Red Hat Summit3.4. レガシーのコア管理認証によるユーザー認証
3.4.1. デフォルトのユーザー設定
JBoss EAP のすべての管理インターフェイスはデフォルトでセキュアになります。また、ユーザーはローカルインターフェイスとリモートインターフェイスという 2 つの方法で管理インターフェイスにアクセスできます。これらの認証メカニズムの基本は、JBoss EAPSecurity Architectureの Default Security と JBoss EAP Out of the Box のセクションで説明しています。デフォルトでは、これらのインターフェイスへのアクセスは管理レルムセキュリティーレルムで設定されます。最初に、ローカルインターフェイスが有効になり、JBoss EAP インスタンスを実行するホストマシンへのアクセスになります。リモートアクセスも有効化され、ファイルベースのアイデンティティーストアを使用するように設定されます。デフォルトでは、mgmt-users.properties ファイルを使用してユーザー名とパスワードを保存し、mgmt-groups.properties を使用してユーザーグループ情報を保存します。
ユーザー情報は、EAP_HOME/bin/ ディレクトリーに格納されている adduser スクリプトを使用してこれらのファイルに追加されます。
adduser スクリプトでユーザーを追加するには、以下を実行します。
-
add-user.shまたはadd-user.batコマンドを実行します。 - 管理ユーザーまたはアプリケーションユーザーを追加するかどうかを選択します。
-
ユーザーを追加するレルムを選択します。デフォルトでは、利用可能なレルムは
ManagementRealmとApplicationRealmのみです。カスタムレルムが追加されると、代わりに手動で名前を入力することができます。 - プロンプトが表示されたら、ユーザー名、パスワード、および任意のロールを入力します。変更は、セキュリティーレルムの各プロパティーファイルに書き込まれます。
3.4.2. LDAP での認証の追加
JBoss EAP は、LDAP 認証を使用した管理インターフェイスのセキュア化にも対応しています。LDAP の基本と JBoss EAP での使用は、Red Hat JBoss Enterprise Application Platform 7セキュリティーアーキテクチャーガイドの LDAP、LDAP と管理インターフェイスの使用、LDAP と ManagementRealm の使用 で説明されています。LDAP 認証を使用して管理インターフェイスをセキュアにする方法の詳細は、JBoss EAP アイデンティティー管理の設定方法 の LDAP での管理インターフェイスのセキュリティー保護 セクションを参照してください。
3.4.3. 管理インターフェイスのセキュア化での JAAS の使用
JAAS は、JBoss EAP がセキュリティーを管理するために使用する宣言型セキュリティー API です。JAAS と宣言型セキュリティーの詳細は、Red Hat JBoss Enterprise Application Platform Security Architectureガイドの 宣言型セキュリティーと JAAS を参照します。
JBoss EAP インスタンスが ADMIN_ONLY モードで実行されるように設定されていると、JAAS を使用した管理インターフェイスのセキュア化はサポートされません。ADMIN_ONLY モードの詳細は、JBoss EAP設定ガイド の JBoss EAP の ADMIN_ONLY モードでの実行 を参照してください。
JAAS を使用して管理インターフェイスに認証するには、以下の手順を実行する必要があります。
セキュリティードメインを作成します。
この例では、セキュリティードメインが
UserRolesログインモジュールで作成されますが、その他のログインモジュールも使用できます。/subsystem=security/security-domain=UsersLMDomain:add(cache-type=default) /subsystem=security/security-domain=UsersLMDomain/authentication=classic:add /subsystem=security/security-domain=UsersLMDomain/authentication=classic/login-module=UsersRoles:add(code=UsersRoles, flag=required,module-options=[("usersProperties"=>"users.properties"),("rolesProperties"=>"roles.properties")])JAAS 認証でセキュリティーレルムを作成します。
/core-service=management/security-realm=SecurityDomainAuthnRealm:add /core-service=management/security-realm=SecurityDomainAuthnRealm/authentication=jaas:add(name=UsersLMDomain)
新しいセキュリティーレルムを使用するように
http-interface管理インターフェイスを更新します。/core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=SecurityDomainAuthnRealm)
オプション: グループメンバーシップを割り当てます。
属性
assign-groupsは、セキュリティーレルム内のグループ割り当てに、セキュリティードメインからロードされたユーザーメンバーシップ情報を使用するかどうかを決定します。trueに設定すると、グループ割り当ては、RBAC (Role-Based Access Control) に使用されます。/core-service=management/security-realm=SecurityDomainAuthnRealm/authentication=jaas:write-attribute(name=assign-groups,value=true)
