サーバーセキュリティーの設定方法

1. key-store を設定します。

   /subsystem=elytron/key-store=httpsKS:add(path=keystore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)

   注記

   上記のコマンドは、relative-to を使用してキーストアファイルの場所を参照します。または、path のキーストアにフルパスを指定することで、relative-to を省略できます。

   キーストアファイルが存在しない場合は、以下のコマンドを使用してサンプルキーペアを生成できます。

   /subsystem=elytron/key-store=httpsKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
   
   /subsystem=elytron/key-store=httpsKS:store()

2. key-manager および server-ssl-context を作成します。

   /subsystem=elytron/key-manager=httpsKM:add(key-store=httpsKS,algorithm="SunX509",credential-reference={clear-text=secret})
   
   /subsystem=elytron/server-ssl-context=httpsSSC:add(key-manager=httpsKM,protocols=["TLSv1.2"])

   重要

   使用している JDK によるキーマネージャーアルゴリズムを知る必要があります。たとえば、SunJSSE を使用する JDK は、PKIX および SunX509 アルゴリズムを提供します。また、使用する HTTPS プロトコルを決定する必要もあります。上記のコマンド例は TLSv1.2 を使用します。cipher-suite-filter 引数を使用して、許可される暗号スイートを指定でき、use-cipher-suites-order 引用して、サーバーの暗号スイートの順序を許可します。use-cipher-suites-order 属性はデフォルトで true に設定されます。これは、レガシー security サブシステムの動作とは異なります。その動作は、デフォルトで、クライアント暗号スイートの順序を許可します。

3. 管理インターフェイスで HTTPS を有効にします。

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=httpsSSC)
   
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

4. JBoss EAP インスタンスをリロードします。

   reload

1. 管理コンソールにアクセスします。詳細は、JBoss EAP設定ガイド の 管理コンソール を参照してください。
2. Runtime に移動して、該当するサーバー名をクリックします。
3. サーバー名の横にある 表示 をクリックします。
4. HTTP Manageme…​ をクリックし、HTTP Management Interface 設定ページを開きます。

5. Enable SSL をクリックしてウィザードを起動します。

   このウィザードでは、以下のシナリオで、SSL を有効にする方法を順を追ってガイドします。

   • 証明書ストアを作成し、自己署名証明書を生成する。
   • Let's Encrypt 認証局から証明書を取得したい。
   • 証明書ストアはすでにファイルシステムにあるが、キーストアの設定がない。
   • 有効な証明書ストアを使用するキーストアの設定が存在する。

1. クライアントキーストアを取得または生成します。

   $ keytool -genkeypair -alias client -keyalg RSA -keysize 1024 -validity 365 -keystore client.keystore.jks -dname "CN=client" -keypass secret -storepass secret

2. クライアント証明書をエクスポートします。

   $ keytool -exportcert  -keystore client.keystore.jks -alias client -keypass secret -storepass secret -file /path/to/client.cer

3. JBoss EAP では、管理インターフェイスの双方向 SSL/TLS は、security コマンドまたは elytron サブシステムコマンドのいずれかを使用して有効にできます。

   1. セキュリティーコマンドの使用

      security enable-ssl-management コマンドを使用すると、管理インターフェイスに双方向 SSL/TLS を有効にできます。

      注記

      以下の例では、信頼チェーンが存在しないので、証明書は検証されません。信頼された証明書を使用している場合、クライアントの証明書は問題なく検証できます。

      例: ウィザードの使用

      security enable-ssl-management --interactive
      
      Please provide required pieces of information to enable SSL:
      Key-store file name (default management.keystore): server.keystore.jks
      Password (blank generated): secret
      What is your first and last name? [Unknown]: localhost
      What is the name of your organizational unit? [Unknown]:
      What is the name of your organization? [Unknown]:
      What is the name of your City or Locality? [Unknown]:
      What is the name of your State or Province? [Unknown]:
      What is the two-letter country code for this unit? [Unknown]:
      Is CN=Unknown, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown correct y/n [y]?
      Validity (in days, blank default): 365
      Alias (blank generated): localhost
      Enable SSL Mutual Authentication y/n (blank n): y
      Client certificate (path to pem file): /path/to/client.cer
      Validate certificate y/n (blank y): n
      Trust-store file name (management.truststore): server.truststore.jks
      Password (blank generated): secret
      
      SSL options:
      key store file: server.keystore.jks
      distinguished name: CN=localhost, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown
      password: secret
      validity: 365
      alias: localhost
      client certificate: /path/to/client.cer
      trust store file: server.trustore.jks
      trust store password: secret
      Server keystore file server.keystore.jks, certificate file server.pem and server.csr file will be generated in server configuration directory.
      Server truststore file server.trustore.jks will be generated in server configuration directory.
      Do you confirm y/n: y

      注記

      コマンドを実行すると、管理 CLI がサーバーを再読み込みし、そのサーバーへの再接続を試みます。

      双方向 SSL/TLS 認証を完了するには、サーバーの証明書をクライアントトラストストアにインポートし、クライアント証明書を表示するようにクライアントを設定する必要があります。

   2. Elytron サブシステムコマンドの使用:

      elytron サブシステムコマンドを使用して、管理インターフェイスに双方向 SSL/TLS を有効にすることもできます。

      1. キーストアを取得または生成します。JBoss EAP で一方向 SSL/TLS を有効にするには、使用する予定のキーストア、トラストストア、および証明書を取得または生成する必要があります。キーストア、トラストストア、および証明書の一連のサンプルを生成するには、以下のコマンドを使用します。

         1. key-store を設定します。

            /subsystem=elytron/key-store=twoWayKS:add(path=server.keystore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)
            
            /subsystem=elytron/key-store=twoWayKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
            
            /subsystem=elytron/key-store=twoWayKS:store()

            注記

            上記のコマンドは、relative-to を使用してキーストアファイルの場所を参照します。または、path のキーストアにフルパスを指定することで、relative-to を省略できます。

         2. サーバー証明書をエクスポートします。

            /subsystem=elytron/key-store=twoWayKS:export-certificate(alias=localhost,path=/path/to/server.cer,pem=true)

         3. サーバートラストストアの key-store を作成し、クライアント証明書をサーバートラストストアにインポートします。

            注記

            以下の例では、信頼チェーンが存在しないので、証明書は検証されません。信頼された証明書を使用している場合、クライアントの証明書は問題なく検証できます。

            /subsystem=elytron/key-store=twoWayTS:add(path=server.truststore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)
            
            /subsystem=elytron/key-store=twoWayTS:import-certificate(alias=client,path=/path/to/client.cer,credential-reference={clear-text=secret},trust-cacerts=true,validate=false)
            
            /subsystem=elytron/key-store=twoWayTS:store()

      2. サーバーキーストアおよびトラストストアの key-manager、trust-manager、および server-ssl-context を設定します。

         /subsystem=elytron/key-manager=twoWayKM:add(key-store=twoWayKS,credential-reference={clear-text=secret})
         
         /subsystem=elytron/trust-manager=twoWayTM:add(key-store=twoWayTS,algorithm="SunX509")
         
         /subsystem=elytron/server-ssl-context=twoWaySSC:add(key-manager=twoWayKM,protocols=["TLSv1.2"],trust-manager=twoWayTM,want-client-auth=true,need-client-auth=true)

         重要

         使用している JDK によるキーマネージャーアルゴリズムを知る必要があります。たとえば、SunJSSE を使用する JDK は、PKIX および SunX509 アルゴリズムを提供します。また、使用する HTTPS プロトコルを決定する必要もあります。上記のコマンド例は TLSv1.2 を使用します。cipher-suite-filter 引数を使用して、許可される暗号スイートを指定でき、use-cipher-suites-order 引用して、サーバーの暗号スイートの順序を許可します。use-cipher-suites-order 属性はデフォルトで true に設定されます。これは、レガシー security サブシステムの動作とは異なります。その動作は、デフォルトで、クライアント暗号スイートの順序を許可します。

         1. 管理インターフェイスで HTTPS を有効にします。

            /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=twoWaySSC)
            
            /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

         2. JBoss EAP インスタンスをリロードします。

            reload

            注記

            双方向 SSL/TLS 認証を完了するには、サーバーの証明書をクライアントトラストストアにインポートし、クライアント証明書を表示するようにクライアントを設定する必要があります。

         3. クライアント証明書を使用するようにクライアントを設定します。

            双方向 SSL / TLS 認証を完了するには、信頼されたクライアント証明書をサーバーに提示するようにクライアントを設定する必要があります。たとえば、ブラウザーを使用している場合は、信頼された証明書をブラウザーの信頼ストアにインポートする必要があります。

            これにより、サーバー管理への元の認証を変更せずに、双方向 SSL/TLS 認証を強制できます。

            元の認証方法を変更する場合は、JBoss EAPHow to Configure Identity Managementの Configure Authentication with Certificates を参照してください。

1. キーストアを作成して、管理インターフェイスをセキュア化 。
2. 管理インターフェイスが HTTPS にバインドされていることを確認します 。
3. オプション: カスタムの socket-binding-group を実装します。
4. 新しいセキュリティーレルムを作成します 。
5. 新しいセキュリティーレルムを使用するように管理インターフェイスを設定します 。
6. キーストアを使用するように管理インターフェイスを設定します 。
7. jboss-cli.xml を更新します 。

1. ユーザー名とパスワードを格納するプロパティーファイルを作成します。

   ユーザー名とパスワードは後でファイルに追加できます。ただし、現在は、https-mgmt-users.properties という名前で空のファイルを作成し、その場所に保存する必要があります。以下の例は、touch コマンドの使用を示しています。しかし、テキストエディターなどの他のメカニズムを使用することもできます。

   例: touch コマンドを使用した空のファイルの作成

   $ touch EAP_HOME/standalone/configuration/https-mgmt-users.properties

2. 次に、以下の管理 CLI コマンドを使用して ManagementRealmHTTPS という名前の新規セキュリティーレルムを作成します。

   /core-service=management/security-realm=ManagementRealmHTTPS:add
   
   /core-service=management/security-realm=ManagementRealmHTTPS/authentication=properties:add(path=https-mgmt-users.properties,relative-to=jboss.server.config.dir)

3. プロパティーファイルにユーザーを追加します。

   これで、新しいセキュリティーレルムを作成し、認証用にプロパティーファイルを使用するよう設定しました。EAP_HOME/bin/ ディレクトリーの add-user スクリプトを使用して、このプロパティーファイルにユーザーを追加する必要があります。add-user スクリプトを実行する際には、-up と -r オプションをそれぞれ使用してプロパティーファイルとセキュリティーレルムの両方を指定する必要があります。そこから、add-user スクリプトは、https-mgmt-users.properties ファイルに保存するためのユーザー名とパスワードの情報を対話的に要求します。

   $ EAP_HOME/bin/add-user.sh -up EAP_HOME/standalone/configuration/https-mgmt-users.properties -r ManagementRealmHTTPS
   ...
   Enter the details of the new user to add.
   Using realm 'ManagementRealmHTTPS' as specified on the command line.
   ...
   Username : httpUser
   Password requirements are listed below. To modify these restrictions edit the add-user.properties configuration file.
    - The password must not be one of the following restricted values {root, admin, administrator}
    - The password must contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)
    - The password must be different from the username
   ...
   Password :
   Re-enter Password :
   About to add user 'httpUser' for realm 'ManagementRealmHTTPS'
   ...
   Is this correct yes/no? yes
   ..
   Added user 'httpUser' to file 'EAP_HOME/configuration/https-mgmt-users.properties'
   ...
   Is this new user going to be used for one AS process to connect to another AS process?
   e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.
   yes/no? no

   重要

   プロパティーファイルを使用してユーザー名とパスワードを保存するようにセキュリティーレルムを設定する場合、各レリムは別のレルムと共有されていない個別のプロパティーを使用することが推奨されます。

1. キーストアを生成します。

   $ keytool -genkeypair -alias HOST1_alias -keyalg RSA -keysize 1024 -validity 365 -keystore HOST1.keystore.jks -dname "CA_HOST1" -keypass secret -storepass secret
   
   $ keytool -genkeypair -alias HOST2_alias -keyalg RSA -keysize 1024 -validity 365 -keystore HOST2.keystore.jks -dname "CA_HOST2" -keypass secret -storepass secret

2. 証明書をエクスポートします。

   $ keytool -exportcert  -keystore HOST1.keystore.jks -alias HOST1_alias -keypass secret -storepass secret -file HOST1.cer
   
   $ keytool -exportcert  -keystore HOST2.keystore.jks -alias HOST2_alias -keypass secret -storepass secret -file HOST2.cer

3. 対立するトラストストアにインポートします。

   $ keytool -importcert -keystore HOST1.truststore.jks -storepass secret -alias HOST2_alias -trustcacerts -file HOST2.cer
   
   $ keytool -importcert -keystore HOST2.truststore.jks -storepass secret -alias HOST1_alias -trustcacerts -file HOST1.cer

4. CertificateRealm を定義します。

   サーバー (host.xml または standalone.xml) の設定で CertificateRealm を定義し、その先となるインターフェイスを指定します。これは、以下のコマンドで実行できます。

   /core-service=management/security-realm=CertificateRealm:add()
   
   /core-service=management/security-realm=CertificateRealm/server-identity=ssl:add(keystore-path=/path/to/HOST1.keystore.jks, keystore-password=secret,alias=HOST1_alias)
   
   /core-service=management/security-realm=CertificateRealm/authentication=truststore:add(keystore-path=/path/to/HOST1.truststore.jks,keystore-password=secret)

5. http-interface の security-realm を新しい CertificateRealm に変更します。

   /core-service=management/management-interface=http-interface:write-attribute(name=security-realm,value=CertificateRealm)

6. CLI の SSL/TLS 設定を追加します。

   重要

   双方向 SSL/TLS の追加に加え、管理インターフェイスも HTTPS にバインドされるように設定してください。詳細は、レガシーのコア管理認証を使用した一方向 SSL/TLS の管理インターフェイスの設定 の 管理インターフェイスが HTTPS にバインドされようにする を参照してください。

   EAP_HOME/bin/jboss-cli.xml を設定ファイルとして使用する CLI の SSL/TLS 設定を追加します。

   キーストアとトラストストアパスワードをプレーンテキストに保存するには、EAP_HOME/bin/jboss-cli.xml を編集し、変数に適切な値を使用して SSL/TLS 設定を追加します。

   例: プレーンテキストの jboss-cli.xml キーストアおよびトラストストアのパスワード

   <ssl>
     <alias>HOST2_alias</alias>
     <key-store>/path/to/HOST2.keystore.jks</key-store>
     <key-store-password>secret</key-store-password>
     <trust-store>/path/to/HOST2.truststore.jks</trust-store>
     <trust-store-password>secret</trust-store-password>
     <modify-trust-store>true</modify-trust-store>
   </ssl>

   パスワード vault に保存されているキーストアおよびトラストストアパスワードを使用するには、vault 設定および適切な vault の値を EAP_HOME/bin/jboss-cli.xml に追加する必要があります。

   例: パスワード vault の jboss-cli.xml キーストアおよびトラストストアのパスワード

   <ssl>
     <vault>
       <vault-option name="KEYSTORE_URL" value="path-to/vault/vault.keystore"/>
       <vault-option name="KEYSTORE_PASSWORD" value="MASK-5WNXs8oEbrs"/>
       <vault-option name="KEYSTORE_ALIAS" value="vault"/>
       <vault-option name="SALT" value="12345678"/>
       <vault-option name="ITERATION_COUNT" value="50"/>
       <vault-option name="ENC_FILE_DIR" value="EAP_HOME/vault/"/>
     </vault>
     <alias>HOST2_alias</alias>
     <key-store>/path/to/HOST2.keystore.jks</key-store>
     <key-store-password>VAULT::VB::cli_pass::1</key-store-password>
     <key-password>VAULT::VB::cli_pass::1</key-password>
     <trust-store>/path/to/HOST2.truststore.jks</trust-store>
     <trust-store-password>VAULT::VB::cli_pass::1</trust-store-password>
     <modify-trust-store>true</modify-trust-store>
   </ssl>

1. マスタードメインコントローラーで、NSS データベースを PKCS11 プロバイダーとして使用するように設定された SSL/TLS セキュリティーレルムを作成します。

   例: マスタードメインコントローラーのセキュリティーレルム

   <security-realm name="HTTPSRealm">
       <server-identities>
           <ssl>
               <engine enabled-protocols="TLSv1.1"/>
               <keystore provider="PKCS11" keystore-password="strongP@ssword1"/>
           </ssl>
       </server-identities>
       <authentication>
           <local default-user="\$local"/>
           <properties path="https-users.properties" relative-to="jboss.domain.config.dir"/>
       </authentication>
   </security-realm>

2. 各ホストコントローラーで、認証に SSL/TLS トラストストアを使用してセキュリティーレルムを作成します。

   例: 各ホストコントローラーのセキュリティーレルム

   <security-realm name="HTTPSRealm">
     <authentication>
       <truststore provider="PKCS11" keystore-password="strongP@ssword1"/>
     </authentication>
   </security-realm>

   注記

   各ホストでこのプロセスを繰り返します。

3. 作成したセキュリティーレルムを使用して、マスタードメインコントローラーの HTTP インターフェイスを保護します。

   例: HTTP インターフェイス

   <management-interfaces>
       <http-interface security-realm="HTTPSRealm">
           <http-upgrade enabled="true"/>
           <socket interface="management" port="${jboss.management.http.port:9990}"/>
       </http-interface>
   </management-interfaces>

4. 各ホストコントローラーで SSL/TLS レルムを使用して、マスタードメインコントローラーに接続します。

   マスタードメインコントローラーへの接続に使用されるセキュリティーレルムを更新します。サーバーが動作していない場合に、ホストコントローラーの設定ファイル (host.xml、host-slave.xml など) を変更します。

   例: ホストコントローラー設定ファイル

   <domain-controller>
     <remote security-realm="HTTPSRealm">
       <discovery-options>
         <static-discovery name="primary" protocol="${jboss.domain.master.protocol:remote}" host="${jboss.domain.master.address}" port="${jboss.domain.master.port:9990}"/>
       </discovery-options>
     </remote>
   </domain-controller>

5. 各サーバーがホストコントローラーに接続する方法を更新します。

   例: サーバー設定

   <server name="my-server" group="my-server-group">
     <ssl ssl-protocol="TLS" trust-manager-algorithm="SunX509" truststore-type="PKCS11" truststore-password="strongP@ssword1"/>
   </server>

6. 管理対象ドメインで双方向 SSL/TLS を設定します。

   双方向 SSL/TLS を有効にするには、マスタードメインコントローラーの SSL/TLS セキュリティーレルムにトラストストア認証メソッドを追加します。以下の管理 CLI コマンドを実行します。

   /host=master/core-service=management/security-realm=HTTPSRealm/authentication=truststore:add(keystore-provider="PKCS11",keystore-password="strongP@ssword1")
   
   reload --host=master

   SSL サーバーアイデンティティーを持つように各ホストコントローラーのセキュリティーレルムを更新する必要もあります。以下の管理 CLI コマンドを実行します。

   /host=host1/core-service=management/security-realm=HTTPSRealm/server-identity=ssl:add(keystore-provider=PKCS11, keystore-password="strongP@ssword1",enabled-protocols=["TLSv1.1"])
   
   reload --host=host1

   重要

   また、各ホストの証明書がドメインコントローラーのトラストストアにインポートされることを確認する必要があります。

1. JBoss EAP 管理の Red Hat Single Sign-On サーバーを設定する 。
2. JBoss EAP に Red Hat Single Sign-On クライアントアダプターをインストールする 。
3. Red Hat Single Sign-On を使用するように JBoss EAP を設定する 。

1. Red Hat Single Sign-On サーバーをダウンロードしてインストールします。基本的な手順については、Red Hat Single Sign-On Getting Started Guide を参照してください。

2. Red Hat Single Sign-On サーバーを起動します。

   この手順では、ポートオフセット 100 でサーバーを起動したことを前提とします。

   $ RHSSO_HOME/bin/standalone.sh -Djboss.socket.binding.port-offset=100

3. http://localhost:8180/auth/ で Red Hat Single Sign-On 管理コンソールにログインします。

   Red Hat Single Sign-On 管理コンソールに初めてアクセスすると、初期管理ユーザーを作成するように求められます。

4. wildfly-infra という名前の新規レルムを作成します。

   1. レルム名の横にあるドロップダウンメニューで、Add realm をクリックし、Name フィールドに wildfly-infra を入力し、Create をクリックします。

5. wildfly-console というクライアントアプリケーションを作成します。

   重要

   このクライアントアプリケーションの名前は wildfly-console に する必要があります 。

   1. Clients を選択し、Create をクリックします。
   2. Client ID フィールドに wildfly-console を入力し、Save をクリックします。
   3. 表示される Settings 画面で Access Type を public に設定し、Valid Redirect URIs を http://localhost:9990/console/* に、Web Origins を http://localhost:9990 に設定し、Save をクリックします。

6. wildfly-management というクライアントアプリケーションを作成します。

   1. Clients を選択し、Create をクリックします。
   2. Client ID フィールドに wildfly-management を入力し、Save をクリックします。
   3. 表示される Settings 画面で、Access Type を bearer-only に設定し、Save をクリックします。

7. JBoss EAP 管理コンソールへのアクセスを付与するためのロールを作成します。

   1. Roles を選択して Add Role をクリックします。

   2. Role Name フィールドに大文字で ADMINISTRATOR を入力し、Save をクリックします。

      以下の手順では、ADMINISTRATOR ロールを使用しますが、その他のロールもサポートされています。詳細は、JBoss EAP のセキュリティーアーキテクチャーの ロールベースのアクセス制御 を参照してください。

8. ユーザーを作成し、ADMINISTRATOR ロールを割り当てます。

   1. Users を選択して Add user をクリックします。
   2. Username フィールドに jboss を入力して Save をクリックします。
   3. Credentials タブを選択し、このユーザーのパスワードを設定します。
   4. Role Mappings タブを選択し、ADMINISTRATOR を選択して Add selected をクリックし、このユーザーにロールを追加します。

1. Download the Red Hat Single Sign-On client adapter for JBoss EAP 7 from the ソフトウェアダウンロードページ から JBoss EAP 7 の Red Hat Single Sign-On クライアントアダプターをダウンロードします。
2. このファイルを JBoss EAP インストールのルートディレクトリーに展開します。

3. adapter-elytron-install-offline.cli スクリプトを実行し、JBoss EAP のインストールを設定します。

   $ EAP_HOME/bin/jboss-cli.sh --file=adapter-elytron-install-offline.cli

   重要

   このスクリプトにより、keycloak サブシステムと、elytron および undertow サブシステムのその他の必要なリソースが standalone.xml に追加されます。別の設定ファイルを使用する必要がある場合は、必要に応じてスクリプトを変更してください。

1. EAP_HOME/bin/ ディレクトリーで、以下の内容を含む protect-eap-mgmt-services.cli という名前のファイルを作成します。

   # Create a realm for both JBoss EAP console and mgmt interface
   /subsystem=keycloak/realm=wildfly-infra:add(auth-server-url=http://localhost:8180/auth,realm-public-key=REALM_PUBLIC_KEY)
   
   # Create a secure-deployment in order to protect mgmt interface
   /subsystem=keycloak/secure-deployment=wildfly-management:add(realm=wildfly-infra,resource=wildfly-management,principal-attribute=preferred_username,bearer-only=true,ssl-required=EXTERNAL)
   
   # Protect HTTP mgmt interface with Keycloak adapter
   /core-service=management/management-interface=http-interface:undefine-attribute(name=security-realm)
   /subsystem=elytron/http-authentication-factory=keycloak-mgmt-http-authentication:add(security-domain=KeycloakDomain,http-server-mechanism-factory=wildfly-management,mechanism-configurations=[{mechanism-name=KEYCLOAK,mechanism-realm-configurations=[{realm-name=KeycloakOIDCRealm,realm-mapper=keycloak-oidc-realm-mapper}]}])
   /core-service=management/management-interface=http-interface:write-attribute(name=http-authentication-factory,value=keycloak-mgmt-http-authentication)
   /core-service=management/management-interface=http-interface:write-attribute(name=http-upgrade, value={enabled=true, sasl-authentication-factory=management-sasl-authentication})
   
   # Enable RBAC where roles are obtained from the identity
   /core-service=management/access=authorization:write-attribute(name=provider,value=rbac)
   /core-service=management/access=authorization:write-attribute(name=use-identity-roles,value=true)
   
   # Create a secure-server in order to publish the JBoss EAP console configuration via mgmt interface
   /subsystem=keycloak/secure-server=wildfly-console:add(realm=wildfly-infra,resource=wildfly-console,public-client=true)
   
   # reload
   reload

2. このファイルでの REALM_PUBLIC_KEY を公開鍵の値に置き換えます。この値を取得するには、Red Hat Single Sign-On 管理コンソールにログインし、wildfly-infra レルムを選択して Realm Settings → Keys の順に選択し、Public key をクリックします。

3. JBoss EAP を起動します。

   $ EAP_HOME/bin/standalone.sh

   重要

   Red Hat Single Sign-On クライアントアダプターを取り付けるとき adapter-elytron-install-offline.cli スクリプトを変更して、standalone.xml 以外の設定ファイルを使用する場合は、その設定を使用して JBoss EAP を起動するようにしてください。

4. protect-eap-mgmt-services.cli スクリプトを実行します。

   $ EAP_HOME/bin/jboss-cli.sh --connect --file=protect-eap-mgmt-services.cli

1. 以下のようなコマンドを使用して、サイズローテーションファイル監査ログを作成できます。

   /subsystem=elytron/size-rotating-file-audit-log=my_size_log:add(path="my_size_audit.log",relative-to="jboss.server.log.dir",format=SIMPLE,synchronized=false,rotate-size="2m",max-backup-index=10)

2. セキュリティードメインに追加して、定義されたサイズローテーション監査ロガーを有効にします。

   /subsystem=elytron/security-domain=domain-with-size-logger:write-attribute(name=security-event-listener, value=my_size_log)

手順

1. syslog ハンドラーを追加します。

   /subsystem=elytron/syslog-audit-log=syslog-logger:add(host-name=HOST_NAME, port=PORT, server-address=SERVER_ADDRESS, format=JSON, transport=UDP)

2. 定義した syslog 監査ロガーは、セキュリティードメインに追加して有効化します。

   /subsystem=elytron/security-domain=domain-with-syslog-logger:write-attribute(name=security-event-listener, value=syslog-logger)

1. Configuration タブをクリックします。
2. Subsystems → Security (Legacy) に移動します。
3. 編集するセキュリティードメインを選択し、View をクリックします。
4. Audit タブを選択し、Add を押して、新しい監査モジュールを追加します。
5. モジュールの名前を設定し、Code フィールドにプロバイダーモジュールのクラス名を入力します。
6. 必要に応じて、モジュールオプションを編集し、モジュールオプションフィールドにキーと値のペアを追加することでモジュールオプション を追加します。Enter を押して新しい値を追加し、Backspace を押して既存の値を削除します。

手順

1. トラストマネージャーが、証明書で参照されるディストリビューションポイントから取得した CRL を使用するように設定します。

   /subsystem=elytron/trust-manager=twoWayTM:write-attribute(name=certificate-revocation-list,value={})

2. 証明書で参照されているディストリビューションポイントから取得した CRL を上書きします。

   /subsystem=elytron/trust-manager=twoWayTM:write-attribute(name=certificate-revocation-list.path, value=intermediate.crl.pem)

3. 証明書失効に CRL を使用するように trust-manager を設定します。

   • OCSP レスポンダーが証明書失効リストに対しても設定されている場合、証明書失効に CRL を使用するようトラストマネージャーに、値が true の ocsp.prefer- CRL 属性も追加します。

     /subsystem=elytron/trust-manager=twoWayTM:write-attribute(name=ocsp.prefer-crls,value="true")

   • OCSP レスポンダーが証明書失効リストに対して設定されていない場合、設定は完了します。

手順

1. 証明書失効に、証明書に定義された OCSP レスポンダーを使用するようにトラストマネージャーを設定します。

   /subsystem=elytron/trust-manager=twoWayTM:write-attribute(name=ocsp,value={})

2. 証明書で定義された OCSP レスポンダーを上書きします。

   /subsystem=elytron/trust-manager=twoWayTM:write-attribute(name=ocsp.responder,value="http://example.com/ocsp-responder")

1. クライアント SSL コンテキストを作成します。

   この SSL コンテキストは、SSL/TLS を使用してロードバランサーに接続する際に modcluster サブシステムによって使用されます。

   /subsystem=elytron/client-ssl-context=modcluster-client-ssl-context:add(trust-manager=default-trust-manager)

2. 以下のオプションのいずれかを使用して、新しく作成されたクライアント SSL コンテキストを参照します。

   • ssl-context を設定して modcluster サブシステムを設定します。

     /subsystem=modcluster/mod-cluster-config=configuration:write-attribute(name=ssl-context, value=modcluster-client-ssl-context)

   • mod-cluster フィルターの ssl-context 属性を定義して undertow サブシステムを設定します。

     /subsystem=undertow/configuration=filter/mod-cluster=modcluster:write-attribute(name=ssl-context,value=modcluster-client-ssl-context)

3. サーバーをリロードします。

   reload

1. キーストアを作成します。

   /subsystem=elytron/key-store=twoWayKS:add(path=/path/to/client.keystore.jks, credential-reference={clear-text=secret},type=JKS)

2. キーマネージャーを設定します。

   /subsystem=elytron/key-manager=twoWayKM:add(key-store=twoWayKS, algorithm="SunX509", credential-reference={clear-text=secret})

3. クライアント SSL コンテキストを作成します。

   /subsystem=elytron/client-ssl-context=modcluster-client-ssl-context:add(trust-manager=default-trust-manager, key-manager=twoWayKM)

   注記

   既存のクライアント SSL コンテキストがある場合には、以下のように key-manager を追加できます。

   /subsystem=elytron/client-ssl-context=modcluster-client-ssl-context:write-attribute(name=key-manager, value=twoWayKM)

4. サーバーをリロードします。

   reload

1. コネクターの socket-binding を作成します。以下のコマンドは、ポート 11199 でリッスンする oneWayBinding バインディングを定義します。

   /socket-binding-group=standard-sockets/socket-binding=oneWayBinding:add(port=11199)

2. SASL 認証ファクトリー、以前に作成したソケットバインディング、および SSL コンテキストを参照するコネクターを作成します。

   /subsystem=remoting/connector=oneWayConnector:add(sasl-authentication-factory=SASL_FACTORY,socket-binding=oneWayBinding,ssl-context=SSL_CONTEXT)

   重要

   security-realm と ssl-context の 両方 が定義されている場合、JBoss EAP は ssl-context によって提供される SSL / TLS 設定を使用します。

3. サーバー証明書を信頼するようにクライアントを設定します。汎用クライアントの例は、Elytron Client Side One Way Example を参照してください。この例では、クライアントの trust-store を使用して ssl-context を設定します。

1. コネクターの socket-binding を作成します。以下のコマンドは、ポート 11199 でリッスンする twoWayBinding バインディングを定義します。

   /socket-binding-group=standard-sockets/socket-binding=twoWayBinding:add(port=11199)

2. SASL 認証ファクトリー、以前に作成したソケットバインディング、および SSL コンテキストを参照するコネクターを作成します。

   /subsystem=remoting/connector=twoWayConnector:add(sasl-authentication-factory=SASL_FACTORY,socket-binding=twoWayBinding,ssl-context=SSL_CONTEXT)

   重要

   security-realm と ssl-context の 両方 が定義されている場合、JBoss EAP は ssl-context によって提供される SSL / TLS 設定を使用します。

3. サーバー証明書を信頼するようクライアントを設定し、その証明書をサーバーへ提示します。

   双方向 SSL / TLS 認証を完了するには、信頼されたクライアント証明書をサーバーに提示するようにクライアントを設定する必要があります。たとえば、ブラウザーを使用している場合は、信頼される証明書をブラウザーのトラストストアにインポートする必要があります。汎用クライアントの例は、Elytron Client Side Two Way Example を参照してください。この例では、クライアントの trust-store と key-store を使用して ssl-context を設定します。

1. https-listener が SSL 設定でレガシーセキュリティーレルムを使用するように設定されているかどうかを確認します。

   /subsystem=undertow/server=default-server/https-listener=https:read-attribute(name=security-realm)
   {
       "outcome" => "success",
       "result" => "ApplicationRealm"
   }

   上記のコマンドは、https-listener が SSL 設定の ApplicationRealm レガシーセキュリティーレルムを使用するように設定されていることを示しています。undertow は、レガシーセキュリティーレルムと Elytron の ssl-context を同時に参照できないため、レガシーセキュリティーレルムへの参照を削除する必要があります。

   注記

   結果が undefined である場合は、次の手順でセキュリティーレルムへの参照を削除する必要はありません。

2. レガシーセキュリティーレルムへの参照を削除し、https-listener を Elytron の ssl-context を使用するように更新します。

   注記

   https-listener には、常に security-realm または ssl-context が設定されている必要があります。2 つの設定間で変更する場合は、以下に示すように、コマンドを単一のバッチで実行する必要があります。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=SERVER_SSL_CONTEXT)
   run-batch

3. HTTPS リスナーおよび SASL 認証ファクトリーを参照する HTTP コネクターを作成します。

   /subsystem=remoting/http-connector=ssl-http-connector:add(connector-ref=https,sasl-authentication-factory=SASL_FACTORY)

4. サーバーをリロードします。

   reload

5. サーバー証明書を信頼するようにクライアントを設定します。たとえば、ブラウザーを使用している場合は、信頼される証明書をブラウザーのトラストストアにインポートする必要があります。

1. https-listener が SSL 設定でレガシーセキュリティーレルムを使用するように設定されているかどうかを確認します。

   /subsystem=undertow/server=default-server/https-listener=https:read-attribute(name=security-realm)
   {
       "outcome" => "success",
       "result" => "ApplicationRealm"
   }

   上記のコマンドは、https-listener が SSL 設定の ApplicationRealm レガシーセキュリティーレルムを使用するように設定されていることを示しています。undertow は、レガシーセキュリティーレルムと Elytron の ssl-context を同時に参照できないため、レガシーセキュリティーレルムへの参照を削除する必要があります。

   注記

   結果が undefined である場合は、次の手順でセキュリティーレルムへの参照を削除する必要はありません。

2. レガシーセキュリティーレルムへの参照を削除し、https-listener を Elytron の ssl-context を使用するように更新します。

   注記

   https-listener には、常に security-realm または ssl-context が設定されている必要があります。2 つの設定間で変更する場合は、以下に示すように、コマンドを単一のバッチで実行する必要があります。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=SERVER_SSL_CONTEXT)
   run-batch

3. HTTPS リスナーおよび SASL 認証ファクトリーを参照する HTTP コネクターを作成します。

   /subsystem=remoting/http-connector=ssl-http-connector:add(connector-ref=https,sasl-authentication-factory=SASL_FACTORY)

4. サーバーをリロードします。

   reload

5. サーバー証明書を信頼するようクライアントを設定し、その証明書をサーバーへ提示します。

   双方向 SSL / TLS 認証を完了するには、信頼されたクライアント証明書をサーバーに提示するようにクライアントを設定する必要があります。たとえば、ブラウザーを使用している場合は、信頼される証明書をブラウザーのトラストストアにインポートする必要があります。

1. マスタードメインコントローラーでユーザーを追加します。

   スレーブコントローラーが認証に使用するには、マスタードメインコントローラーにユーザーを追加する必要があります。デフォルトのファイルベースユーザーおよびグループ認証メカニズムを使用している場合は、EAP_HOME/bin/adduser.sh を実行することで実行できます。プロンプトが表示されたら、ユーザー名、パスワード、およびその他の設定を追加します。

   add-user ユーティリティーを使用すると、ManagementRealm のユーザーと、ApplicationRealm のユーザーの両方を管理できます。

   注記

   サーバーは、メモリー内のプロパティーファイルの内容をキャッシュします。ただし、サーバーは認証リクエストごとにプロパティーファイルの変更時間を確認し、時間が更新された場合にリロードします。つまり、add-user ユーティリティーによるすべての変更が稼働中のサーバーに即座に適用されることになります。

   スレーブコントローラーは、HTTP インターフェイスを使用した認証を試行します。HTTP インターフェイスが ManagementRealm Elytron セキュリティーレルムで保護されている場合は、スレーブコントローラーが使用する ManagementRealm にユーザーを追加する必要があります。

   注記

   管理ユーザーのレルムのデフォルト名は ManagementRealm です。add-user ユーティリティーがレルム名の入力を要求したときに、別のレルムに切り替えていない限りデフォルトのものを許可します。

   以下の例では、パスワード password1! が設定されたユーザー slave が ManagementRealm に追加済みであることを前提としています。

2. authentication-configuration をスレーブコントローラーに追加します。

   /host=slave/subsystem=elytron/authentication-configuration=slave:add(authentication-name=slave, credential-reference={clear-text=password1!})

3. authentication-context をスレーブコントローラーに追加します。

   /host=slave/subsystem=elytron/authentication-context=slave-context:add(match-rules=[{authentication-configuration=slave}])

4. スレーブコントローラーでドメインコントローラーの場所と authentication-context を指定します。

   <domain-controller>
     <remote protocol="remote" host="localhost" port="9990" authentication-context="slave-context"/>
   </domain-controller>

1. マスタードメインコントローラーにユーザーを追加します。

   add-user スクリプトを使用して、ユーザーをマスタードメインコントローラーに追加する必要があります。具体的には、マスターが管理インターフェイスをセキュア化するために使用する同じレルムにユーザーを追加する必要があります (デフォルトでは ManagementRealm)。また、Is this new user going to be used for one AS process to connect to another AS process?(この新しいユーザーは、ある AS プロセスが別の AS プロセスに接続するために使用されますか ?) という質問に必ず yes と回答する必要があります。

   重要

   ユーザーを追加すると、スクリプトは次のステップで使用される <secret> 要素を出力します。この値は、次の手順で使用するために維持する必要があります。

   例: スレーブユーザーの追加

   $ EAP_HOME/bin/add-user.sh
   
   What type of user do you wish to add?
    a) Management User (mgmt-users.properties)
    b) Application User (application-users.properties)
   (a): a
   
   Enter the details of the new user to add.
   Using realm 'ManagementRealm' as discovered from the existing property files.
   Username : slave-user
   Password recommendations are listed below. To modify these restrictions edit the add-user.properties configuration file.
    - The password should be different from the username
    - The password should not be one of the following restricted values {root, admin, administrator}
    - The password should contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)
   Password :
   Re-enter Password :
   What groups do you want this user to belong to? (Please enter a comma separated list, or leave blank for none)[  ]:
   About to add user 'slave-user' for realm 'ManagementRealm'
   Is this correct yes/no? yes
   Added user 'slave-user' to file '/home/user/EAP-7.3.0/standalone/configuration/mgmt-users.properties'
   Added user 'slave-user' to file '/home/user/EAP-7.3.0/domain/configuration/mgmt-users.properties'
   Added user 'slave-user' with groups  to file '/home/user/EAP-7.3.0/standalone/configuration/mgmt-groups.properties'
   Added user 'slave-user' with groups  to file '/home/user/EAP-7.3.0/domain/configuration/mgmt-groups.properties'
   Is this new user going to be used for one AS process to connect to another AS process?
   e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.
   yes/no? yes
   To represent the user add the following to the server-identities definition <secret value="ABCzc3dv11Qx" />

2. クレデンシャルを使用するようにスレーブコントローラーを設定します。

   マスタードメインコントローラーでユーザーを作成したら、ホスト設定ファイル (例: host.xml または host-slave.xml) で、その認証ファイルを使用するように各スレーブコントローラーを更新する必要があります。これを行うには、ドメインコントローラー設定の <remote> 要素にユーザー名を追加する必要があります。<remote> 要素をセキュア化するために使用されるレリムの server identities に <secret> を追加する必要があります。直前の手順でユーザーをマスタードメインコントローラーに追加する際に、ユーザー名と <secret> の両方が取得されていました。

   例: スレーブコントローラーの設定

   ...
   <security-realm name="ManagementRealm">
       <server-identities>
           <!-- Replace this with either a base64 password of your own, or use a vault with a vault expression -->
           <secret value="ABCzc3dv11Qx"/>
       </server-identities>
   ...
   <domain-controller>
     <remote security-realm="ManagementRealm" username="slave-user">
         <discovery-options>
             <static-discovery name="primary" protocol="${jboss.domain.master.protocol:remote}" host="${jboss.domain.master.address}" port="${jboss.domain.master.port:9990}"/>
         </discovery-options>
     </remote>
   </domain-controller>

1. 必要なすべての証明書およびキーストアを生成して設定します。

   エンドポイント間で双方向 SSL/TLS を設定するには、マスタードメインコントローラーおよび各ホストコントローラーの証明書およびキーストアを生成し、設定する必要があります。マスタードメインコントローラーの証明書を各ホストコントローラーのキーストアにインポートし、各ホストコントローラーの証明書をマスタードメインコントローラーのキーストアにインポートする必要があります。このプロセスの詳細は、Elytron サブシステムを使用した管理インターフェイスの方向 SSL/TLS の有効化 を参照してください。

2. マスタードメインコントローラーでユーザーを追加します。

   スレーブコントローラーが認証に使用するには、マスタードメインコントローラーにユーザーを追加する必要があります。デフォルトのファイルベースユーザーおよびグループ認証メカニズムを使用している場合は、EAP_HOME/bin/adduser.sh を実行することで実行できます。プロンプトが表示されたら、ユーザー名、パスワード、およびその他の設定を追加します。

   add-user ユーティリティーを使用すると、ManagementRealm のユーザーと、ApplicationRealm のユーザーの両方を管理できます。

   注記

   サーバーは、メモリー内のプロパティーファイルの内容をキャッシュします。ただし、サーバーは認証リクエストごとにプロパティーファイルの変更時間を確認し、時間が更新された場合にリロードします。つまり、add-user ユーティリティーによるすべての変更が稼働中のサーバーに即座に適用されることになります。

   スレーブコントローラーは、HTTP インターフェイスを使用した認証を試行します。HTTP インターフェイスが ManagementRealm Elytron セキュリティーレルムで保護されている場合は、スレーブコントローラーが使用する ManagementRealm にユーザーを追加する必要があります。

   注記

   管理ユーザーのレルムのデフォルト名は ManagementRealm です。add-user ユーティリティーがレルム名の入力を要求したときに、別のレルムに切り替えていない限りデフォルトのものを許可します。

   以下の例では、パスワード password1! が設定されたユーザー slave が ManagementRealm に追加済みであることを前提としています。

3. マスタードメインコントローラーを、SSL/TLS を使用するように設定します。

   以下のコマンドは、ドメインコントローラーの key-store、key-manager、trust-manager、および server-ssl-context をサーバーキーストアとトラストストアに設定します。

   /host=master/subsystem=elytron/key-store=twoWayKS:add(path=/path/to/server.keystore.jks,credential-reference={clear-text=secret},type=JKS)
   
   /host=master/subsystem=elytron/key-store=twoWayTS:add(path=/path/to/server.truststore.jks,credential-reference={clear-text=secret},type=JKS)
   
   /host=master/subsystem=elytron/key-manager=twoWayKM:add(key-store=twoWayKS,algorithm="SunX509",credential-reference={clear-text=secret})
   
   /host=master/subsystem=elytron/trust-manager=twoWayTM:add(key-store=twoWayTS,algorithm="SunX509")
   
   /host=master/subsystem=elytron/server-ssl-context=twoWaySSC:add(key-manager=twoWayKM,protocols=["TLSv1.2"],trust-manager=twoWayTM,want-client-auth=true,need-client-auth=true)
   
   /host=master/core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=twoWaySSC)

   重要

   使用している JDK によるキーマネージャーアルゴリズムを知る必要があります。たとえば、SunJSSE を使用する JDK は、PKIX および SunX509 アルゴリズムを提供します。また、使用する HTTPS プロトコルを決定する必要もあります。上記のコマンド例は TLSv1.2 を使用します。cipher-suite-filter 引数を使用して、許可される暗号スイートを指定でき、use-cipher-suites-order 引用して、サーバーの暗号スイートの順序を許可します。use-cipher-suites-order 属性はデフォルトで true に設定されます。これは、レガシー security サブシステムの動作とは異なります。その動作は、デフォルトで、クライアント暗号スイートの順序を許可します。

4. 各スレーブホストコントローラーに認証コンテキストとドメインコントローラーの場所を設定します。

   以下の設定例は、ドメインコントローラーが localhost に存在することを前提としています。ご利用の環境で正しい管理ユーザー、パスワード、およびドメインコントローラーの場所を指定するようにしてください。

   /host=slave1/subsystem=elytron/authentication-context=slaveHostSSLContext:add()
   
   /host=slave1/subsystem=elytron/authentication-configuration=slaveHostSSLConfiguration:add()
   
   /host=slave1/subsystem=elytron/authentication-configuration=slaveHostSSLConfiguration:write-attribute(name=sasl-mechanism-selector,value=DIGEST-MD5)
   
   /host=slave1/subsystem=elytron/authentication-configuration=slaveHostSSLConfiguration:write-attribute(name=authentication-name,value=slave)
   
   /host=slave1/subsystem=elytron/authentication-configuration=slaveHostSSLConfiguration:write-attribute(name=realm,value=ManagementRealm)
   
   /host=slave1/subsystem=elytron/authentication-configuration=slaveHostSSLConfiguration:write-attribute(name=credential-reference,value={clear-text=password1!})
   
   /host=slave1/subsystem=elytron/authentication-context=slaveHostSSLContext:write-attribute(name=match-rules,value=[{match-host=localhost,authentication-configuration=slaveHostSSLConfiguration}]
   
   /host=slave1:write-remote-domain-controller(host=localhost,port=9990,protocol=remote,authentication-context=slaveHostSSLContext)

5. 各スレーブホストコントローラーが SSL/TLS を使用するように設定します。

   以下のコマンドは、サーバーキーストアおよびトラストストアのスレーブホストコントローラーの key-store、key-manager、trust-manager、client-ssl-context、並びに authentication-context を設定します。

   以下の設定例は、ドメインコントローラーが localhost に存在することを前提としています。環境に適したドメインコントローラーの場所を指定するようにしてください。

   /host=slave1/subsystem=elytron/key-store=twoWayKS:add(path=/path/to/client.keystore.jks,credential-reference={clear-text=secret},type=JKS)
   
   /host=slave1/subsystem=elytron/key-store=twoWayTS:add(path=/path/to/client.truststore.jks,credential-reference={clear-text=secret},type=JKS)
   
   /host=slave1/subsystem=elytron/key-manager=twoWayKM:add(key-store=twoWayKS,algorithm="SunX509",credential-reference={clear-text=secret})
   
   /host=slave1/subsystem=elytron/trust-manager=twoWayTM:add(key-store=twoWayTS,algorithm="SunX509")
   
   /host=slave1/subsystem=elytron/client-ssl-context=twoWayCSC:add(key-manager=twoWayKM,protocols=["TLSv1.2"],trust-manager=twoWayTM)
   
   /host=slave1/subsystem=elytron/authentication-context=slaveHostSSLContext:write-attribute(name=match-rules,value=[{match-host=localhost,authentication-configuration=slaveHostSSLConfiguration,ssl-context=twoWayCSC}])

6. 管理対象ドメインのすべての JBoss EAP ホストをリロードします。

1. 必要なすべての証明書およびキーストアを生成して設定します。

   エンドポイント間で双方向 SSL/TLS を設定するには、マスタードメインコントローラーおよび各ホストコントローラーの証明書およびキーストアを生成し、設定する必要があります。マスタードメインコントローラーの証明書を各ホストコントローラーのキーストアにインポートし、各ホストコントローラーの証明書をマスタードメインコントローラーのキーストアにインポートする必要があります。このプロセスの詳細は、Setting up Two-way SSL/TLS for the Management Interfaces with Legacy Core Management Authentication を参照してください。

2. マスタードメインコントローラーを、SSL/TLS を使用するように設定します。

   すべての証明書とキーストアを設定したら、双方向 SSL/TLS を使用するようにセキュリティーレルムを設定する必要があります。これは、SSL/TLS を使用して、これを認証に必須するようにセキュリティーレリムを設定することで実行されます。その後、そのセキュリティーレルムはホストコントローラーとマスタードメインコントローラー間の接続に使用される管理インターフェイスのセキュア化に使用されます。

   注記

   以下のコマンドはバッチモードで実行する必要があります。あるいは、ssl サーバーアイデンティティーを追加した後にサーバーをリロードする必要があります。以下の例はバッチモードを使用しています。

   batch
   
   /host=master/core-service=management/security-realm=CertificateRealm:add()
   
   /host=master/core-service=management/security-realm=CertificateRealm/server-identity=ssl:add(alias=domaincontroller,keystore-relative-to=jboss.domain.config.dir,keystore-path=domaincontroller.jks,keystore-password=secret)
   
   /host=master/core-service=management/security-realm=CertificateRealm/authentication=truststore:add(keystore-relative-to=jboss.domain.config.dir,keystore-path=domaincontroller.jks,keystore-password=secret)
   
   /host=master/core-service=management/security-realm=CertificateRealm/authentication=local:add(default-user=\$local)
   
   /host=master/core-service=management/security-realm=CertificateRealm/authentication=properties:add(relative-to=jboss.domain.config.dir,path=mgmt-users.properties)
   
   /host=master/core-service=management/management-interface=http-interface:write-attribute(name=security-realm,value=CertificateRealm)
   
   run-batch

3. SSL/TLS を使用するようすべてのホストコントローラーを設定します。

   双方向 SSL/TLS を使用するようマスタードメインコントローラーを設定した場合は、各ホストコントローラーも使用するように設定する必要があります。このプロセスはマスタードメインコントローラーの設定とほぼ同じです。ただし、各ホストに固有のキーストアを使用する必要があります。

   注記

   以下のコマンドはバッチモードで実行する必要があります。あるいは、ssl サーバーアイデンティティーを追加した後にサーバーをリロードする必要があります。以下の例はバッチモードを使用しています。

   batch
   
   /host=instance1/core-service=management/security-realm=CertificateRealm:add()
   
   /host=instance1/core-service=management/security-realm=CertificateRealm/server-identity=ssl:add(alias=instance1,keystore-relative-to=jboss.domain.config.dir,keystore-path=instance1.jks,keystore-password=secret)
   
   /host=instance1/core-service=management/security-realm=CertificateRealm/authentication=truststore:add(keystore-relative-to=jboss.domain.config.dir,keystore-path=instance1.jks,keystore-password=secret)
   
   /host=instance1/core-service=management/security-realm=CertificateRealm/authentication=local:add(default-user="\$local")
   
   /host=instance1/core-service=management/security-realm=CertificateRealm/authentication=properties:add(relative-to=jboss.domain.config.dir,path=mgmt-users.properties)
   
   /host=instance1/core-service=management/management-interface=http-interface:write-attribute(name=security-realm,value=CertificateRealm)
   
   run-batch

   また、マスタードメインコントローラーの接続時に使用するセキュリティーレルムを更新する必要があります。この変更は、サーバーが動作していないときにホストコントローラーの設定ファイル (host.xml、host-slave.xml など) で直接行う必要があります。

   例: ホストコントローラー設定ファイル

   <domain-controller>
     <remote security-realm="CertificateRealm" username="slave-user">
       <discovery-options>
         <static-discovery name="primary" protocol="${jboss.domain.master.protocol:remote}" host="${jboss.domain.master.address}" port="${jboss.domain.master.port:9990}"/>
       </discovery-options>
     </remote>
   </domain-controller>

   警告

   Red Hat では、影響するすべてのパッケージで TLSv1.1 または TLSv1.2 を利用するために SSLv2、SSLv3、および TLSv1.0 を明示的に無効化することを推奨しています。

1. dir-context を設定します。

   JBoss EAP から LDAP サーバーに接続するには、URL を指定する dir-context と、サーバーへの接続に使用するプリンシパルを設定する必要があります。

   例: dir-context

   /subsystem=elytron/dir-context=exampleDC:add(url="ldap://127.0.0.1:10389", principal="uid=admin,ou=system", credential-reference={clear-text="secret"})

2. ldap-key-store を設定します。

   ldap-key-store を設定する場合は、LDAP サーバーへの接続に使用する dir-context と、LDAP サーバーに保存されているキーストアの検索方法の両方を指定する必要があります。少なくとも、search-path を指定する必要があります。

   例: ldap-key-store

   /subsystem=elytron/ldap-key-store=ldapKS:add(dir-context=exampleDC, search-path="ou=Keystores,dc=wildfly,dc=org")

3. ldap-key-store を使用します。

   ldap-key-store を定義したら、key-store を使用できるのと同じ場所で使用できます。たとえば、アプリケーションに 1 方向 SSL/TLS および 双方向 SSL/TLS を設定する際には ldap-key-store を使用できます。

1. key-store を設定します。

   /subsystem=elytron/key-store=myKS:add(path=keystore.jks, relative-to=jboss.server.config.dir, credential-reference={clear-text=secret}, type=JKS)

2. filtering-key-store を設定します。

   filtering-key-store を設定するとき、フィルター処理を行う key-store と、key-store からエイリアスをフィルター処理するための alias-filter を指定します。フィルターは、以下のいずれかの形式で指定できます。

   • alias1,alias3: 公開するエイリアスのコンマ区切りの一覧。
   • all:-alias2: 一覧表示されているものを除いた、キーストアのすべてのエイリアスを公開。

   • none:+alias1:+alias3: 一覧表示されるもの以外のエイリアスをキーストアに公開しない。

     この例では、コンマ区切りリストで alias1 と alias3 を公開します。

     /subsystem=elytron/filtering-key-store=filterKS:add(key-store=myKS, alias-filter="alias1,alias3")

     注記

     alias-filter 属性は、大文字と小文字を区別します。elytronAppServer などの大文字・小文字を合わせたエイリアスまたは大文字のエイリアスの使用は一部のキーストアプロバイダーで認識されない可能性があるため、elytronappserver などの小文字のエイリアスを使用することが推奨されます。

3. filtering-key-store を使用します。

   filtering-key-store を定義したら、key-store を使用する場所と同じ場所で使用できます。たとえば、アプリケーションに 一方向 SSL/TLS および 双方向 SSL/TLS を設定する際に filtering-key-store を使用できます。

1. 管理コンソールに移動し、Runtime タブをクリックします。
2. Monitor 列の Security (Elytron) をクリックします。
3. Security の列で、SSL → View の順にクリックします。
4. ナビゲーションペインで、Trust Manager をクリックします。
5. 画面右上の Initialize をクリックして、trust-manager を再初期化します。

1. 必要に応じて、key-store、key-manager、および trust-manager コンポーネントを作成します。

   双方向 SSL/TLS 接続を確立する場合は、クライアント証明書とサーバー証明書用の別の key-store コンポーネント、クライアント key-store 用の key-manager、およびサーバー key-store 用の trust-manager を作成する必要があります。または、一方向 SSL/TLS 接続を行う場合は、サーバー証明書の key-store と、それを参照する trust-manager を作成する必要があります。キーストアおよびトラストストアの作成例は、Elytron サブシステムを使用してアプリケーションに対して双方向 SSL/TLS を有効化する セクションで参照できます。

2. client-ssl-context を作成します。

   キーストア、トラストストア、およびその他の必要な設定オプションを参照する client-ssl-context を作成します。

   例: client-ssl-context

   /subsystem=elytron/client-ssl-context=exampleCSC:add(key-manager=clientKM, trust-manager=clientTM, protocols=["TLSv1.2"])

3. client-ssl-context を参照します。

1. 必要に応じて、key-store、key-manager、および trust-manager コンポーネントを作成します。

   双方向 SSL/TLS 接続を確立する場合は、クライアント証明書とサーバー証明書用の別の key-store コンポーネント、サーバー key-store 用の key-manager、およびサーバー trust-store 用の trust-manager を作成する必要があります。または、一方向 SSL/TLS 接続を行う場合は、サーバー証明書の key-store と、それを参照する key-manager を作成する必要があります。キーストアおよびトラストストアの作成例は、Elytron サブシステムを使用してアプリケーションに対して双方向 SSL/TLS を有効化する セクションで参照できます。

2. server-ssl-context を作成します。

   キーマネージャー、トラストマネージャー、またはその他の必要な設定オプションを参照する server-ssl-context を以下のオプションのいずれかを使用して作成します。

1. 管理コンソールにアクセスします。詳細は、JBoss EAP設定ガイド の 管理コンソール を参照してください。
2. Configuration → Subsystems → Security (Elytron) → Other Settings と選択し、表示 をクリックします。
3. SSL → Server SSL Context の順にクリックし、Add をクリックして新しいサーバー SSL コンテキストを設定します。

1. 必要に応じて key-store、key-manager、trust-manager、および server-ssl-context コンポーネントを作成します。server-ssl-sni-context を作成するには、サーバー SSL コンテキストが定義されている必要があります。

2. server-ssl-context 要素に一致する情報を提供する server-ssl-sni-context を作成します。デフォルトの SSL コンテキストは、default-ssl-context 属性を使用して指定する必要があります。これは、一致しないホスト名が見つかった場合に使用されます。host-context-map は、さまざまな SSL コンテキストの一致に、コンマ区切りのホスト名一覧を受け入れます。

   /subsystem=elytron/server-ssl-sni-context=SERVER_SSL_SNI_CONTEXT:add(default-ssl-context=DEFAULT_SERVER_SSL_CONTEXT,host-context-map={HOSTNAME=SERVER_SSL_CONTEXT,...})

   以下を使用して server-ssl-sni-context を定義します。これは serverssl SSL コンテキストにデフォルト設定され、www.example.com の着信リクエストを exampleSSL コンテキストに一致させます。

   /subsystem=elytron/server-ssl-sni-context=exampleSNIContext:add(default-ssl-context=serverSSL,host-context-map={www\\.example\\.com=exampleSSL})

1. 管理コンソールにアクセスします。詳細は、JBoss EAP設定ガイド の 管理コンソール を参照してください。
2. Configuration → Subsystems → Security (Elytron) → Other Settings と選択し、表示 をクリックします。
3. SSL → Server SSL SNI Context の順にクリックして、必要な ssl-sni-context を設定します。

1. 管理コンソールにアクセスします。

   詳細は、JBoss EAP設定ガイド の 管理コンソール を参照してください。

2. Runtime → Host → Security (Elytron) → SSL の順に選択し、View をクリックします。
3. Certificate Auth… をクリックして、Certificate Authority Account ページを開きます。

4. ラベルの付いたボタンをクリックすると、選択したエイリアスに対して以下の設定を実行できます。

   • Create

     認証局でアカウントを作成します。

   • Deactivate

     選択した認証局アカウントを無効化します。

   • Update

     選択したアカウントを認証局で更新します。

   • Get Metadata

     認証局アカウントについての以下の情報を表示します。

     • 関連するエイリアス
     • 認証局の名前
     • 連絡先の詳細
     • キーストア名
     • 認証局の詳細

   • Change Account Key

     • 認証局で関連する鍵を変更します。

1. 管理コンソールにアクセスします。

   詳細は、JBoss EAP設定ガイド の 管理コンソール を参照してください。

2. Runtime → Security (Elytron) → Stores の順に選択し、View をクリックします。
3. Key Store をクリックし、キーストア定義ページを開きます。

4. 必要なキーストア名をクリックします。

   ラベルの付いたボタンをクリックすると、選択したキーストアに対して以下の操作を実行できます。

   • Load

     キーストアをロードまたは再読み込みします。

   • Store

     キーストアをサポートするファイルに加えられた変更が永続化されます。

   • Generate Key Pair

     キーペアを生成し、公開鍵を自己署名の X.509 証明書でラップし、秘密鍵と証明書をキーストアに追加します。

   • Import Certificate

     ファイルからキーストアに証明書チェーンをインポートします。

   • Obtain

     認証局から署名済み証明書を取得し、キーストアに保存します。

手順

1. 使用するサブジェクトの別名エクステンションを特定します。

   クライアント証明書がローカルにある場合は、keytool コマンドを使用してサブジェクトの別名の拡張子を表示できます。

   keytool -printcert -file /path/to/certificate/certificate.cert

   サブジェクトの別名の拡張子は、以下のように一覧表示されています。

   SubjectAlternativeName [
      DNS:one.example.org
      IP Address:127.0.0.1
   ]

2. 識別されたサブジェクトの代替名を使用するために、x509-subject-alt-name-evidence-decoder を作成します。

   /subsystem=elytron/x509-subject-alt-name-evidence-decoder=exampleDnsDecoder:add(alt-name-type=__EXTENSION_TO_USE__)

   • エビデンスデコーダーを使用するには、security-domain で参照します。

     /subsystem=elytron/security-domain=__Security_Domain_Name__:write-attribute(name="evidence-decoder",value="exampleDnsDecoder")

手順

1. 既存のエビデンスデコーダーから集約エビデンスデコーダーを作成します。

   /subsystem=elytron/aggregate-evidence-decoder=aggregateDecoder:add(evidence-decoders=[__DECODER_1__,__DECODER_2__,...,__DECODER_N__])

   • エビデンスデコーダーを使用するには、セキュリティードメインで参照します。

     /subsystem=elytron/security-domain=__SECURITY_DOMAIN__:write-attribute(name="evidence-decoder",value="aggregateDecoder")

手順

1. カスタム実装クラスを Java Archive (JAR) としてパッケージ化します。

2. JAR を含む JBoss EAP にモジュールを追加します。

   JBoss EAP にモジュールを追加する方法は、設定ガイドの カスタムモジュールの作成 を参照してください。

3. カスタムエビデンスデコーダーを Elytron に追加します。

   /subsystem=elytron/custom-evidence-decoder=myCustomEvidenceDecoder:add(module=__MODULE_NAME__, class-name=__FULLY_QUALIFIED_CLASS_NAME__)

1. management-http-authentication を使用するように、http-authentication-factory を設定します。

   /core-service=management/management-interface=http-interface:write-attribute(name=http-authentication-factory, value=management-http-authentication)

2. management-sasl-authentication を使用するように sasl-authentication-factory を設定します。

   /core-service=management/management-interface=http-interface:write-attribute(name=http-upgrade.sasl-authentication-factory, value=management-sasl-authentication)

3. security-realm の定義を解除します。

   /core-service=management/management-interface=http-interface:undefine-attribute(name=security-realm)

4. 変更を有効にするには、JBoss EAP をリロードします。

1. アイデンティティーストアのセキュリティードメインおよびサポートするセキュリティーレルム、デコーダー、またはマッパーを作成します。

   このプロセスについては、JBoss EAPHow to Configure Identity Management Guideの Elytron Subsystem を参照してください。たとえば、ファイルシステムベースのアイデンティティーストアを使用して管理インターフェイスのセキュリティーを保護する場合は、Configure Authentication with a Filesystem-based Identity Store の手順に従います。

2. http-authentication-factory または masasl-authentication-factory を作成します。

   例: http-authentication-factory

   /subsystem=elytron/http-authentication-factory=example-http-auth:add(http-server-mechanism-factory=global, security-domain=exampleSD, mechanism-configurations=[{mechanism-name=DIGEST, mechanism-realm-configurations=[{realm-name=exampleManagementRealm}]}])

   例: sasl-authentication-factory

   /subsystem=elytron/sasl-authentication-factory=example-sasl-auth:add(sasl-server-factory=configured, security-domain=exampleSD, mechanism-configurations=[{mechanism-name=DIGEST-MD5, mechanism-realm-configurations=[{realm-name=exampleManagementRealm}]}])

3. Pattern-filter を configured configurable-sasl-server-factory に追加します。

   例: GSSAPI の Configured configurable-sasl-server-factory への追加

   /subsystem=elytron/configurable-sasl-server-factory=configured:list-add(name=filters, value={pattern-filter=GSSAPI})

   これは任意の手順です。クライアントが HTTP 管理インターフェイスへの接続を試みると、JBoss EAP は HTTP 応答とともに状態コード 401 Unauthorized と、ダイジェストや GSSAPI などのサポートされる認証をリストする一連のヘッダーを返信します。詳細は、JBoss EAPセキュリティーアーキテクチャーの HTTP インターフェイスによるローカルおよびリモートクライアント認証 を参照してください。

4. 管理インターフェイスを更新して、http-authentication-factory または sasl-authentication-factory を使用します。

   例: http-authentication-factory の更新

   /core-service=management/management-interface=http-interface:write-attribute(name=http-authentication-factory, value=example-http-auth)
   
   reload

   例: sasl-authentication-factory の更新

   /core-service=management/management-interface=http-interface:write-attribute(name=http-upgrade.sasl-authentication-factory, value=example-sasl-auth)
   
   reload

   注記

   レガシーのコア管理認証を使用する場合は、http 管理インターフェイスのみを単一のレガシーセキュリティーレルムでセキュアにすることができます。これにより、HTTP および SASL 設定が単一のレガシーセキュリティーレルムに強制的に表示されます。elytron サブシステムを使用する場合は、http-authentication-factory と sasl-authentication-factory を別々に設定し、http 管理インターフェイスの HTTP および SASL メカニズムをセキュアにするために個別のセキュリティードメインを使用できます。

1. Elytron で管理インターフェイスを保護します。

   管理 CLI とともに Elytron クライアントを使用するには、管理インターフェイスを Elytron でセキュアにする必要があります。Elytron で管理インターフェイスをセキュア化する方法の詳細は、Elytron でのユーザー認証 を参照してください。

2. Elytron クライアント設定ファイルを作成します。

   認証設定が含まれる Elytron クライアント設定ファイルと、その設定を使用するためのルールを作成する必要があります。認証設定の作成の詳細は、JBoss EAPHow to Configure Identity Management Guideの Configuration File Approach を参照してください。

   例: custom-config.xml

   <configuration>
       <authentication-client xmlns="urn:elytron:client:1.2">
           <authentication-rules>
               <rule use-configuration="configuration1">
                   <match-host name="localhost" />
               </rule>
           </authentication-rules>
           <authentication-configurations>
               <configuration name="configuration1">
                   <sasl-mechanism-selector selector="DIGEST-MD5" />
                   <providers>
                     <use-service-loader />
                   </providers>
                   <set-user-name name="user1" />
                   <credentials>
                       <clear-password password="password123" />
                   </credentials>
                   <set-mechanism-realm name="exampleManagementRealm" />
                </configuration>
           </authentication-configurations>
       </authentication-client>
   </configuration>

3. 管理 CLI スクリプトで Elytron クライアント設定ファイルを使用します。

   $ ./jboss-cli.sh -c  -Dwildfly.config.url=/path/to/custom-config.xml

1. ApplicationDomain を使用するように ejb3 サブシステムを設定します。

   /subsystem=ejb3/application-security-domain=quickstart-domain:add(security-domain=ApplicationDomain)

   これにより、以下の application-security-domain 設定が ejb3 サブシステムに追加されます。

   <subsystem xmlns="urn:jboss:domain:ejb3:5.0">
       ....
       <application-security-domains>
           <application-security-domain name="quickstart-domain" security-domain="ApplicationDomain"/>
       </application-security-domains>
   </subsystem>

2. PLAIN 認証設定を追加して、プレーンテキストのユーザー名とパスワードと、アウトバウンド接続に使用される認証コンテキストを送信します。アイデンティティー伝搬に対応しているメカニズムのリストは、Mechanisms That Support Security Identity Propagation を参照してください。

   /subsystem=elytron/authentication-configuration=ejb-outbound-configuration:add(security-domain=ApplicationDomain,sasl-mechanism-selector="PLAIN")
   /subsystem=elytron/authentication-context=ejb-outbound-context:add(match-rules=[{authentication-configuration=ejb-outbound-configuration}])

   これにより、以下の authentication-client 設定が elytron サブシステムに追加されます。

   <subsystem xmlns="urn:wildfly:elytron:4.0" final-providers="combined-providers" disallowed-providers="OracleUcrypto">
       <authentication-client>
           <authentication-configuration name="ejb-outbound-configuration" security-domain="ApplicationDomain" sasl-mechanism-selector="PLAIN"/>
           <authentication-context name="ejb-outbound-context">
               <match-rule authentication-configuration="ejb-outbound-configuration"/>
           </authentication-context>
       </authentication-client>
       ....
   </subsystem>

3. リモート宛先アウトバウンドソケットバインディングを standard-sockets ソケットバインディンググループに追加します。

   /socket-binding-group=standard-sockets/remote-destination-outbound-socket-binding=ejb-outbound:add(host=localhost,port=8080)

   これにより、以下の ejb-outbound アウトバウンドソケットバインディングが standard-sockets ソケットバインディンググループに追加されます。

   <socket-binding-group name="standard-sockets" default-interface="public" port-offset="${jboss.socket.binding.port-offset:0}">
       ....
       <outbound-socket-binding name="ejb-outbound">
           <remote-destination host="localhost" port="8080"/>
       </outbound-socket-binding>
   </socket-binding-group>

4. リモートアウトバウンド接続を追加し、HTTP コネクターに SASL 認証ファクトリーを設定します。

   /subsystem=remoting/remote-outbound-connection=ejb-outbound-connection:add(outbound-socket-binding-ref=ejb-outbound, authentication-context=ejb-outbound-context)
   /subsystem=remoting/http-connector=http-remoting-connector:write-attribute(name=sasl-authentication-factory,value=application-sasl-authentication)

   これにより、http-remoting-connector および ejb-outbound-connection 設定が remoting サブシステムに追加されます。

   <subsystem xmlns="urn:jboss:domain:remoting:4.0">
       ....
       <http-connector name="http-remoting-connector" connector-ref="default" security-realm="ApplicationRealm" sasl-authentication-factory="application-sasl-authentication"/>
       <outbound-connections>
           <remote-outbound-connection name="ejb-outbound-connection" outbound-socket-binding-ref="ejb-outbound" authentication-context="ejb-outbound-context"/>
       </outbound-connections>
   </subsystem>

5. Elytron SASL 認証が PLAIN メカニズムを使用するように設定します。

   /subsystem=elytron/sasl-authentication-factory=application-sasl-authentication:write-attribute(name=mechanism-configurations,value=[{mechanism-name=PLAIN},{mechanism-name=JBOSS-LOCAL-USER,realm-mapper=local},{mechanism-name=DIGEST-MD5,mechanism-realm-configurations=[{realm-name=ApplicationRealm}]}])

   これにより、以下の application-sasl-authentication 設定が elytron サブシステムに追加されます。

   <subsystem xmlns="urn:wildfly:elytron:4.0" final-providers="combined-providers" disallowed-providers="OracleUcrypto">
       ....
       <sasl>
         ....
         <sasl-authentication-factory name="application-sasl-authentication" sasl-server-factory="configured" security-domain="ApplicationDomain">
             <mechanism-configuration>
                 <mechanism mechanism-name="PLAIN"/>
                 <mechanism mechanism-name="JBOSS-LOCAL-USER" realm-mapper="local"/>
                 <mechanism mechanism-name="DIGEST-MD5">
                     <mechanism-realm realm-name="ApplicationRealm"/>
                 </mechanism>
             </mechanism-configuration>
         </sasl-authentication-factory>
     </sasl>
     ....
   </subsystem>

1. add-user.sh または add-user.bat コマンドを実行します。
2. 管理ユーザーまたはアプリケーションユーザーを追加するかどうかを選択します。
3. ユーザーを追加するレルムを選択します。デフォルトでは、利用可能なレルムは ManagementRealm と ApplicationRealm のみです。カスタムレルムが追加されると、代わりに手動で名前を入力することができます。
4. プロンプトが表示されたら、ユーザー名、パスワード、および任意のロールを入力します。変更は、セキュリティーレルムの各プロパティーファイルに書き込まれます。

1. セキュリティードメインを作成します。

   この例では、セキュリティードメインが UserRoles ログインモジュールで作成されますが、その他のログインモジュールも使用できます。

   /subsystem=security/security-domain=UsersLMDomain:add(cache-type=default)
   
   /subsystem=security/security-domain=UsersLMDomain/authentication=classic:add
   
   /subsystem=security/security-domain=UsersLMDomain/authentication=classic/login-module=UsersRoles:add(code=UsersRoles, flag=required,module-options=[("usersProperties"=>"users.properties"),("rolesProperties"=>"roles.properties")])

2. JAAS 認証でセキュリティーレルムを作成します。

   /core-service=management/security-realm=SecurityDomainAuthnRealm:add
   
   /core-service=management/security-realm=SecurityDomainAuthnRealm/authentication=jaas:add(name=UsersLMDomain)

3. 新しいセキュリティーレルムを使用するように http-interface 管理インターフェイスを更新します。

   /core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=SecurityDomainAuthnRealm)

4. オプション: グループメンバーシップを割り当てます。

   属性 assign-groups は、セキュリティーレルム内のグループ割り当てに、セキュリティードメインからロードされたユーザーメンバーシップ情報を使用するかどうかを決定します。true に設定すると、グループ割り当ては、RBAC (Role-Based Access Control) に使用されます。

   /core-service=management/security-realm=SecurityDomainAuthnRealm/authentication=jaas:write-attribute(name=assign-groups,value=true)

手順

1. WildFly Elytron Tool を使用して、クレデンシャルストアのストレージファイルを作成します。詳細は、WildFly Elytron Tool を使用した認証情報ストアのオフライン作成および修正 を参照してください。

2. ストレージファイルを配布します。たとえば、scp を使用して各ホストコントローラーにファイルを配布したり、NFS に保存し、作成されたすべてのクレデンシャルストアリソースに使用したりできます。

   注記

   NFS に保存され、複数のホストコントローラーのリソースによって使用されるクレデンシャルストアファイルについては、クレデンシャルストアを読み取り専用モードで使用して一貫性を維持する必要があります。さらに、クレデンシャルストアファイルの絶対パスを指定します。

   /profile=<profile_name>/subsystem=elytron/credential-store=<store_name>:add(location=<absolute_path_to_store_keystore>,credential-reference={clear-text="<store_password>"},create=false,modifiable=false)

3. オプション:プロファイルに credential-store リソースを定義する必要がある場合は、ストレージファイルを使用してリソースを作成します。

   ストレージファイルからクレデンシャルストアリソースを作成する例。

   /profile=<profile_name>/subsystem=elytron/credential-store=<store_name>:add(location=<path_to_store_file>,credential-reference={clear-text="<store_password>"})

4. オプション: ホストコントローラーのクレデンシャルストアリソースを作成します。

   ホストコントローラーのクレデンシャルストアリソースを作成する例。

   /host=<host_controller_name>/subsystem=elytron/credential-store=<store_name>:add(location=<path_to_store_file>,credential-reference={clear-text="<store_password>"})

1. 管理コンソールにログインし、Runtime タブをクリックします。
2. サーバーを選択し、Security (Elytron) → Stores の順に選択し、View をクリックします。
3. クレデンシャルストアを選択し、Aliases をクリックしてエイリアスを編集します。

1. Service Provider Interface (SPI) CredentialStoreSpi 抽象クラスを拡張するクラスを作成します。
2. Java Security Provider を実装するクラスを作成します。このプロバイダーはカスタムクレデンシャルストアクラスをサービスとして追加する必要があります。

3. クレデンシャルストアおよびプロバイダークラスが含まれるモジュールを作成し、org.wildfly.security.elytron における依存関係とともに JBoss EAP に追加します。以下に例を示します。

   module add --name=org.jboss.customcredstore --resources=/path/to/customcredstoreprovider.jar --dependencies=org.wildfly.security.elytron --slot=main

4. プロバイダーのプロバイダーローダーを作成します。以下に例を示します。

   /subsystem=elytron/provider-loader=myCustomLoader:add(class-names=[org.wildfly.security.mycustomcredstore.CustomElytronProvider],module=org.jboss.customcredstore)

5. カスタム実装を使用してクレデンシャルストアを作成します。

   注記

   適切な providers および type の値を指定するようにしてください。type の値は、カスタムクレデンシャルストアクラスをサービスとして追加するプロバイダークラスで使用されるものです。

   以下に例を示します。

   /subsystem=elytron/credential-store=my_store:add(providers=myCustomLoader,type=CustomKeyStorePasswordStore,location="cred_stores/my_store.jceks",relative-to=jboss.server.data.dir,credential-reference={clear-text=supersecretstorepassword},create=true)

   また、複数のプロバイダーを作成した場合は、other-providers で別のプロバイダーローダーを使用して追加のプロバイダーを指定することもできます。これにより、新しいタイプの認証情報の追加実装が可能になります。指定した他のプロバイダーは、カスタムクレデンシャルストアの initialize メソッドで Provider[] 引数として自動的にアクセスできます。例を以下に示します。

   /subsystem=elytron/credential-store=my_store:add(providers=myCustomLoader,other-providers=myCustomLoader2,type=CustomKeyStorePasswordStore,location="cred_stores/my_store.jceks",relative-to=jboss.server.data.dir,credential-reference={clear-text=supersecretstorepassword},create=true)

1. 環境が BouncyCastle プロバイダーを使用するように設定されていることを確認します 。

2. BCFKS キーストアを定義します。このキーストアがすでに存在する場合は、次のステップに進んでください。

   $ keytool -genkeypair -alias ALIAS -keyalg RSA -keysize 2048 -keypass PASSWORD -keystore KEYSTORE -storetype BCFKS -storepass PASSWORD

   重要

   FIPS クレデンシャルストアを elytron サブシステムで定義するには、キーストアの keypass および storepass が同じである必要があります。

3. クレデンシャルストアの秘密鍵を生成します。

   $ keytool -genseckey -alias KEY_ALIAS -keyalg AES -keysize 128 -keystore KEYSTORE -storetype BCFKS -storepass PASSWORD -keypass PASSWORD

4. 以下のコマンドで、WildFly Elytron ツールを使用してクレデンシャルストアを定義します。

   $ EAP_HOME/bin/elytron-tool.sh credential-store -c -a ALIAS -x ALIAS_PASSWORD -p PASSWORD -l KEYSTORE -u "keyStoreType=BCFKS;external=true;keyAlias=KEY_ALIAS;externalPath=CREDENTIAL_STORE"

1. キーストアおよびその他の暗号化された情報を保存するディレクトリーを作成します。

   この手順では、ディレクトリーは EAP_HOME/vault/ と想定します。このディレクトリーには機密情報が含まれるため、アクセスは、一部のユーザーに制限する必要があります。JBoss EAP を実行しているユーザーアカウントには少なくとも読み書き込みアクセスが必要です。

2. Keytool ユーティリティーで使用するパラメーターを決定します。

   以下のパラメーターの値を決めます。

   alias

   エイリアスは、vault やキーストアに保存されている他のデータの一意識別子です。エイリアスは大文字と小文字を区別しません。

   storetype

   ストアタイプはキーストアのタイプを指定します。値は、jceks が推奨されます。

   keyalg

   暗号化に使用するアルゴリズム。JRE およびオペレーティングシステムのドキュメントを参照して、利用可能な他の選択肢を確認します。

   keysize

   暗号化キーのサイズは、ブルートフォースでの暗号解除の難易度に影響します。適切な値の詳細は、キーツールユーティリティーとともに配布されるドキュメントを参照してください。

   storepass

   storepass の値は、キーストアに対する認証に使用されるパスワードであるため、鍵を読み取ることができます。パスワードは 6 文字以上である必要があります。パスワードは、キーストアへのアクセス時に入力する必要があります。このパラメーターを省略すると、コマンド実行後に keytool ユーティリティーにより入力が求められます。

   keypass

   Keypass の値は、特定のキーにアクセスするために使用されるパスワードで、storepass パラメーターの値と一致する必要があります。

   validity

   validity の値は、鍵が有効になる期間 (日数) です。

   keystore

   キーストアの値は、キーストアの値が保存されるファイルパスおよびファイル名です。キーストアファイルは、データが最初に追加されると作成されます。正しいファイルパスセパレーターが使用されるようにします。Red Hat Enterprise Linux および同様のオペレーティングシステムの場合は / (スラッシュ)、Windows Server の場合は \ (バックスラッシュ) です。

   Keytool ユーティリティーには、その他の多くのオプションがあります。詳細は、JRE またはオペレーティングシステムのドキュメントを参照してください。

3. keytool コマンドを実行し、keypass と storepass に同じ値が含まれていることを確認します。

   $ keytool -genseckey -alias vault -storetype jceks -keyalg AES -keysize 128 -storepass vault22 -keypass vault22 -validity 730 -keystore EAP_HOME/vault/vault.keystore

   これにより、EAP_HOME/vault/vault.keystore ファイルに作成されたキーストアが作成されます。JBoss EAP では、パスワードなどの暗号化された文字列を保存するために使用されるエイリアス vault とともに単一のキーを保存します。

1. パスワード vault コマンドをインタラクティブに起動します。

   Red Hat Enterprise Linux または同様のオペレーティングシステムでは EAP_HOME/bin/vault.sh、Windows Server では EAP_HOME\bin\vault.bat を実行します。新しい対話セッションを開始するには、0 (ゼロ) と入力します。

2. 要求パラメーターを入力します。

   プロンプトに従って必要なパラメーターを入力します。

3. マスクされたパスワード情報をメモします。

   マスクされたパスワード、salt、iteration count (反復数) は、標準出力に出力されます。安全な場所にそれらを書き留めておきます。これらのエントリーは、パスワード Vault に追加する必要があります。キーストアファイルおよびこの値にアクセスすると、攻撃者はパスワード Vault の機密情報にアクセスできるようになります。

4. 対話式コンソールを終了します。

   対話式コンソールを終了するには、2 と入力します。

1. パスワード vault コマンドをインタラクティブに起動します。

   オペレーティングシステムのコマンドラインインターフェイスを起動し、EAP_HOME/bin/vault.sh (Red Hat Enterprise Linux および同様のオペレーティングシステム) または EAP_HOME\bin\vault.bat (Microsoft Windows Server 上) を実行します。新しい対話セッションを開始するには、0 (ゼロ) と入力します。

2. 要求パラメーターを入力します。

   プロンプトに従って必要なパラメーターを入力します。これらの値は、パスワード vault の作成時に提供された値と一致している必要があります。

   注記

   キーストアパスワードは、マスク形式ではなく、プレーンテキスト形式で指定する必要があります。

3. 機密文字列に関するパラメーター入力を行います。

   機密文字列の保存を開始する場合は 0 (ゼロ) を入力します。プロンプトに従って必要なパラメーターを入力します。

4. マスクされた文字列についての情報を書き留めておきます。

   メッセージは標準出力に出力され、vault ブロック、属性名、マスクされた文字列、設定の文字列の使用に関するアドバイスが表示します。この情報は、安全な場所にメモしておいてください。出力例を以下に示します。

   Vault Block:ds_Example1
   Attribute Name:password
   Configuration should be done as follows:
   VAULT::ds_Example1::password::1

5. 対話式コンソールを終了します。

   対話式コンソールを終了するには、2 と入力します。

1. パスワード vault コマンドをインタラクティブに起動します。

   Red Hat Enterprise Linux または同様のオペレーティングシステムでは EAP_HOME/bin/vault.sh、Windows Server では EAP_HOME\bin\vault.bat を実行します。新しい対話セッションを開始するには、0 (ゼロ) と入力します。

2. 要求パラメーターを入力します。プロンプトに従って必要な認証パラメーターを入力します。これらの値は、パスワード vault の作成時に提供された値と一致している必要があります。

   注記

   認証が求められたときは、キーストアパスワードはマスク形式ではなく、プレーンテキスト形式で指定する必要があります。

   • 1 を入力して セキュリティー保護された属性が存在するかどうかを確認します。
   • 機密文字列を保存する vault ブロックの名前を入力します。
   • チェックする機密文字列の名前を入力します。

1. パスワード vault コマンドをインタラクティブに起動します。

   Red Hat Enterprise Linux または同様のオペレーティングシステムでは EAP_HOME/bin/vault.sh、Microsoft Windows Server では EAP_HOME\bin\vault.bat を実行します。新しい対話セッションを開始するには、0 (ゼロ) と入力します。

2. 要求パラメーターを入力します。

   プロンプトに従って必要な認証パラメーターを入力します。これらの値は、パスワード vault の作成時に提供された値と一致している必要があります。

   注記

   認証が求められたときは、キーストアパスワードはマスク形式ではなく、プレーンテキスト形式で指定する必要があります。

   • 2 と入力して、セキュアな属性を削除するオプションを選択します。
   • 機密文字列を保存する vault ブロックの名前を入力します。
   • 削除する機密文字列の名前を入力します。

1. インターフェイス SecurityVault を実装するクラスを作成します。
2. 直前の手順からクラスを含むモジュールを作成し、インターフェイスが SecurityVault である org.picketbox で依存関係を指定します。

3. 以下の属性で vault 要素を追加して、JBoss EAP 設定でカスタムパスワード vault を有効にします。

   • code: SecurityVault を実装するクラスの完全修飾名。
   • module: カスタムクラスが含まれるモジュールの名前。