3.3. リモーティングの Kerberos 認証統合
Kerberos を使用して管理インターフェイスと web アプリケーションをセキュアにする他に、EJB などのリモーティングでアクセスされるサービスに対して Kerberos 認証を設定することもできます。
Kerberos のシステムプロパティーを設定する必要もあります。詳細は Elytron サブシステムの設定 を参照してください。
3.3.1. レガシーセキュリティーレルムを使用した Kerberos 認証の統合
Kerberos 認証を設定するには、以下を行う必要があります。
リモーティングおよび
RealmDirectでのセキュリティードメインの設定リモーティングによってアクセスされるサービスが使用するセキュリティードメインを設定する必要があります。このセキュリティードメインは、
RealmDirectやRealmUsersRolesなどのRemotingログインモジュールとRealmDirectログインモジュールの両方を利用する必要があります。本質的には、デフォルトで提供されるotherセキュリティードメインと大変似ています。各ログインモジュールの設定オプションの詳細は、JBoss EAPLogin Module Reference を参照してください。例: Remoting および RealmDirect ログインモジュールが指定されたセキュリティードメイン
/subsystem=security/security-domain=krb-remoting-domain:add() /subsystem=security/security-domain=krb-remoting-domain/authentication=classic:add() /subsystem=security/security-domain=krb-remoting-domain/authentication=classic/login-module=Remoting:add(code=Remoting, flag=optional, module-options=[password-stacking=useFirstPass]) /subsystem=security/security-domain=krb-remoting-domain/authentication=classic/login-module=RealmDirect:add(code=RealmDirect, flag=required, module-options=[password-stacking=useFirstPass, realm=krbRealm]) /subsystem=security/security-domain=krb-remoting-domain/mapping=classic:add() /subsystem=security/security-domain=krb-remoting-domain/mapping=classic/mapping-module=SimpleRoles:add(code=SimpleRoles, type=role, module-options=["testUser"="testRole"]) reload
Kerberos 認証のセキュリティーレルムを設定します。
Kerberos 認証によるセキュリティーレルムのセットアップについては、Kerberos での管理インターフェイスのセキュア化 を参照してください。
例: セキュリティーレルム
/core-service=management/security-realm=krbRealm:add() /core-service=management/security-realm=krbRealm/server-identity=kerberos:add() /core-service=management/security-realm=krbRealm/server-identity=kerberos/keytab=remote\/localhost@JBOSS.ORG:add(path=\/path\/to\/remote.keytab, debug=true) /core-service=management/security-realm=krbRealm/authentication=kerberos:add(remove-realm=true) reload
remotingサブシステムに HTTP コネクターを設定します。さらに、新規作成されたセキュリティーレルムを使用するために
remotingサブシステムで HTTP コネクターを設定する必要があります。例: remoting サブシステム
/subsystem=remoting/http-connector=http-remoting-connector:write-attribute(name=security-realm, value=krbRealm)
サービスのセキュリティーを設定します。
securedへのリモーティングインターフェイスを使用してアクセスされるサービスを設定する必要もあります。この設定はサービスによって異なります。たとえば、EJB の場合、@SecurityDomainおよび@RolesAllowedアノテーションを使用できます。
