JBoss EAP における SSL/TLS の設定

手順

1. 証明書を格納するようにキーストアを設定します。

   たとえば、CA 署名の証明書が含まれるキーストアなどの既存のキーストアへのパスを指定するか、作成するキーストアへのパスを指定できます。

   /subsystem=elytron/key-store=<keystore_name>:add(path=<path_to_keystore>, credential-reference=<credential_reference>, type=<keystore_type>)

   Copy to Clipboard Toggle word wrap

   例

   /subsystem=elytron/key-store=exampleKeyStore:add(path=exampleserver.keystore.pkcs12, relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=PKCS12)

   Copy to Clipboard Toggle word wrap

2. キーストアに証明書が含まれていない場合や、上記の手順を使用してキーストアを作成した場合は、証明書を生成し、証明書をファイルに保存する必要があります。

   1. キーストアでキーペアを生成します。

      構文

      /subsystem=elytron/key-store=<keystore_name>:generate-key-pair(alias=<keystore_alias>,algorithm=<algorithm>,key-size=<key_size>,validity=<validity_in_days>,credential-reference=<credential_reference>,distinguished-name="<distinguished_name>")

      Copy to Clipboard Toggle word wrap

      例

      /subsystem=elytron/key-store=exampleKeyStore:generate-key-pair(alias=localhost,algorithm=RSA,key-size=2048,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")

      Copy to Clipboard Toggle word wrap

   2. 証明書をファイルに保存します。

      構文

      /subsystem=elytron/key-store=<keystore_name>:store()

      Copy to Clipboard Toggle word wrap

      例

      /subsystem=elytron/key-store=exampleKeyStore:store()

      Copy to Clipboard Toggle word wrap

3. key-store を参照する key-manager を設定します。

   構文

   /subsystem=elytron/key-manager=<key-manager_name>:add(key-store=<key-store_name>,credential-reference=<credential_reference>)

   Copy to Clipboard Toggle word wrap

   例

   /subsystem=elytron/key-manager=exampleKeyManager:add(key-store=exampleKeyStore,credential-reference={clear-text=secret})

   Copy to Clipboard Toggle word wrap

   重要

   elytron サブシステムはデフォルトで KeyManagerFactory.getDefaultAlgorithm() を使用してアルゴリズムを決定するため、Red Hat はアルゴリズム属性を指定しませんでした。ただし、アルゴリズム属性は指定できます。

   アルゴリズム属性を指定するには、使用している Java Development Kit (JDK) が提供するキーマネージャーアルゴリズムを知る必要があります。たとえば、Java Secure Socket Extension (SunJSSE) を使用する JDK は、PKIX および SunX509 アルゴリズムを提供します。

   このコマンドでは、SunX509 を key-manager アルゴリズム属性として指定できます。

4. key-manager を参照する server-ssl-context を設定します。

   構文

   /subsystem=elytron/server-ssl-context=<server-ssl-context_name>:add(key-manager=<key-manager_name>, protocols=<list_of_protocols>)

   Copy to Clipboard Toggle word wrap

   例

   /subsystem=elytron/server-ssl-context=examplehttpsSSC:add(key-manager=exampleKeyManager, protocols=["TLSv1.2"])

   Copy to Clipboard Toggle word wrap

   重要

   利用できるようにする必要のある SSL/TLS プロトコルを決定する必要があります。コマンド例は TLSv1.2 を使用します。

   • TLSv1.2 以前の場合は、cipher-suite-filter 引数を使用して、許可される暗号スイートを指定します。
   • TLSv1.3 の場合は、cipher-suite-names 引数を使用して、許可される暗号スイートを指定します。TLSv1.3 は、デフォルトでは無効になっています。protocols 属性でプロトコルを指定しない場合、または指定されたセットに TLSv1.3 が含まれている場合は、cipher-suite-names を設定すると TLSv1.3 が有効になります。

   use-cipher-suites-order 引数を使用して、サーバーの暗号スイートの順序に従います。use-cipher-suites-order 属性は、デフォルトで true に設定されています。これは、デフォルトでクライアント暗号スイートの順序に従うレガシーセキュリティーサブシステムの動作とは異なります。

5. 設定した server-ssl-context を使用するように管理インターフェイスを更新します。

   構文

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=<server-ssl-context_name>)
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

   Copy to Clipboard Toggle word wrap

   例

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=examplehttpsSSC)
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

   Copy to Clipboard Toggle word wrap

6. サーバーをリロードします。

   reload

   Copy to Clipboard Toggle word wrap

   SSL/TLS を有効にするために自己署名証明書を使用した場合、管理 CLI はサーバーが提示する証明書を受け入れるように要求します。これは、キーストアを設定した証明書です。

   出力例

   Unable to connect due to unrecognised server certificate
   Subject    - CN=localhost
   Issuer     - CN=localhost
   Valid From - Mon Jan 30 23:47:21 IST 2023
   Valid To   - Tue Jan 30 23:47:21 IST 2024
   MD5 : a1:00:84:78:a6:46:a4:78:4d:44:c8:6d:ba:1f:30:6a
   SHA1 : a4:e5:c1:34:ad:e0:91:18:6f:f6:57:09:91:ae:17:8d:70:f0:1a:7d
   
   
   Accept certificate? [N]o, [T]emporarily, [P]ermanently :

   Copy to Clipboard Toggle word wrap

   T または P を入力して接続を続行します。

検証

1. JBoss EAP がブラウザーに提示した証明書とサーバーログの証明書を比較します。

   サーバーログの例

   17:50:24,086 WARN  [org.wildfly.extension.elytron] (default task-1) WFLYELY01085: Generated self-signed certificate at /home/user1/Downloads/wildflies/wildfly-27.0.1.Final/standalone/configuration/application.keystore. Please note that self-signed certificates are not secure and should only be used for testing purposes. Do not use this self-signed certificate in production.
   SHA-1 fingerprint of the generated key is 11:2f:e7:8c:18:b7:2c:c1:b0:5a:ad:ea:83:e0:32:59:ba:73:91:e2
   SHA-256 fingerprint of the generated key is b2:a4:ed:b0:5c:c2:a1:4c:ca:39:03:e8:3a:11:e4:c5:c4:81:9d:46:97:7c:e6:6f:0c:45:f6:5d:64:3f:0d:64

   Copy to Clipboard Toggle word wrap

   ブラウザーに提示された証明書の例

   SHA-256 Fingerprint	B2 A4 ED B0 5C C2 A1 4C CA 39 03 E8 3A 11 E4 C5
   C4 81 9D 46 97 7C E6 6F 0C 45 F6 5D 64 3F 0D 64
   SHA-1 Fingerprint	11 2F E7 8C 18 B7 2C C1 B0 5A AD EA 83 E0 32 59
   BA 73 91 E2

   Copy to Clipboard Toggle word wrap

2. この例のようにフィンガープリントが一致する場合は、そのページに進むことができます。

検証

1. https://localhost:8443 に移動します。

   自己署名証明書を使用した場合が、サーバーが提示した証明書が不明であるという警告がブラウザーに表示されます。

2. 証明書を調べて、ブラウザーに表示されるフィンガープリントが、キーストアの証明書のフィンガープリントと一致することを確認します。次のコマンドを使用して、生成した証明書を表示できます。

   構文

   /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

   Copy to Clipboard Toggle word wrap

   例

   /subsystem=elytron/key-store=key-store-4cba6678-c464-4dcc-90ff-9295312ac395:read-alias(alias="localhost")

   Copy to Clipboard Toggle word wrap

   ウィザードの出力からキーストア名を取得できます (例: "key-store is key-store-4cba6678-c464-4dcc-90ff-9295312ac395")。

   出力例

   ...
   "sha-1-digest" => "48:e3:6f:16:d1:af:4b:31:8f:9b:0b:7f:33:94:58:af:69:85:c
   0:ea",
   "sha-256-digest" => "8f:3e:6b:b5:56:e0:d1:97:81:bc:f1:8d:c8:66:75:06:db:7d
   :4d:b6:b1:d3:34:dd:f5:6c:85:ca:c7:2b:5b:c7",
   ...

   Copy to Clipboard Toggle word wrap

手順

1. 証明書を格納するようにキーストアを設定します。

   たとえば、CA 署名の証明書が含まれるキーストアなどの既存のキーストアへのパスを指定するか、作成するキーストアへのパスを指定できます。

   /subsystem=elytron/key-store=<keystore_name>:add(path=<path_to_keystore>, credential-reference=<credential_reference>, type=<keystore_type>)

   Copy to Clipboard Toggle word wrap

   例

   /subsystem=elytron/key-store=exampleKeyStore:add(path=exampleserver.keystore.pkcs12, relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=PKCS12)

   Copy to Clipboard Toggle word wrap

2. キーストアに証明書が含まれていない場合や、上記の手順を使用してキーストアを作成した場合は、証明書を生成し、証明書をファイルに保存する必要があります。

   1. キーストアでキーペアを生成します。

      構文

      /subsystem=elytron/key-store=<keystore_name>:generate-key-pair(alias=<keystore_alias>,algorithm=<algorithm>,key-size=<key_size>,validity=<validity_in_days>,credential-reference=<credential_reference>,distinguished-name="<distinguished_name>")

      Copy to Clipboard Toggle word wrap

      例

      /subsystem=elytron/key-store=exampleKeyStore:generate-key-pair(alias=localhost,algorithm=RSA,key-size=2048,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")

      Copy to Clipboard Toggle word wrap

   2. 証明書をファイルに保存します。

      構文

      /subsystem=elytron/key-store=<keystore_name>:store()

      Copy to Clipboard Toggle word wrap

      例

      /subsystem=elytron/key-store=exampleKeyStore:store()

      Copy to Clipboard Toggle word wrap

3. key-store を参照する key-manager を設定します。

   構文

   /subsystem=elytron/key-manager=<key-manager_name>:add(key-store=<key-store_name>,credential-reference=<credential_reference>)

   Copy to Clipboard Toggle word wrap

   例

   /subsystem=elytron/key-manager=exampleKeyManager:add(key-store=exampleKeyStore,credential-reference={clear-text=secret})

   Copy to Clipboard Toggle word wrap

   重要

   elytron サブシステムはデフォルトで KeyManagerFactory.getDefaultAlgorithm() を使用してアルゴリズムを決定するため、Red Hat はアルゴリズム属性を指定しませんでした。ただし、アルゴリズム属性は指定できます。

   アルゴリズム属性を指定するには、使用している Java Development Kit (JDK) が提供するキーマネージャーアルゴリズムを知る必要があります。たとえば、Java Secure Socket Extension (SunJSSE) を使用する JDK は、PKIX および SunX509 アルゴリズムを提供します。

   このコマンドでは、SunX509 を key-manager アルゴリズム属性として指定できます。

4. key-manager を参照する server-ssl-context を設定します。

   構文

   /subsystem=elytron/server-ssl-context=<server-ssl-context_name>:add(key-manager=<key-manager_name>, protocols=<list_of_protocols>)

   Copy to Clipboard Toggle word wrap

   例

   /subsystem=elytron/server-ssl-context=examplehttpsSSC:add(key-manager=exampleKeyManager, protocols=["TLSv1.2"])

   Copy to Clipboard Toggle word wrap

   重要

   利用できるようにする必要のある SSL/TLS プロトコルを決定する必要があります。コマンド例は TLSv1.2 を使用します。

   • TLSv1.2 以前の場合は、cipher-suite-filter 引数を使用して、許可される暗号スイートを指定します。
   • TLSv1.3 の場合は、cipher-suite-names 引数を使用して、許可される暗号スイートを指定します。TLSv1.3 は、デフォルトでは無効になっています。protocols 属性でプロトコルを指定しない場合、または指定されたセットに TLSv1.3 が含まれている場合は、cipher-suite-names を設定すると TLSv1.3 が有効になります。

   use-cipher-suites-order 引数を使用して、サーバーの暗号スイートの順序に従います。use-cipher-suites-order 属性は、デフォルトで true に設定されています。これは、デフォルトでクライアント暗号スイートの順序に従うレガシーセキュリティーサブシステムの動作とは異なります。

5. 設定された server-ssl-context を使用するように Undertow を更新します。

   構文

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=<server-ssl-context_name>)

   Copy to Clipboard Toggle word wrap

   例

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=examplehttpsSSC)

   Copy to Clipboard Toggle word wrap

6. サーバーをリロードします。

   reload

   Copy to Clipboard Toggle word wrap

検証

1. https://localhost:8443 に移動します。

   自己署名証明書を使用した場合が、サーバーが提示した証明書が不明であるという警告がブラウザーに表示されます。

2. 証明書を調べて、ブラウザーに表示されるフィンガープリントが、キーストアの証明書のフィンガープリントと一致することを確認します。次のコマンドを使用して、生成した証明書を表示できます。

   構文

   /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

   Copy to Clipboard Toggle word wrap

   例

   /subsystem=elytron/key-store=exampleKeyStore:read-alias(alias=localhost)

   Copy to Clipboard Toggle word wrap

   出力例

   ...
   "sha-1-digest" => "cc:f1:82:59:c7:0d:f6:91:bc:3e:69:0a:38:fb:48:be:ec:7f:d
   4:bd",
   "sha-256-digest" => "c0:f3:f9:8b:3c:f1:72:17:64:54:35:a6:bb:82:7e:51:b0:78
   :30:cb:68:ef:04:0e:f5:2b:9d:62:ca:a7:f6:35",
   ...

   Copy to Clipboard Toggle word wrap

手順

1. mvn コマンドを使用して Maven プロジェクトをセットアップします。このコマンドは、プロジェクトのディレクトリー構造と pom.xml 設定ファイルを作成します。

   $ mvn archetype:generate \
   -DgroupId=com.example.client \
   -DartifactId=client-ssl-context \
   -DarchetypeGroupId=org.apache.maven.archetypes \
   -DarchetypeArtifactId=maven-archetype-quickstart \
   -DinteractiveMode=false

   Copy to Clipboard Toggle word wrap

2. アプリケーションのルートディレクトリーに移動します。

   $ cd client-ssl-context

   Copy to Clipboard Toggle word wrap

3. 生成された pom.xml ファイルの内容を、以下のテキストに置き換えます。

   <?xml version="1.0" encoding="UTF-8"?>
   
   <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
     xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
     <modelVersion>4.0.0</modelVersion>
   
     <groupId>com.example.client</groupId>
     <artifactId>client-ssl-context</artifactId>
     <version>1.0-SNAPSHOT</version>
   
     <name>client-ssl-context</name>
   
     <properties>
       <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
       <maven.compiler.source>11</maven.compiler.source>
       <maven.compiler.target>11</maven.compiler.target>
     </properties>
   
     <repositories>
       <repository>
         <id>jboss-public-maven-repository</id>
         <name>JBoss Public Maven Repository</name>
         <url>https://repository.jboss.org/nexus/content/groups/public/</url>
         <releases>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </releases>
         <snapshots>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </snapshots>
         <layout>default</layout>
       </repository>
       <repository>
         <id>redhat-ga-maven-repository</id>
         <name>Red Hat GA Maven Repository</name>
         <url>https://maven.repository.redhat.com/ga/</url>
         <releases>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </releases>
         <snapshots>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </snapshots>
         <layout>default</layout>
       </repository>
     </repositories>
   
     <dependencies>
       <dependency>                                         

   1

   
         <groupId>org.wildfly.security</groupId>
         <artifactId>wildfly-elytron-client</artifactId>
         <version>2.0.0.Final-redhat-00001</version>
       </dependency>
       <dependency>                                         

   2

   
         <groupId>org.wildfly.client</groupId>
         <artifactId>wildfly-client-config</artifactId>
         <version>1.0.1.Final-redhat-00001</version>
       </dependency>
     </dependencies>
   
     <build>
       <plugins>
         <plugin>
           <groupId>org.codehaus.mojo</groupId>
           <artifactId>exec-maven-plugin</artifactId>
           <version>1.4.0</version>
           <configuration>
             <mainClass>com.example.client.App</mainClass>
           </configuration>
         </plugin>
       </plugins>
     </build>
   </project>

   Copy to Clipboard Toggle word wrap

   1

   wildfly-elytron-client の依存関係。

   2

   wildfly-client-config の依存関係。

4. src/test ディレクトリーを削除します。

   $ rm -rf src/test/

   Copy to Clipboard Toggle word wrap

手順

1. Java ファイルを保存するディレクトリーを作成します。

   $ mkdir -p <application_home>/src/main/java/com/example/client

   Copy to Clipboard Toggle word wrap

2. 新しいディレクトリーに移動します。

   $ cd <application_home>/src/main/java/com/example/client

   Copy to Clipboard Toggle word wrap

3. 以下の内容で Java ファイル App.java を作成します。

   package com.example.client;
   
   import java.io.IOException;
   import java.net.URI;
   import java.net.http.HttpClient;
   import java.net.http.HttpRequest;
   import java.net.http.HttpResponse;
   import java.net.http.HttpResponse.BodyHandlers;
   import java.security.NoSuchAlgorithmException;
   import java.security.Security;
   import java.util.Properties;
   import javax.net.ssl.SSLContext;
   import org.wildfly.security.auth.client.WildFlyElytronClientDefaultSSLContextProvider;
   
   public class App  {
   
     public static void main( String[] args )  {
     String url = "https://localhost:8443/";                                                                                   

   1

   
     try {
       Security.insertProviderAt(new WildFlyElytronClientDefaultSSLContextProvider("src/wildfly-config-two-way-tls.xml"), 1);  

   2

   
       HttpClient httpClient = HttpClient.newBuilder().sslContext(SSLContext.getDefault()).build();
       HttpRequest request = HttpRequest.newBuilder()
                   .uri(URI.create(url))
                   .GET()
                   .build();
       HttpResponse<Void> httpRresponse = httpClient.send(request, BodyHandlers.discarding());
       String sslContext = SSLContext.getDefault().getProvider().getName();                                                    

   3

   
       System.out.println ("\nSSL Default SSLContext is: " + sslContext);
   
     } catch (NoSuchAlgorithmException | IOException | InterruptedException e) {
         e.printStackTrace();
       }
   
     System.exit(0);
     }
   }

   Copy to Clipboard Toggle word wrap

   1

   JBoss EAP ホームページの URL を定義します。

   2

   セキュリティープロバイダーを登録します。1 は、このプロバイダーの優先度を定義します。プロバイダーを静的に登録するには、代わりに java.security ファイルに security.provider.1=org.wildfly.security.auth.client.WildFlyElytronClientDefaultSSLContextProvider <PATH>/<TO>/wildfly-config-two-way-tls.xml のようにプロバイダーを追加できます。

   3

   デフォルトの SSL コンテキストを取得します。

4. <application_home>/src ディレクトリーに、"wildfly-config-two-way-tls.xml" というクライアント設定ファイルを作成します。

   <?xml version="1.0" encoding="UTF-8"?>
   
   <configuration>
       <authentication-client xmlns="urn:elytron:client:1.7">
           <key-stores>
               <key-store name="truststore" type="PKCS12">
                   <file name="${path_to_client_truststore}/client.truststore.p12"/>
                   <key-store-clear-password password="secret"/>
               </key-store>
               <key-store name="keystore" type="PKCS12">
                   <file name="${path_to_client_keystore}/exampleclient.keystore.pkcs12"/>
                   <key-store-clear-password password="secret"/>
               </key-store>
           </key-stores>
           <ssl-contexts>
               <ssl-context name="client-context">
                   <trust-store key-store-name="truststore"/>
                   <key-store-ssl-certificate key-store-name="keystore" alias="exampleclientkeystore">
                       <key-store-clear-password password="secret"/>
                   </key-store-ssl-certificate>
               </ssl-context>
           </ssl-contexts>
           <ssl-context-rules>
               <rule use-ssl-context="client-context"/>
           </ssl-context-rules>
       </authentication-client>
   </configuration>

   Copy to Clipboard Toggle word wrap

   以下のプレースホルダーの値を、実際のパスに置き換えます。

   • ${path_to_client_truststore}
   • ${path_to_client_keystore}

検証

1. <application_home> ディレクトリーに移動します。

2. アプリケーションを実行します。

   $ mvn compile exec:java

   Copy to Clipboard Toggle word wrap

   出力例

   INFO: ELY00001: WildFly Elytron version 2.0.0.Final-redhat-00001
   
   SSL Default SSLContext is: WildFlyElytronClientDefaultSSLContextProvider

   Copy to Clipboard Toggle word wrap