内容をファイルに貼り付けます。
   注記
   署名済み証明書および証明書キーは、有用なアセットです。サーバー間での転送方法に注意してください。

   keytool -import -keystore server.keystore -alias intermediateCA -file intermediate.ca

   keytool -importcert -alias jboss -keystore server.keystore -file server.crt

8. 証明書が正常にインポートされたことをテストします。

   以下のコマンドを実行し、プロンプトが表示されたらキーストアのパスワードを入力します。キーストアの内容が表示され、証明書はリストに含まれます。

   keytool -list -keystore server.keystore

手順5.1 デフォルトセキュリティーレルムからのサイレント認証の削除

• 管理 CLI でのサイレント認証の削除

  必要に応じて、管理レルムとアプリケーションレルムから local 要素を削除します。
  1. 管理レルムから local 要素を削除します。

     • スタンドアロンの場合

       /core-service=management/security-realm=ManagementRealm/authentication=local:remove

     • 管理対象ドメインの場合

       /host=HOST_NAME/core-service=management/security-realm=ManagementRealm/authentication=local:remove

  2. Application Realm から local 要素を削除します。

     • スタンドアロンの場合

       /core-service=management/security-realm=ApplicationRealm/authentication=local:remove

     • 管理対象ドメインの場合

       /host=HOST_NAME/core-service=management/security-realm=ApplicationRealm/authentication=local:remove

手順5.2

1. キーストアを作成して管理コンソールをセキュアにします。

   注記
   管理コンソールは JCEKS 形式のキーストアと互換性がないため、このキーストアは JKS 形式である必要があります。
   端末エミュレーターで以下のコマンドを入力します。パラメーター エイリアス、keypass、keystore、storepass、および dname の場合は、サンプル値を任意の値に置き換えます。
   パラメーター validity は、キーが有効な日数を指定します。730 の値は 2 年と等しくなります。

   keytool -genkeypair -alias appserver -storetype jks -keyalg RSA -keysize 2048 -keypass password1 -keystore EAP_HOME/standalone/configuration/identity.jks -storepass password1 -dname "CN=appserver,OU=Sales,O=Systems Inc,L=Raleigh,ST=NC,C=US" -validity 730 -v

2. 管理コンソールが HTTPS にバインドされていることを確認します。

   • スタンドアロンモード

     management-https 設定を追加し、management-http 設定を削除して、管理コンソールがインターフェースの HTTPS にバインドされていることを確認します。
     JBoss EAP インスタンスが稼働していることを確認してから、以下の管理 CLI コマンドを入力します。

     /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

     /core-service=management/management-interface=http-interface:undefine-attribute(name=socket-binding)

     これらのコマンドの出力は以下のようになります。

     {"outcome" => "success"}
     

     注記
     この時点で、JBoss EAP ログに以下のエラーメッセージが表示されることがあります。SSL 設定が完了していないため、これは想定されています。

     JBAS015103: A secure port has been specified for the HTTP interface but no SSL configuration in the realm.
     

   • ドメインモード

     secure-port を追加し、ポート設定を削除して、management-interface セクション内の socket 要素を変更します。
     JBoss EAP インスタンスが稼働していることを確認してから、以下の管理 CLI コマンドを入力します。

     /host=master/core-service=management/management-interface=http-interface:write-attribute(name=secure-port,value=9443)
     /host=master/core-service=management/management-interface=http-interface:undefine-attribute(name=port)

     注記
     この時点で、JBoss EAP ログに以下のエラーメッセージが表示されることがあります。SSL 設定が完了していないため、これは想定されています。

     JBAS015103: A secure port has been specified for the HTTP interface but no SSL configuration in the realm.
     

3. オプション： カスタムの socket-binding グループ

   カスタムの socket-binding グループを使用している場合は、management-https バインディングが定義されていることを確認します（デフォルトではポート 9443にバインドされます）。マスター設定ファイル（例： standalone.xml ）を編集して以下と一致させます。

    <socket-binding-group name="standard-sockets" default-interface="public" port-offset="${jboss.socket.binding.port-offset:0}">
           <socket-binding name="management-native" interface="management" port="${jboss.management.native.port:9999}"/>
           <socket-binding name="management-http" interface="management" port="${jboss.management.http.port:9990}"/>
           <socket-binding name="management-https" interface="management" port="${jboss.management.https.port:9443}"/>
   
   

4. セキュリティーレルムを新たに作成します。

   以下のコマンドを入力して ManagementRealmHTTPS という名前の新規セキュリティーレルムを作成します。

   /host=master/core-service=management/security-realm=ManagementRealmHTTPS/:add
   /host=master/core-service=management/security-realm=ManagementRealmHTTPS/authentication=properties/:add(path=ManagementUsers.properties, relative-to=jboss.domain.config.dir)

5. 新しいセキュリティーレルムを使用するように管理インターフェースを設定

   以下のコマンドを実行します。

   /host=master/core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=ManagementRealmHTTPS)

6. キーストアを使用するように管理コンソールを設定します。

   以下の管理 CLI コマンドを入力します。パラメーター ファイル では、パスワード と エイリアス の値を手順からコピーして 『管理コンソールをセキュアにする』 必要があります。

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:add(keystore-path=identity.jks,keystore-relative-to=jboss.server.config.dir, keystore-password=password1, alias=appserver)

   このコマンドからの出力は以下のようになります。

   {
       "outcome" => "success",
       "response-headers" => {
           "operation-requires-reload" => true,
           "process-state" => "reload-required"
       }
   }

7. JBoss EAP サーバーを再起動します。

   サーバーの再起動時には、起動したサービスの数を示すテキストの直前にログが含まれるはずです。管理コンソールはポート 9443 でリッスンし、手順が成功したことを確認します。

   14:53:14,720 INFO  [org.jboss.as] (Controller Boot Thread) JBAS015962: Http management interface listening on https://127.0.0.1:9443/management
   14:53:14,721 INFO  [org.jboss.as] (Controller Boot Thread) JBAS015952: Admin console listening on https://127.0.0.1:9443
   

手順5.3

1. ストアを生成します。

   keytool -genkeypair -alias HOST1_alias -keyalg RSA -keysize 1024 -validity 365 -keystore host1.keystore.jks -dname "CA_HOST1" -keypass secret -storepass secret

   keytool -genkeypair -alias HOST2_alias -keyalg RSA -keysize 1024 -validity 365 -keystore host2.keystore.jks -dname "CA_HOST2" -keypass secret -storepass secret

2. 証明書をエクスポートします。

   keytool -exportcert  -keystore HOST1.keystore.jks -alias HOST1_alias -keypass secret -storepass secret -file HOST1.cer
   

   keytool -exportcert  -keystore HOST2.keystore.jks -alias HOST2_alias -keypass secret -storepass secret -file HOST2.cer
   

3. 逆のトラストストアに証明書をインポートします。

   keytool -importcert -keystore HOST1.truststore.jks -storepass secret -alias HOST2_alias -trustcacerts -file HOST2.cer
   

   keytool -importcert -keystore HOST2.truststore.jks -storepass secret -alias HOST1_alias -trustcacerts -file HOST1.cer
   

4. インストール（host.xml または standalone.xml）の設定で CertificateRealm を定義し、インターフェースを指定します。
   これは、設定ファイルを手動で編集するか（推奨されません）、または以下のコマンドを使用して実行できます。

   /core-service=management/security-realm=CertificateRealm:add()

   /core-service=management/security-realm=CertificateRealm/server-identity=ssl:add(keystore-path=/path/to/HOST1.keystore.jks,keystore-password=secret, alias=HOST1_alias)

   /core-service=management/security-realm=CertificateRealm/authentication=truststore:add(keystore-path=/path/to/HOST1.truststore.jks,keystore-password=secret)

   重要
   提供されるコマンドはスタンドアロンモードにのみ適用されます。ドメインモードの場合は、各コマンドの前に /host=master を追加します。
5. native-interface の security-realm を新しい証明書レルムに変更します。

   /host=master/core-service=management/management-interface=native-interface:write-attribute(name=security-realm,value=CertificateRealm)

6. EAP_HOME/bin/jboss-cli.xml を設定ファイルとして使用する CLI の SSL 設定を追加します。パスワード vault を使用してキーストアおよびトラストストアパスワードを保存するか（推奨）、プレーンテキストに保存します。
   • キーストアおよびトラストストアパスワードをパスワード vault に保存するには、以下を実行します。
     EAP_HOME/bin/jboss-cli.xml を編集し、SSL 設定を追加します（変数に適切な値を使用）。また、vault 設定を追加して、各値を vault のものに置き換えます。

     <ssl>
       <vault>
         <vault-option name="KEYSTORE_URL" value="path-to/vault/vault.keystore"/>
         <vault-option name="KEYSTORE_PASSWORD" value="MASK-5WNXs8oEbrs"/>
         <vault-option name="KEYSTORE_ALIAS" value="vault"/>
         <vault-option name="SALT" value="12345678"/>
         <vault-option name="ITERATION_COUNT" value="50"/>
         <vault-option name="ENC_FILE_DIR" value="path-to/jboss-eap/vault/"/>
       </vault>
       <alias>$HOST2alias</alias>
       <key-store>/path/to/HOST2.keystore.jks</key-store>
       <key-store-password>VAULT::VB::cli_pass::1</key-store-password>
       <key-password>VAULT::VB::cli_pass::1</key-password>  
       <trust-store>/path/to/HOST2.truststore.jks</trust-store>
       <trust-store-password>VAULT::VB::cli_pass::1</trust-store-password>
       <modify-trust-store>true</modify-trust-store>
     </ssl>
     

   • キーストアおよびトラストストアパスワードをプレーンテキストに保存するには、以下を行います。
     EAP_HOME/bin/jboss-cli.xml を編集し、SSL 設定を追加します（変数に適切な値を使用します）。

     <ssl>
       <alias>$HOST2alias</alias>
       <key-store>/path/to/HOST2.keystore.jks</key-store>
       <key-store-password>secret</key-store-password>
       <trust-store>/path/to/HOST2.truststore.jks</trust-store>
       <trust-store-password>secret</trust-store-password>
       <modify-trust-store>true</modify-trust-store>
     </ssl>
     

手順7.1 パスワード vault を設定および使用するための基本的な手順

1. パスワード暗号化のキーを保存するように Java キーストアを設定します。
   キーストアの作成に関する詳細は、「機密性が高い文字列を格納する Java キーストアの作成」 を参照してください。
2. パスワード vault を初期化します。
   パスワードをマスクし、パスワード値を初期化する方法は、「パスワード vault の初期化」 を参照してください。
3. パスワード vault を使用するように JBoss EAP 6 を設定します。
   パスワード vault を使用するように EAP 6 を設定する方法は、「パスワード vault を使用するよう JBoss EAP 6 を設定」 を参照してください。
4. パスワード vault に Sensitive 文字列を保存します。
   パスワード vault に機密文字列を保存する方法は、「パスワード Vault に Sensitive 文字列を保存します。」 を参照してください。
5. パスワード vault を使用するように JBoss EAP 6 を設定します。
   パスワード vault を使用するよう JBoss EAP 6 を設定する方法は、「パスワード vault を使用するよう JBoss EAP 6 を設定」 を参照してください。カスタムの実装については、「パスワード Vault のカスタム実装を使用するよう JBoss EAP 6 を設定」 を参照してください。
   注記
   設定で暗号化された機密文字列を使用するには、「暗号化した機密文字列を設定で使用」 を参照してください。

   アプリケーションで暗号化された機密文字列を使用するには、「アプリケーションで暗号化した機密文字列の使用」 を参照してください。

   パスワード vault で機密文字列を確認するには、「機密文字列がパスワード vault 内にあるかどうかを確認します。」 を参照してください。

   パスワード vault から機密文字列を削除するには、「パスワード vault からの機密文字列の削除」 を参照してください。

手順7.2 Java キーストアの設定

1. キーストアと他の暗号化された情報を格納するディレクトリーを作成します。

   キーストアおよびその他の重要な情報を保存するディレクトリーを作成します。この手順では、ディレクトリーは EAP_HOME/vault/ であることを前提としています。このディレクトリーには機密情報が含まれるため、アクセスは、一部のユーザーに制限する必要があります。JBoss EAP を実行しているユーザーアカウントには少なくとも読み書き込みアクセスが必要です。

2. keytool ユーティリティーで使用するパラメーターを決定します。

   以下のパラメーターの値を決めます。

   alias

   エイリアスは、vault やキーストアに保存されている他のデータの一意識別子です。エイリアスは大文字と小文字を区別しません。

   storetype

   ストアタイプはキーストアのタイプを指定します。値は、jceks が推奨されます。

   keyalg

   暗号化に使用するアルゴリズム。JRE およびオペレーティングシステムのドキュメントを参照して、利用可能な他の選択肢を確認します。

   keysize

   暗号化キーのサイズは、ブルートフォースでの暗号解除の難易度に影響します。適切な値の詳細は、keytool ユーティリティーとともに配布されるドキュメントを参照してください。

   storepass

   storepass の値は、キーストアに対する認証に使用されるパスワードであるため、キーを読み取ることができます。パスワードは 6 文字以上である必要があります。パスワードは、キーストアへのアクセス時に入力する必要があります。このパラメーターを省略すると、コマンドの実行時に入力が求められます。

   keypass

   keypass の値は、特定のキーへのアクセスに使用されるパスワードで、storepass パラメーターの値と一致する必要があります。

   validity

   validity の値は、鍵の有効期間（日数）です。

   keystore

   キーストア の値は、キーストアの値が保存されるファイルパスおよびファイル名です。キーストアファイルは、データが最初に追加されると作成されます。

   正しいファイルパスセパレーターを使用するようにしてください。Red Hat Enterprise Linux や同様のオペレーティングシステムの場合は / （スラッシュ）、Microsoft Windows Server の場合は \ （バックスラッシュ）を使用してください。

   Keytool ユーティリティー に は、その他の多くのオプションがあります。詳細は、JRE またはオペレーティングシステムのドキュメントを参照してください。

3. keytool コマンドを実行します。

   オペレーティングシステムのコマンドラインインターフェースを起動し、収集した情報を指定して keytool ユーティリティーを実行します。

手順7.3 パスワード vault コマンドを対話的に実行

1. パスワード vault コマンドをインタラクティブに起動します。

   オペレーティングシステムのコマンドラインインターフェースを起動し、EAP_HOME/bin/vault.sh （Red Hat Enterprise Linux および同様のオペレーティングシステム）または EAP_HOME\bin\vault.bat （Microsoft Windows Server 上）を実行します。新しい対話セッションを開始するには、0 (ゼロ) と入力します。

2. 要求パラメーターを入力します。

   プロンプトに従って必要なパラメーターを入力します。

3. マスクされたパスワード情報をメモします。

   マスクされたパスワード、salt、iteration count (反復数) は、標準出力に出力されます。安全な場所にそれらを書き留めておきます。これらのエントリーは、パスワード Vault に追加する必要があります。キーストアファイルおよびこの値にアクセスすると、攻撃者はパスワード Vault の機密情報にアクセスできるようになります。

4. 対話式コンソールを終了します。

   対話式コンソールを終了するには、3 （3 つ）と入力します。

手順7.4 パスワード vault コマンドを非対話的に実行

• オペレーティングシステムのコマンドラインインターフェースを起動し、パスワード Vault コマンドを実行します。プレースホルダーの値を優先する値に置き換える概要 のリストを参照してください。
  Red Hat Enterprise Linux または同様のオペレーティングシステムでは EAP_HOME/bin/vault.sh、Microsoft Windows Server では EAP_HOME\bin\vault.bat を使用します。

  vault.sh --keystore KEYSTORE_URL --keystore-password KEYSTORE_PASSWORD --alias KEYSTORE_ALIAS --vault-block VAULT_BLOCK --attribute ATTRIBUTE --sec-attr SEC-ATTR --enc-dir ENC_FILE_DIR --iteration ITERATION_COUNT --salt SALT

  例7.3 パスワード vault コマンドを非対話的に実行

  vault.sh --keystore EAP_HOME/vault/vault.keystore --keystore-password vault22 --alias vault --vault-block vb --attribute password --sec-attr 0penS3sam3 --enc-dir EAP_HOME/vault/ --iteration 120 --salt 1234abcd

  コマンド出力

  =========================================================================
  
    JBoss Vault
  
    JBOSS_HOME: EAP_HOME
  
    JAVA: java
  
  =========================================================================
  
  Oct 17, 2014 2:23:43 PM org.picketbox.plugins.vault.PicketBoxSecurityVault init
  INFO: PBOX000361: Default Security Vault Implementation Initialized and Ready
  Secured attribute value has been stored in vault. 
  Please make note of the following:
  ********************************************
  Vault Block:vb
  Attribute Name:password
  Configuration should be done as follows:
  VAULT::vb::password::1
  ********************************************
  Vault Configuration in AS7 config file:
  ********************************************
  ...
  </extensions>
  <vault>
    <vault-option name="KEYSTORE_URL" value="EAP_HOME/vault/vault.keystore"/>
    <vault-option name="KEYSTORE_PASSWORD" value="MASK-5dOaAVafCSd"/>
    <vault-option name="KEYSTORE_ALIAS" value="vault"/>
    <vault-option name="SALT" value="1234abcd"/>
    <vault-option name="ITERATION_COUNT" value="120"/>
    <vault-option name="ENC_FILE_DIR" value="EAP_HOME/vault/"/>
  </vault><management> ...
  ********************************************
  
  

手順7.5 パスワード vault の有効化

• 以下の管理 CLI コマンドを実行し、「パスワード vault の初期化」 のパスワード vault コマンドの出力からプレースホルダーの値を置換します。
  注記
  Microsoft Windows Server を使用する場合は、通常 1 つを使用するファイルパスでバックスラッシュ(\\)を使用します。例: C:\\data\\vault\\vault.keystoreこれは、単一のバックスラッシュ(\)が文字エスケープに使用されるためです。

  /core-service=vault:add(vault-options=[("KEYSTORE_URL" => "PATH_TO_KEYSTORE"), ("KEYSTORE_PASSWORD" => "MASKED_PASSWORD"), ("KEYSTORE_ALIAS" => "ALIAS"), ("SALT" => "SALT"),("ITERATION_COUNT" => "ITERATION_COUNT"), ("ENC_FILE_DIR" => "ENC_FILE_DIR")])

手順7.6 パスワード vault のカスタム実装の使用

1. インターフェース SecurityVault を実装するクラスを作成します。
2. 前の手順のクラスが含まれるモジュールを作成し、インターフェースが org.picketbox である SecurityVault の依存関係を指定します。
3. 以下の属性を用いて vault 要素を追加して、JBoss EAP サーバー設定でカスタムのパスワード vault を有効にします。

   code

   SecurityVault を実装するクラスの完全修飾名。

   モジュール

   カスタムクラスが含まれるモジュールの名前。

   必要に応じて、vault-options パラメーターを使用して、パスワード Vault のカスタムクラスを初期化できます。

   例7.5 vault-options パラメーターを使用してカスタムクラスを初期化

   /core-service=vault:add(code="custom.vault.implementation.CustomSecurityVault", module="custom.vault.module", vault-options=[("KEYSTORE_URL" => "PATH_TO_KEYSTORE"), ("KEYSTORE_PASSWORD" => "MASKED_PASSWORD"), ("KEYSTORE_ALIAS" => "ALIAS"), ("SALT" => "SALT"),("ITERATION_COUNT" => "ITERATION_COUNT"), ("ENC_FILE_DIR" => "ENC_FILE_DIR")])

手順7.7 対話式での機密文字列の保存

1. パスワード vault コマンドの実行

   オペレーティングシステムのコマンドラインインターフェースを起動し、パスワード Vault コマンドを実行します。Red Hat Enterprise Linux または同様のオペレーティングシステムでは EAP_HOME/bin/vault.sh、Microsoft Windows Server では EAP_HOME\bin\vault.bat を使用します。新しい対話セッションを開始するには、0 (ゼロ) と入力します。

2. パスワード vault に関するパラメーターの入力

   プロンプトに従って必要な認証パラメーターを入力します。これらの値は、パスワード vault の作成時に提供された値と一致している必要があります。
   注記
   キーストアパスワードは、マスク形式ではなく、プレーンテキスト形式で指定する必要があります。

3. 機密文字列に関するパラメーターの入力

   機密文字列の保存を開始する場合は 0 (ゼロ) を入力します。プロンプトに従って必要なパラメーターを入力します。

4. マスクされた文字列に関する情報を書き留めておきます。

   メッセージは標準出力に出力され、vault ブロック、属性名、マスクされた文字列、設定で文字列の使用に関するアドバイスを表示します。この情報は、安全な場所にメモしておいてください。出力例を以下に示します。

   Vault Block:ds_Example1
   Attribute Name:password
   Configuration should be done as follows:
   VAULT::ds_Example1::password::1
   

5. 対話式コンソールを終了します。

   対話式コンソールを終了するには、3 （3 つ）を入力します。

手順7.8 機密文字列を非対話的に保存する

1. オペレーティングシステムのコマンドラインインターフェースを起動し、パスワード Vault コマンドを実行します。Red Hat Enterprise Linux または同様のオペレーティングシステムでは EAP_HOME/bin/vault.sh、Microsoft Windows Server では EAP_HOME\bin\vault.bat を使用します。
   プレースホルダーの値を実際の値に置き換えます。パラメーター KEYSTORE_URL、KEYSTORE_PASSWORD、および KEYSTORE_ALIAS の値は、パスワード vault の作成時に提供された値と一致している必要があります。
   注記
   キーストアパスワードは、マスク形式ではなく、プレーンテキスト形式で指定する必要があります。

   EAP_HOME/bin/vault.sh --keystore KEYSTORE_URL --keystore-password KEYSTORE_PASSWORD --alias KEYSTORE_ALIAS --vault-block VAULT_BLOCK --attribute ATTRIBUTE --sec-attr SEC-ATTR --enc-dir ENC_FILE_DIR --iteration ITERATION_COUNT --salt SALT

2. マスクされた文字列に関する情報を書き留めておきます。

   メッセージは標準出力に出力され、vault ブロック、属性名、マスクされた文字列、設定で文字列の使用に関するアドバイスを表示します。この情報は、安全な場所にメモしておいてください。出力例を以下に示します。

   Vault Block:vb
   Attribute Name:password
   Configuration should be done as follows:
   VAULT::vb::password::1
   

手順7.9 対話式での機密文字列の確認

1. パスワード vault コマンドの実行

   オペレーティングシステムのコマンドラインインターフェースを起動し、パスワード Vault コマンドを実行します。Red Hat Enterprise Linux または同様のオペレーティングシステムでは EAP_HOME/bin/vault.sh、Microsoft Windows Server では EAP_HOME\bin\vault.bat を使用します。新しい対話セッションを開始するには、0 (ゼロ) と入力します。

2. パスワード vault に関するパラメーターの入力

   プロンプトに従って必要な認証パラメーターを入力します。これらの値は、パスワード vault の作成時に提供された値と一致している必要があります。
   注記
   キーストアパスワードは、マスク形式ではなく、プレーンテキスト形式で指定する必要があります。
3. 1 (one)を入力して「Check whether a secured attribute exists」を選択します。
4. 機密文字列を保存する vault ブロックの名前を入力します。
5. チェックする機密文字列の名前を入力します。

手順7.10 非対話的な文字列の確認

• オペレーティングシステムのコマンドラインインターフェースを起動し、パスワード Vault コマンドを実行します。Red Hat Enterprise Linux または同様のオペレーティングシステムでは EAP_HOME/bin/vault.sh、Microsoft Windows Server では EAP_HOME\bin\vault.bat を使用します。
  プレースホルダーの値を実際の値に置き換えます。パラメーター KEYSTORE_URL、KEYSTORE_PASSWORD-password、および KEYSTORE_ALIAS の値は、パスワード vault の作成時に提供された値と一致している必要があります。
  注記
  キーストアパスワードは、マスク形式ではなく、プレーンテキスト形式で指定する必要があります。

  EAP_HOME/bin/vault.sh --keystore KEYSTORE_URL --keystore-password KEYSTORE_PASSWORD --alias KEYSTORE_ALIAS --check-sec-attr --vault-block VAULT_BLOCK --attribute ATTRIBUTE --enc-dir ENC_FILE_DIR --iteration ITERATION_COUNT --salt SALT

手順7.11 対話式での機密文字列の削除

1. パスワード vault コマンドの実行

   オペレーティングシステムのコマンドラインインターフェースを起動し、EAP_HOME/bin/vault.sh （Red Hat Enterprise Linux および同様のオペレーティングシステム）または EAP_HOME\bin\vault.bat （Microsoft Windows Server 上）を実行します。0 （ゼロ）を入力して、新しい対話セッションを開始します。

2. 認証の詳細

   プロンプトに従って必要な認証パラメーターを入力します。これらの値は、パスワード vault の作成時に提供された値と一致している必要があります。
   注記
   キーストアパスワードは、マスク形式ではなく、プレーンテキスト形式で指定する必要があります。
3. 2 を入力して、セキュアな属性を削除 するオプションを選択します。
4. 機密文字列を保存する vault ブロックの名前を入力します。
5. 削除する機密文字列の名前を入力します。

手順7.12 非対話的な文字列の削除

• オペレーティングシステムのコマンドラインインターフェースを起動し、パスワード Vault コマンドを実行します。Red Hat Enterprise Linux または同様のオペレーティングシステムでは EAP_HOME/bin/vault.sh、Microsoft Windows Server では EAP_HOME\bin\vault.bat を使用します。
  プレースホルダーの値を実際の値に置き換えます。パラメーター KEYSTORE_URL、KEYSTORE_PASSWORD、および KEYSTORE_ALIAS の値は、パスワード vault の作成時に提供された値と一致している必要があります。
  注記
  キーストアパスワードは、マスク形式ではなく、プレーンテキスト形式で指定する必要があります。

  EAP_HOME/bin/vault.sh --keystore KEYSTORE_URL --keystore-password KEYSTORE_PASSWORD --alias KEYSTORE_ALIAS --remove-sec-attr --vault-block VAULT_BLOCK --attribute ATTRIBUTE --enc-dir ENC_FILE_DIR --iteration ITERATION_COUNT --salt SALT