JBoss EAP における認証情報のセキュアなストレージ

前提条件

• 最低でも、JBoss EAP が実行されているユーザーアカウントの KeyStoreCredentialStore を含むディレクトリーへの読み取り/書き込みアクセスが割り当てられている。

手順

• 以下の管理用 CLI コマンドで KeyStoreCredentialStore を作成します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:add(path="<path_to_store_file>", relative-to=<base_path_to_store_file>, credential-reference={clear-text=<store_password>}, create=true)

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:add(path="exampleKeyStoreCredentialStore.jceks", relative-to=jboss.server.data.dir, credential-reference={clear-text=password}, create=true)
  {"outcome" => "success"}

• 各ホストコントローラーに credential-store を作成し、各 credential-store にクレデンシャルを追加します。
• 1 つのホストコントローラーから他のすべてのホストコントローラーに、入力された credential-store をコピーします。
• credential-store ファイルをネットワークファイルシステム (NFS) に保存し、作成するすべての credential-store リソースにそのファイルを使用します。

前提条件

• JBoss EAP が実行されている。
• 少なくとも、JBoss EAP を実行しているユーザーアカウントの secret-key-credential-store を格納したディレクトリーへの読み取り/書き込みアクセスが割り当てられている。

手順

• 以下のコマンドで、管理 CLI を使用して secret-key-credential-store を作成します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:add(path="<path_to_the_credential_store>", relative-to=<path_to_store_file>)

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:add(path=examplePropertiesCredentialStore.cs, relative-to=jboss.server.config.dir)
  {"outcome" => "success"}

前提条件

• credential-store を作成している。

  credential-store の作成の詳細は、スタンドアロンサーバー用 credential-store の作成 を参照してください。

手順

• 新しい PasswordCredential を credential-store に追加します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:add-alias(alias=<alias>, secret-value=<secret-value>)

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:add-alias(alias=passwordCredentialAlias, secret-value=StrongPassword)
  {"outcome" => "success"}

検証

• 次のコマンドを実行して、PasswordCredential が credential-store に追加されたことを確認します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => ["passwordcredentialalias"]
  }

前提条件

• credential-store を作成している。

  credential-store の作成の詳細は、スタンドアロンサーバー用 credential-store の作成 を参照してください。

手順

• 以下の管理 CLI コマンドを使用して、credential-store に SecretKeyCredential を生成します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:generate-secret-key(alias=<alias>, key-size=<128_or_192>)

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:generate-secret-key(alias=secretKeyCredentialAlias)

検証

• 以下のコマンドを実行して、Elytron が SecretKeyCredential を credential-store に保存したことを確認します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias"
      ]
  }

前提条件

• secret-key-credential-store を作成している。

  secret-key-credential-store の作成の詳細は、スタンドアロンサーバー用 secret-key-credential-store の作成 を参照してください。

手順

• 以下の管理 CLI コマンドを使用して、secret-key-credential-store に SecretKeyCredential を生成します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_the_properties_credential_store>:generate-secret-key(alias=<alias>, key-size=<128_or_192>)

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:generate-secret-key(alias=secretKeyCredentialAlias)
  {"outcome" => "success"}

検証

• 以下のコマンドを実行して、Elytron が SecretKeyCredential を作成したことを確認します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_the_properties_credential_store>:read-aliases()

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias",
          "key"
      ]
  }

前提条件

• secret-key-credential-store を作成している。

  secret-key-credential-store の作成の詳細は、スタンドアロンサーバー用 secret-key-credential-store の作成 を参照してください。

• SecretKeyCredential がエクスポートされました。

  SecretKeyCredential のエクスポートの詳細は、secret-key-credential-store からの SecretKeyCredential のエクスポート を参照してください。

手順

• 以下の管理 CLI コマンドを使用して、credential-store に保存されているクレデンシャルをリスト表示します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  例

  {
      "outcome" => "success",
      "result" => [
          "passwordcredentialalias",
          "secretkeycredentialalias"
      ]
  }

前提条件

• credential-store に SecretKeyCredential を生成している。

  credential-store で SecretKeyCredential を生成する方法の詳細は、credential-store での SecretKeyCredential の生成 を参照してください。

手順

• 以下の管理 CLI コマンドを使用して、credential-store から SecretKeyCredential をエクスポートします。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:export-secret-key(alias=<alias>)

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:export-secret-key(alias=secretKeyCredentialAlias)
  {
      "outcome" => "success",
      "result" => {"key" => "RUxZAUui+8JkoDCE6mFyA3cCIbSAZaXq5wgYejj1scYgdDqWiw=="}
  }

前提条件

• secret-key-credential-store で SecretKeyCredential を生成したか、インポートしている。

  secret-key-credential-store で SecretKeyCredential を生成する方法の詳細は、secret-key-credential-store での SecretKeyCredential の生成 を参照してください。

  SecretKeyCredential を secret-key-credential-store にインポートする方法の詳細は、SecretKeyCredential を secret-key-credential-store にインポートする方法 を参照してください。

手順

• 以下の管理 CLI コマンドを使用して、secret-key-credential-store から SecretKeyCredential をエクスポートします。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:export-secret-key(alias=<alias>)

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:export-secret-key(alias=secretkeycredentialalias)
  {
      "outcome" => "success",
      "result" => {"key" => "RUxZAUtxXcYvz0aukZu+odOynIr0ByLhC72iwzlJsi+ZPmONgA=="}
  }

手順

• 以下の管理 CLI コマンドを使用して、credential-store からクレデンシャルを削除します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:remove-alias(alias=<alias>, entry-type=<credential_type>)

  PasswordCredential の削除例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:remove-alias(alias=passwordCredentialAlias)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'passwordCredentialAlias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("credential-store" => "exampleKeyStoreCredentialStore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

  SecretKeyCredential の削除例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:remove-alias(alias=secretKeyCredentialAlias, entry-type=SecretKeyCredential)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'secretKeyCredentialAl
  ias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("credential-store" => "exampleKeyStoreCredentialStore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

検証

• 次のコマンドを実行して、Elytron がクレデンシャルを削除したことを確認します。

  構文

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => []
  }

  削除したクレデンシャルはリストにありません。

手順

• 次のコマンドを使用して、secret-key-credential-store から SecretKeyCredential を削除します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:remove-alias(alias=<alias>)

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:remove-alias(alias=secretKeyCredentialAlias)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'secretKeyCredentialAlias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("secret-key-credential-store" => "examplePropertiesCredentialSt
  ore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

検証

• 次のコマンドを実行して、Elytron がクレデンシャルを削除したことを確認します。

  構文

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:read-aliases()

  例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => []
  }

  削除したクレデンシャルはリストにありません。

手順

• 以下のコマンドで、WildFly Elytron ツールを使用して credential-store を作成します。

  構文

  $ EAP_HOME/bin/elytron-tool.sh credential-store --create --location "<path_to_store_file>" --password <store_password>

  例

  $ EAP_HOME/bin/elytron-tool.sh credential-store --create --location "../cred_stores/example-credential-store.jceks" --password storePassword
  Credential Store has been successfully created

  ストアのパスワードをコマンドに含めない場合は、この引数を省略して、プロンプトでパスワードを手動で入力してください。また、WildFly Elytron ツールで生成したマスキングされたパスワードを使用することもできます。マスクされたパスワードの生成については、Generating masked encrypted strings using the WildFly Elytron tool を参照してください。

前提条件

• お使いの環境が Bouncy Castle を使用するように設定されていることを確認する。

手順

• 以下のコマンドで WildFly Elytron ツールを使用して PropertiesCredentialStore を作成します。

  構文

  $ EAP_HOME/bin/elytron-tool.sh credential-store --create --location "<path_to_store_file>" --type PropertiesCredentialStore

  例

  $ bin/elytron-tool.sh credential-store --create --location=standalone/configuration/properties-credential-store.cs --type PropertiesCredentialStore
  Credential Store has been successfully created

前提条件

• WildFly Elytron ツールでクレデンシャルストアを作成している。

  詳細は、Creating a credential-store using the WildFly Elytron tool を参照してください。

手順

• 以下の管理 CLI コマンドを使用して、実行中の JBoss EAP サーバーにクレデンシャルストアを追加します。

  構文

  /subsystem=elytron/credential-store=<store_name>:add(location="<path_to_store_file>",credential-reference={clear-text=<store_password>})

  例

  /subsystem=elytron/credential-store=my_store:add(location="../cred_stores/example-credential-store.jceks",credential-reference={clear-text=storePassword})

手順

• マスクされた文字列を生成するには、以下のコマンドを使用して salt および iteration count の値を指定します。

  $ EAP_HOME/bin/elytron-tool.sh mask --salt <salt> --iteration <iteration_count> --secret <password>

  以下に例を示します。

  $ EAP_HOME/bin/elytron-tool.sh mask --salt 12345678 --iteration 123 --secret supersecretstorepassword
  
  MASK-8VzWsSNwBaR676g8ujiIDdFKwSjOBHCHgnKf17nun3v;12345678;123

  コマンドでシークレットを指定しない場合は、その引数を省略し、標準入力を使用して手動でシークレットを入力するように求められます。

• Java Cryptography Extension (JCE) および Java Cryptography Architecture (JCA) 用の BouncyCastle FIPS プロバイダー。
• Java Secure Socket Extension (JSSE) 用の BouncyCastle FIPS プロバイダー。