第4章 クレデンシャルをセキュアに保存する方法

前提条件

• 最低でも、JBoss EAP が実行されているユーザーアカウントの KeyStoreCredentialStore を含むディレクトリーへの読み取り/書き込みアクセスが割り当てられている。

手順

• 以下の管理用 CLI コマンドで KeyStoreCredentialStore を作成します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:add(path="<path_to_store_file>", relative-to=<base_path_to_store_file>, credential-reference={clear-text=<store_password>}, create=true)

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:add(path="exampleKeyStoreCredentialStore.jceks", relative-to=jboss.server.data.dir, credential-reference={clear-text=password}, create=true)
  {"outcome" => "success"}

• ホストコントローラーごとに KeyStoreCredentialStore を作成し、各 KeyStoreCredentialStore に認証情報を追加します。
• あるホストコントローラーから他の全てのホストコントローラーに、生成された KeyStoreCredentialStore をコピーします。
• KeyStoreCredentialStore ファイルをネットワークファイルシステム (NFS) に保存し、作成したすべての KeyStoreCredentialStore リソースにそのファイルを使用します。

前提条件

• 最低でも、JBoss EAP が実行されているユーザーアカウントの PropertiesCredentialStore を含むディレクトリーへの読み取り/書き込みのアクセスが割り当てられている。

手順

• 次のコマンドを使用して、管理 CLI を使用して PropertiesCredentialStore を作成します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:add(path="<path_to_the_credential_store>", relative-to=<path_to_store_file>)

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:add(path=examplePropertiesCredentialStore.cs, relative-to=jboss.server.config.dir)
  {"outcome" => "success"}

前提条件

• KeyStoreCredentialStore を作成してある。

  KeyStoreCredentialStore の作成は、スタンドアロンサーバー用の KeyStoreCredentialStore/credential-store の作成 を参照してください。

手順

• 新しい PasswordCredential を KeyStoreCredentialStore に追加します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:add-alias(alias=<alias>, secret-value=<secret-value>)

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:add-alias(alias=passwordCredentialAlias, secret-value=StrongPassword)
  {"outcome" => "success"}

検証

• 次のコマンドを実行して、PasswordCredential が KeyStoreCredentialStore に追加されたことを確認します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => ["passwordcredentialalias"]
  }

前提条件

• KeyStoreCredentialStore を作成してある。

  KeyStoreCredentialStore の作成は、スタンドアロンサーバー用の KeyStoreCredentialStore/credential-store の作成 を参照してください。

検証

• 以下のコマンドを実行して、Elytron が SecretKeyCredential を KeyStoreCredentialStore に保存されたことを確認します。

  構文

  /subsystem=elytron/credential-store=<credential_store>:read-aliases()

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias"
      ]
  }

前提条件

• Properties Credential Store を作成している。

  Properties Credential Store の作成については、スタンドアロンサーバー用の PropertiesCredentialStore/secret-key-credential-store の作成 を参照してください。

手順

• 以下の管理 CLI コマンドで PropertiesCredentialStore に SecretKeyCredential を生成します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_the_properties_credential_store>:generate-secret-key(alias=<alias>, key-size=<128_or_192>)

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:generate-secret-key(alias=secretKeyCredentialAlias)
  {"outcome" => "success"}

検証

• 以下のコマンドを実行して、Elytron が SecretKeyCredential を作成したことを確認します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_the_properties_credential_store>:read-aliases()

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias",
          "key"
      ]
  }

前提条件

• Properties Credential Store を作成している。

  Properties Credential Store の作成については、スタンドアロンサーバー用の PropertiesCredentialStore/secret-key-credential-store の作成 を参照してください。

• Secret Key Credential がエクスポートされました。

  Secret Key Credential のエクスポートについては、Properties Credential Store/secret-key-credential-store からの Secret Key Credential のエクスポート を参照してください。

手順

• 以下の管理用 CLI コマンドを使用して、KeyStoreCredentialStore に格納されている認証情報をリスト表示します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "passwordcredentialalias",
          "secretkeycredentialalias"
      ]
  }

手順

• 以下の管理 CLI コマンドを使用して、PropertiesCredentialStore に格納されている認証情報をリスト表示します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:read-aliases()

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias",
          "key"
      ]
  }

前提条件

• Key Store Credential Store に Secret Key Credential を生成している。

  Key Store Credential Store での Secret Key Credential の生成については、KeyStoreCredentialStore/credential-store での SecretKeyCredential の生成 を参照してください。

手順

• 以下の管理 CLI コマンドで、KeyStoreCredentialStore から SecretKeyCredential をエクスポートします。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:export-secret-key(alias=<alias>)

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:export-secret-key(alias=secretKeyCredentialAlias)
  {
      "outcome" => "success",
      "result" => {"key" => "RUxZAUui+8JkoDCE6mFyA3cCIbSAZaXq5wgYejj1scYgdDqWiw=="}
  }

前提条件

• PropertiesCredentialStore で SecretKeyCredential を生成しておくか、インポートしておく。

  PropertiesCredentialStore で SecretKeyCredential を生成する方法は、PropertiesCredentialStore での SecretKeyCredential/secret-key-credential-store の生成 を参照してください。

  SecretKeyCredential を PropertiesCredentialStore にインポートする方法は、PropertiesCredential Store/secret-key-credential-store への SecretKeyCredential のインポート を参照してください。

手順

• 以下の管理 CLI コマンドを使用して、PropertiesCredentialStore から SecretKeyCredential をエクスポートします。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:export-secret-key(alias=<alias>)

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:export-secret-key(alias=secretkeycredentialalias)
  {
      "outcome" => "success",
      "result" => {"key" => "RUxZAUtxXcYvz0aukZu+odOynIr0ByLhC72iwzlJsi+ZPmONgA=="}
  }

手順

• 次の管理 CLI コマンドを使用して、KeyStoreCredentialStore からクレデンシャルを削除します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:remove-alias(alias=<alias>, entry-type=<credential_type>)

  PasswordCredential の削除例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:remove-alias(alias=passwordCredentialAlias)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'passwordCredentialAlias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("credential-store" => "exampleKeyStoreCredentialStore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

  SecretKeyCredential の削除例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:remove-alias(alias=secretKeyCredentialAlias, entry-type=SecretKeyCredential)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'secretKeyCredentialAl
  ias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("credential-store" => "exampleKeyStoreCredentialStore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

検証

• 次のコマンドを実行して、Elytron がクレデンシャルを削除したことを確認します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => []
  }

  削除したクレデンシャルはリストにありません。

手順

• 以下のコマンドで PropertiesCredentialStore から SecretKeyCredential を削除します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:remove-alias(alias=<alias>)

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:remove-alias(alias=secretKeyCredentialAlias)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'secretKeyCredentialAlias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("secret-key-credential-store" => "examplePropertiesCredentialSt
  ore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

検証

• 次のコマンドを実行して、Elytron がクレデンシャルを削除したことを確認します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:read-aliases()

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => []
  }

  削除したクレデンシャルはリストにありません。

前提条件

• お使いの環境が Bouncy Castle を使用するように設定されていることを確認する。

  詳しくは、Bouncy Castle プロバイダーを使用するための環境設定 を参照してください。

手順

• 以下のコマンドで Wild Fly Elytron ツールを使用して PropertiesCredentialStore を作成します。

  構文

  $ EAP_HOME/bin/elytron-tool.sh credential-store --create --location "<path_to_store_file>" --type PropertiesCredentialStore

  例

  $ bin/elytron-tool.sh credential-store --create --location=standalone/configuration/properties-credential-store.cs --type PropertiesCredentialStore
  Credential Store has been successfully created

前提条件

• Wild Fly Elytron ツールでクレデンシャルストアを作成しておく。

  詳細は、Wild Fly Elytron ツールを使用した KeyStoreCredentialStore/credential-Store の作成 を参照してください。

手順

• 以下の管理 CLI コマンドを使用して、実行中の JBoss EAP サーバーにクレデンシャルストアを追加します。

  /subsystem=elytron/credential-store=<store_name>:add(location="<path_to_store_file>",credential-reference={clear-text=<store_password>})

  以下に例を示します。

  /subsystem=elytron/credential-store=my_store:add(location="../cred_stores/example-credential-store.jceks",credential-reference={clear-text=storePassword})

手順

• マスクされた文字列を生成するには、以下のコマンドを使用して salt および iteration count の値を指定します。

  $ EAP_HOME/bin/elytron-tool.sh mask --salt <salt> --iteration <iteration_count> --secret <password>

  以下に例を示します。

  $ EAP_HOME/bin/elytron-tool.sh mask --salt 12345678 --iteration 123 --secret supersecretstorepassword
  
  MASK-8VzWsSNwBaR676g8ujiIDdFKwSjOBHCHgnKf17nun3v;12345678;123

  コマンドでシークレットを指定しない場合は、その引数を省略し、標準入力を使用して手動でシークレットを入力するように求められます。

前提条件

• お使いの環境が BouncyCastle プロバイダーを使用するように設定されていることを確認する。

  詳しくは、Bouncy Castle プロバイダーを使用するための環境設定をご覧ください。

前提条件

• 最低でも、JBoss EAP が実行されているユーザーアカウントの PropertiesCredentialStore を含むディレクトリーへの読み取り/書き込みのアクセスが割り当てられている。

手順

• 次のコマンドを使用して、管理 CLI を使用して PropertiesCredentialStore を作成します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:add(path="<path_to_the_credential_store>", relative-to=<path_to_store_file>)

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:add(path=examplePropertiesCredentialStore.cs, relative-to=jboss.server.config.dir)
  {"outcome" => "success"}

前提条件

• クレデンシャルストアで秘密鍵を生成している。

  KeyStoreCredentialStore での秘密鍵の作成については、KeyStoreCredentialStore/credential-store での SecretKeyCredential の生成を参照してください。

  Properties Credential Store での秘密鍵の作成については、Properties Credential Store での SecretKeyCredential の生成/secret-key-credential-storeを参照してください。

前提条件

• 暗号化式が作成されている。

  暗号化された式の作成については、Elytron での暗号化式の作成 を参照してください。

手順

• 暗号化式を clear-text として使用する KeyStoreCredentialStore を作成します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:add(path=<path_to_the_credential_store>, create=true, modifiable=true, credential-reference={clear-text=<encrypted_expression>})

  例

  /subsystem=elytron/credential-store=secureKeyStoreCredentialStore:add(path="secureKeyStoreCredentialStore.jceks", relative-to=jboss.server.data.dir, create=true, modifiable=true, credential-reference={clear-text=${ENC::exampleResolver:RUxZAUMQgtpG7oFlHR2j1Gkn3GKIHff+HR8GcMX1QXHvx2uGurI=}})
  {"outcome" => "success"}

• 最初の暗号化式は、KeyStoreCredentialStore のセキュリティーを保護します。
• また、別の暗号化式では、機密文字列のセキュリティーを確保します。
• 機密な文字列の解読には、暗号化式を両方、解読する必要があります。

手順

• 以下のコマンドで、単一のパスワード vault をクレデンシャルストアに変換します。

  $ EAP_HOME/bin/elytron-tool.sh vault --keystore "<path_to_vault_file>" --keystore-password <vault_password> --enc-dir "<path_to_vault_directory>" --salt <salt> --iteration <iteration_count> --alias <vault_alias>

  たとえば、--location 引数を使用して、新しいクレデンシャルストアのファイル名と場所を指定することもできます。

  $ EAP_HOME/bin/elytron-tool.sh vault --keystore ../vaults/vault.keystore --keystore-password vault22 --enc-dir ../vaults/ --salt 1234abcd --iteration 120 --alias my_vault --location ../cred_stores/my_vault_converted.cred_store