OpenShift Container Platform での JBoss EAP の使用

手順

1. 下記の Dockerfile の内容をコピーします。

   # Use EAP 8 Builder image to create a JBoss EAP 8 server
   # with its default configuration
   
   FROM registry.redhat.io/jboss-eap-8/eap8-openjdk17-builder-openshift-rhel8:latest AS builder
   
   # Set up environment variables for provisioning. 1
   ENV GALLEON_PROVISION_FEATURE_PACKS org.jboss.eap:wildfly-ee-galleon-pack,org.jboss.eap.cloud:eap-cloud-galleon-pack
   ENV GALLEON_PROVISION_LAYERS cloud-default-config
   # Specify the JBoss EAP version  2
   ENV GALLEON_PROVISION_CHANNELS org.jboss.eap.channels:eap-8.0
   
   
   # Run the assemble script to provision the server.
   RUN /usr/local/s2i/assemble
   
   # Copy the JBoss EAP 8 server from the builder image to the runtime image.
   FROM registry.redhat.io/jboss-eap-8/eap8-openjdk17-runtime-openshift-rhel8:latest AS runtime
   
   # Set appropriate ownership and permissions.
   COPY --from=builder --chown=jboss:root $JBOSS_HOME $JBOSS_HOME
   
   # Steps to add:
   # (1) COPY the WAR/EAR to $JBOSS_HOME/standalone/deployments
   #       with the jboss:root user. For example:
   #     COPY --chown=jboss:root my-app.war $JBOSS_HOME/standalone/deployments 3
   # (2) (optional) server modification. You can modify EAP server configuration:
   #
   #       * invoke management operations. For example
   #
   #        RUN $JBOSS_HOME/bin/jboss-cli.sh --commands="embed-server,/system-property=Foo:add(value=Bar)"
   #
   #        First operation must always be embed-server.
   #
   #       * copy a modified standalone.xml in $JBOSS_HOME/standalone/configuration/
   #          for example
   #
   #      COPY --chown=jboss:root standalone.xml  $JBOSS_HOME/standalone/configuration
   
   # Ensure appropriate permissions for the copied files.
   RUN chmod -R ug+rwX $JBOSS_HOME

   1

   MAVEN_MIRROR_URL 環境変数を指定できます。この変数は、JBoss EAP Maven プラグインによってイメージ内で内部的に使用されます。詳細は、アーティファクトリポジトリーミラー を参照してください。

   2

   この Dockerfile は、マイナーリリース用に更新する必要はありません。特定のバージョンを使用する場合は、GALLEON_PROVISION_CHANNELS 環境変数で JBoss EAP バージョンを指定します。詳細は、環境変数 を参照してください。

   3

   コピーした Dockerfile を変更して、WAR ファイルをコンテナーに含めます。以下に例を示します。

   COPY --chown=jboss:root <my-app.war> $JBOSS_HOME/standalone/deployments

   <myapp.war> は、イメージに追加する Web アーカイブへのパスに置き換えます。

2. podman を使用してアプリケーションイメージをビルドします。

   $ podman build -t my-app .

   コマンドを実行すると、my-app コンテナーイメージを OpenShift にデプロイする準備が整います。

3. コンテナーイメージを次のいずれかにアップロードします。

   • OpenShift からアクセスできる内部レジストリー。
   • OpenShift レジストリー。イメージをビルドしたマシンからイメージを直接プッシュします。詳細は、How to push a container image into the image registry in RHOCP 4 を参照してください。
4. レジストリーからイメージをデプロイする場合は、Helm チャート、Operator、Deployment などのデプロイストラテジーを使用します。希望する方法を選択し、要件に応じてイメージの完全な URL か ImageStreams を使用します。詳細は、Helm チャートを使用した OpenShift 上での JBoss EAP アプリケーションのビルドおよびデプロイ を参照してください。

手順

1. mvn コマンドを使用して Maven プロジェクトを設定します。このコマンドは、プロジェクトのディレクトリー構造と pom.xml 設定ファイルを作成します。

   構文

   $ mvn archetype:generate \
   -DgroupId=${group-to-which-your-application-belongs} \
   -DartifactId=${name-of-your-application} \
   -DarchetypeGroupId=org.apache.maven.archetypes \
   -DarchetypeArtifactId=maven-archetype-webapp \
   -DinteractiveMode=false

   例:

   $ mvn archetype:generate \
   -DgroupId=com.example.app \
   -DartifactId=simple-webapp-example \
   -DarchetypeGroupId=org.apache.maven.archetypes \
   -DarchetypeArtifactId=maven-archetype-webapp \
   -DinteractiveMode=false

2. アプリケーションのルートディレクトリーに移動します。

   構文

   $ cd <name-of-your-application>

   例:

   $ cd simple-webapp-example

3. 生成された pom.xml ファイルの内容を、以下のテキストに置き換えます。

   <?xml version="1.0" encoding="UTF-8"?>
   
   <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
     xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
     <modelVersion>4.0.0</modelVersion>
   
     <groupId>com.example.app</groupId>
     <artifactId>simple-webapp-example</artifactId>
     <version>1.0-SNAPSHOT</version>
     <packaging>war</packaging>
   
     <name>simple-webapp-example Maven Webapp</name>
     <!-- FIXME change it to the project's website -->
     <url>http://www.example.com</url>
   
     <properties>
       <maven.compiler.source>11</maven.compiler.source>
       <maven.compiler.target>11</maven.compiler.target>
       <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
       <version.maven.war.plugin>3.3.2</version.maven.war.plugin>
       <version.eap.plugin>1.0.0.Final-redhat-00014</version.eap.plugin>
       <version.server>8.0.0.GA-redhat-00009</version.server>
       <version.bom.ee>${version.server}</version.bom.ee>
     </properties>
   
   
     <repositories>
       <repository>
           <id>jboss</id>
           <url>https://maven.repository.redhat.com/ga/</url>
           <snapshots>
               <enabled>false</enabled>
           </snapshots>
       </repository>
     </repositories>
   
     <pluginRepositories>
       <pluginRepository>
           <id>jboss</id>
           <url>https://maven.repository.redhat.com/ga/</url>
           <snapshots>
               <enabled>false</enabled>
           </snapshots>
       </pluginRepository>
     </pluginRepositories>
   
     <dependencyManagement>
       <dependencies>
         <dependency>
           <groupId>org.jboss.bom</groupId>
           <artifactId>jboss-eap-ee-with-tools</artifactId>
           <version>${version.bom.ee}</version>
           <type>pom</type>
           <scope>import</scope>
         </dependency>
       </dependencies>
     </dependencyManagement>
   
     <dependencies>
       <dependency>
         <groupId>jakarta.servlet</groupId>
         <artifactId>jakarta.servlet-api</artifactId>
         <scope>provided</scope>
       </dependency>
       <dependency>
         <groupId>org.wildfly.security</groupId>
         <artifactId>wildfly-elytron-auth-server</artifactId>
       </dependency>
     </dependencies>
   
   <build>
       <finalName>${project.artifactId}</finalName>
       <plugins>
           <plugin>
               <groupId>org.apache.maven.plugins</groupId>
               <artifactId>maven-war-plugin</artifactId>
               <version>${version.maven.war.plugin}</version>
           </plugin>
           <plugin>
               <groupId>org.jboss.eap.plugins</groupId>
               <artifactId>eap-maven-plugin</artifactId>
               <version>${version.eap.plugin}</version>
               <configuration>
                   <channels>
                       <channel>
                           <manifest>
                               <groupId>org.jboss.eap.channels</groupId>
                               <artifactId>eap-8.0</artifactId>
                           </manifest>
                       </channel>
                   </channels>
                   <feature-packs>
                       <feature-pack>
                           <location>org.jboss.eap:wildfly-ee-galleon-pack</location>
                       </feature-pack>
                       <feature-pack>
                           <location>org.jboss.eap.cloud:eap-cloud-galleon-pack</location>
                       </feature-pack>
                   </feature-packs>
                   <layers>
                       <layer>cloud-server</layer>
                       <layer>elytron-oidc-client</layer>
                   </layers>
                   <galleon-options>
                           <jboss-fork-embedded>true</jboss-fork-embedded>
                   </galleon-options>
               </configuration>
               <executions>
                   <execution>
                       <goals>
                           <goal>package</goal>
                       </goals>
                   </execution>
               </executions>
           </plugin>
       </plugins>
   </build>
   </project>

   注記
   • <version.eap.plugin>1.0.0.Final-redhat-00014</version.eap.plugin> は、JBoss EAP Maven プラグインのバージョンの例です。JBoss EAP Maven プラグインのリリースの詳細は、Red Hat Maven リポジトリー (https://maven.repository.redhat.com/earlyaccess/all/org/jboss/eap/plugins/eap-maven-plugin/) を参照してください。

4. Java ファイルを保存するディレクトリーを作成します。

   構文

   $ mkdir -p src/main/java/<path_based_on_artifactID>

   例:

   $ mkdir -p src/main/java/com/example/app

5. 新しいディレクトリーに移動します。

   構文

   $ cd src/main/java/<path_based_on_artifactID>

   例:

   $ cd src/main/java/com/example/app

6. 以下の内容で SecuredServlet.java ファイルを作成します。

   package com.example.app;
   
   import java.io.IOException;
   import java.io.PrintWriter;
   import java.security.Principal;
   import java.util.ArrayList;
   import java.util.Collection;
   import java.util.Iterator;
   import java.util.List;
   import java.util.Set;
   
   import jakarta.servlet.ServletException;
   import jakarta.servlet.annotation.WebServlet;
   import jakarta.servlet.http.HttpServlet;
   import jakarta.servlet.http.HttpServletRequest;
   import jakarta.servlet.http.HttpServletResponse;
   import org.wildfly.security.auth.server.SecurityDomain;
   import org.wildfly.security.auth.server.SecurityIdentity;
   import org.wildfly.security.authz.Attributes;
   import org.wildfly.security.authz.Attributes.Entry;
   /**
    * A simple secured HTTP servlet. It returns the user name and
    * attributes obtained from the logged-in user's Principal. If
    * there is no logged-in user, it returns the text
    * "NO AUTHENTICATED USER".
    */
   
   @WebServlet("/secured")
   public class SecuredServlet extends HttpServlet {
   
       @Override
       protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
           try (PrintWriter writer = resp.getWriter()) {
   
           	Principal user = req.getUserPrincipal();
           	SecurityIdentity identity = SecurityDomain.getCurrent().getCurrentSecurityIdentity();
           	Attributes identityAttributes = identity.getAttributes();
           	Set <String> keys = identityAttributes.keySet();
           	String attributes = "<ul>";
   
           	for (String attr : keys) {
           		attributes += "<li> " +  attr + " : " + identityAttributes.get(attr).toString() + "</li>";
           	}
   
           	attributes+="</ul>";
           	writer.println("<html>");
           	writer.println("  <head><title>Secured Servlet</title></head>");
           	writer.println("  <body>");
           	writer.println("    <h1>Secured Servlet</h1>");
           	writer.println("    <p>");
           	writer.print(" Current Principal '");
           	writer.print(user != null ? user.getName() : "NO AUTHENTICATED USER");
           	writer.print("'");
           	writer.print(user != null ? "\n" + attributes : "");
           	writer.println("    </p>");
           	writer.println("  </body>");
           	writer.println("</html>");
           }
       }
   
   }

7. アプリケーションの web.xml を設定して、アプリケーションリソースを保護します。

   例:

   <?xml version="1.0" encoding="UTF-8"?>
   
   <web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
       metadata-complete="false">
   
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>secured</web-resource-name>
               <url-pattern>/secured</url-pattern>
           </web-resource-collection>
   
           <auth-constraint>
               <role-name>Users</role-name>
           </auth-constraint>
       </security-constraint>
   
       <login-config>
           <auth-method>OIDC</auth-method>
       </login-config>
   
       <security-role>
           <role-name>*</role-name>
       </security-role>
   </web-app>

   この例では、Users ロールを持つユーザーのみがアプリケーションにアクセスできます。

手順

1. アプリケーションコードを Git リポジトリーにデプロイします。

2. OIDC 設定を含むシークレットを作成します。

   1. 次の内容を使用して、oidc-secret.yaml という名前のファイルを作成します。

      apiVersion: v1
      kind: Secret
      metadata:
        name: oidc-secret
      type: Opaque
      stringData:
        OIDC_PROVIDER_NAME: rh-sso
        OIDC_USER_NAME: demo
        OIDC_USER_PASSWORD: demo
        OIDC_SECURE_DEPLOYMENT_SECRET: mysecret

   2. 以下のコマンドを実行してシークレットを作成します。

      $ oc apply -f oidc-secret.yaml

3. 次の内容を使用して、helm.yaml という名前のファイルを作成します。

   build:
     uri: [URL TO YOUR GIT REPOSITORY]
   deploy:
     envFrom:
   	- secretRef:
       	  name: oidc-secret

4. JBoss EAP Helm チャートを使用してサンプルアプリケーションをデプロイします。

   $ helm install eap-oidc-test-app -f helm.yaml jboss-eap/eap8

5. 環境変数を oidc-secret.yaml ファイルに追加して、OIDC プロバイダーの URL とアプリケーションのホスト名を設定します。

   yaml
   stringData:
     ...
     OIDC_HOSTNAME_HTTPS: <host of the application>
     OIDC_PROVIDER_URL: https://<host of the SSO provider>/realms/JBossEAP

   OIDC_HOSTNAME_HTTPS の値は、次の出力に対応します。

   echo $(oc get route eap-oidc-test-app --template='{{ .spec.host }}')

   OIDC_PROVIDER_URL の値は、次の出力に対応します。

   echo https://$(oc get route sso --template='{{ .spec.host }}')/realms/JBossEAP

   OIDC_HOSTNAME_HTTP(S) が設定されていない場合は、ルート検出が試行されます。ルート検出を有効にするには、OpenShift ユーザーが route リソースを一覧表示できる必要があります。たとえば、routeview ロールを作成して view ユーザーに関連付けるには、次の oc コマンドを使用します。

   $ oc create role <role-name> --verb=list --resource=route
   
   $ oc adm policy add-role-to-user <role-name> <user-name> --role-namespace=<your namespace>

6. oc apply -f oidc-secret.yaml でシークレットを更新します。

7. アプリケーションを再度デプロイして、OpenShift が新しい環境変数を使用するようにします。

   $ oc rollout restart deploy eap-oidc-test-app

検証

1. ブラウザーで https://<eap-oidc-test-app route>/ に移動します。

   Red Hat build of Keycloak のログインページにリダイレクトされます。

2. 保護されたサーブレットにアクセスします。

3. 次の認証情報でログインします。

   username: demo
   password: demo

   Principal ID を含むページが表示されます。

手順

1. シングルサインオンレルム、ユーザー、およびロールを作成します。

2. Java keytool コマンドを使用してキーと証明書を生成します。

   keytool -genkeypair -alias saml-app -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore keystore.p12 -storepass password -dname "CN=saml-basic-auth,OU=EAP SAML Client,O=Red Hat EAP QE,L=MB,S=Milan,C=IT" -ext ku:c=dig,keyEncipherment -validity 365

3. キーストアを Java KeyStore (JKS) 形式でインポートします。

   keytool -importkeystore -deststorepass password -destkeystore keystore.jks -srckeystore keystore.p12 -srcstoretype PKCS12 -srcstorepass password

4. OpenShift でキーストアのシークレットを作成します。

   $ oc create secret generic saml-app-secret --from-file=keystore.jks=./keystore.jks --type=opaque

手順

1. mvn コマンドを使用して Maven プロジェクトをセットアップします。このコマンドで、プロジェクトのディレクトリー構造と pom.xml 設定ファイルの両方を作成します。

   構文

   $ mvn archetype:generate \
   -DgroupId=${group-to-which-your-application-belongs} \
   -DartifactId=${name-of-your-application} \
   -DarchetypeGroupId=org.apache.maven.archetypes \
   -DarchetypeArtifactId=maven-archetype-webapp \
   -DinteractiveMode=false

   例:

   $ mvn archetype:generate \
   -DgroupId=com.example.app \
   -DartifactId=simple-webapp-example \
   -DarchetypeGroupId=org.apache.maven.archetypes \
   -DarchetypeArtifactId=maven-archetype-webapp \
   -DinteractiveMode=false

2. アプリケーションのルートディレクトリーに移動します。

   構文

   $ cd <name-of-your-application>

   例:

   $ cd simple-webapp-example

3. 生成された pom.xml ファイルの内容を、以下のテキストに置き換えます。

   <?xml version="1.0" encoding="UTF-8"?>
   <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
     xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
     <modelVersion>4.0.0</modelVersion>
   
     <groupId>com.example.app</groupId>
     <artifactId>simple-webapp-example</artifactId>
     <version>1.0-SNAPSHOT</version>
     <packaging>war</packaging>
   
     <name>simple-webapp-example Maven Webapp</name>
     <!-- FIXME change it to the project's website -->
     <url>http://www.example.com</url>
   
     <properties>
       <maven.compiler.source>11</maven.compiler.source>
       <maven.compiler.target>11</maven.compiler.target>
       <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
       <version.maven.war.plugin>3.3.2</version.maven.war.plugin>
       <version.eap.plugin>1.0.0.Final-redhat-00014</version.eap.plugin>
       <version.server>8.0.0.GA-redhat-00009</version.server>
       <version.bom.ee>${version.server}</version.bom.ee>
     </properties>
   
     <repositories>
       <repository>
           <id>jboss</id>
           <url>https://maven.repository.redhat.com/ga/</url>
           <snapshots>
               <enabled>false</enabled>
           </snapshots>
       </repository>
     </repositories>
   
     <pluginRepositories>
       <pluginRepository>
           <id>jboss</id>
           <url>https://maven.repository.redhat.com/ga/</url>
           <snapshots>
               <enabled>false</enabled>
           </snapshots>
       </pluginRepository>
     </pluginRepositories>
   
     <dependencyManagement>
       <dependencies>
         <dependency>
           <groupId>org.jboss.bom</groupId>
           <artifactId>jboss-eap-ee-with-tools</artifactId>
           <version>${version.bom.ee}</version>
           <type>pom</type>
           <scope>import</scope>
         </dependency>
       </dependencies>
     </dependencyManagement>
   
     <dependencies>
       <dependency>
         <groupId>jakarta.servlet</groupId>
         <artifactId>jakarta.servlet-api</artifactId>
         <scope>provided</scope>
       </dependency>
       <dependency>
         <groupId>org.wildfly.security</groupId>
         <artifactId>wildfly-elytron-auth-server</artifactId>
       </dependency>
     </dependencies>
   
     <build>
       <finalName>${project.artifactId}</finalName>
       <plugins>
           <plugin>
               <groupId>org.apache.maven.plugins</groupId>
               <artifactId>maven-war-plugin</artifactId>
               <version>${version.maven.war.plugin}</version>
           </plugin>
           <plugin>
               <groupId>org.jboss.eap.plugins</groupId>
               <artifactId>eap-maven-plugin</artifactId>
               <version>${version.eap.plugin}</version>
               <configuration>
                   <channels>
                       <channel>
                           <manifest>
                               <groupId>org.jboss.eap.channels</groupId>
                               <artifactId>eap-8.0</artifactId>
                           </manifest>
                       </channel>
                   </channels>
                   <feature-packs>
                       <feature-pack>
                           <location>org.jboss.eap:wildfly-ee-galleon-pack</location>
                       </feature-pack>
                       <feature-pack>
                           <location>org.jboss.eap.cloud:eap-cloud-galleon-pack</location>
                       </feature-pack>
                       <feature-pack>
                           <location>org.keycloak:keycloak-saml-adapter-galleon-pack</location>
                       </feature-pack>
                   </feature-packs>
                   <layers>
                       <layer>cloud-server</layer>
                       <layer>keycloak-saml</layer>
                   </layers>
                   <galleon-options>
                       <jboss-fork-embedded>true</jboss-fork-embedded>
                   </galleon-options>
               </configuration>
               <executions>
                   <execution>
                       <goals>
                           <goal>package</goal>
                       </goals>
                   </execution>
               </executions>
           </plugin>
       </plugins>
     </build>
   </project>

   注記
   • <version.eap.plugin>1.0.0.Final-redhat-00014</version.eap.plugin> は、JBoss EAP Maven プラグインのバージョンの例です。JBoss EAP Maven プラグインのリリースの詳細は、Red Hat Maven リポジトリー (https://maven.repository.redhat.com/earlyaccess/all/org/jboss/eap/plugins/eap-maven-plugin/) を参照してください。

4. Java ファイルを保存するディレクトリーを作成します。

   構文

   $ mkdir -p src/main/java/<path_based_on_artifactID>

   例:

   $ mkdir -p src/main/java/com/example/app

5. 新しいディレクトリーに移動します。

   構文

   $ cd src/main/java/<path_based_on_artifactID>

   例:

   $ cd src/main/java/com/example/app

6. 次の設定を含む SecuredServlet.java という名前のファイルを作成します。

   package com.example.app;
   
   import java.io.IOException;
   import java.io.PrintWriter;
   import java.security.Principal;
   import java.util.Set;
   
   import jakarta.servlet.ServletException;
   import jakarta.servlet.annotation.WebServlet;
   import jakarta.servlet.http.HttpServlet;
   import jakarta.servlet.http.HttpServletRequest;
   import jakarta.servlet.http.HttpServletResponse;
   import org.wildfly.security.auth.server.SecurityDomain;
   import org.wildfly.security.auth.server.SecurityIdentity;
   import org.wildfly.security.authz.Attributes;
   /**
    * A simple secured HTTP servlet. It returns the user name and
    * attributes obtained from the logged-in user's Principal. If
    * there is no logged-in user, it returns the text
    * "NO AUTHENTICATED USER".
    */
   
   @WebServlet("/secured")
   public class SecuredServlet extends HttpServlet {
   
       @Override
       protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
           try (PrintWriter writer = resp.getWriter()) {
   
           	Principal user = req.getUserPrincipal();
           	SecurityIdentity identity = SecurityDomain.getCurrent().getCurrentSecurityIdentity();
           	Attributes identityAttributes = identity.getAttributes();
           	Set <String> keys = identityAttributes.keySet();
           	String attributes = "<ul>";
   
           	for (String attr : keys) {
           		attributes += "<li> " +  attr + " : " + identityAttributes.get(attr).toString() + "</li>";
           	}
   
           	attributes+="</ul>";
           	writer.println("<html>");
           	writer.println("  <head><title>Secured Servlet</title></head>");
           	writer.println("  <body>");
           	writer.println("    <h1>Secured Servlet</h1>");
           	writer.println("    <p>");
           	writer.print(" Current Principal '");
           	writer.print(user != null ? user.getName() : "NO AUTHENTICATED USER");
           	writer.print("'");
           	writer.print(user != null ? "\n" + attributes : "");
           	writer.println("    </p>");
           	writer.println("  </body>");
           	writer.println("</html>");
           }
       }
   
   }

7. web.xml ファイルのディレクトリー構造を作成します。

   mkdir -p src/main/webapp/WEB-INF
   cd src/main/webapp/WEB-INF

8. アプリケーションの web.xml ファイルを設定して、アプリケーションのリソースを保護します。

   例:

   <?xml version="1.0" encoding="UTF-8"?>
   <web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
       metadata-complete="false">
   
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>secured</web-resource-name>
               <url-pattern>/secured</url-pattern>
           </web-resource-collection>
   
           <auth-constraint>
               <role-name>user</role-name>
           </auth-constraint>
       </security-constraint>
   
       <login-config>
           <auth-method>KEYCLOAK-SAML</auth-method>
       </login-config>
   
       <security-role>
           <role-name>user</role-name>
       </security-role>
   </web-app>

   この例では、user ロールを持つユーザーのみがアプリケーションにアクセスできます。

1. Git リポジトリーを作成します (https://github.com/your-username/simple-webapp-example など)。リモートリポジトリーと Git の詳細は、Getting started with Git - About remote repositories を参照してください。

2. アプリケーションのルートフォルダーから、次の Git コマンドを実行します。

   git init -b main
   git add pom.xml src
   git commit -m "First commit"
   git remote add origin git@github.com:your-username/simple-webapp-example.git
   git remote -v
   git push -u origin main

手順

1. アプリケーションコードを Git リポジトリーにデプロイします。

2. 必要な環境変数を含む OpenShift シークレットを作成します。

   apiVersion: v1
   kind: Secret
   metadata:
     name: saml-secret
   type: Opaque
   stringData:
     SSO_REALM: "saml-basic-auth"
     SSO_USERNAME: "client-admin"
     SSO_PASSWORD: "client-admin"
     SSO_SAML_CERTIFICATE_NAME: "saml-app"
     SSO_SAML_KEYSTORE: "keystore.jks"
     SSO_SAML_KEYSTORE_PASSWORD: "password"
     SSO_SAML_KEYSTORE_DIR: "/etc/sso-saml-secret-volume"
     SSO_SAML_LOGOUT_PAGE: "/simple-webapp-example"
     SSO_DISABLE_SSL_CERTIFICATE_VALIDATION: "true"

3. 指定の YAML コンテンツを saml-secret.yaml などのファイルに保存します。

4. 次のコマンドを使用して、保存した YAML ファイルを適用します。

   oc apply -f saml-secret.yaml

5. 次の設定を含む helm.yaml という名前のファイルを作成します。

   build:
     uri: [WEB ADDRESS TO YOUR GIT REPOSITORY]
   deploy:
     volumes:
       - name: saml-keystore-volume
         secret:
           secretName: saml-app-secret
     volumeMounts:
       - name: saml-keystore-volume
         mountPath: /etc/sso-saml-secret-volume
         readOnly: true
     envFrom:
       - secretRef:
           name: saml-secret

   注記

   Web アドレスは HTTP 形式で指定してください (http://www.redhat.com など)。Maven ミラーを使用している場合は、次のように Web アドレスを指定します。

   build:
     uri: [WEB ADDRESS TO YOUR GIT REPOSITORY]
     env:
       - name: "MAVEN_MIRROR_URL"
         value: "http://..."

6. JBoss EAP Helm チャートを使用してサンプルアプリケーションをデプロイします。

   $ helm install saml-app -f helm.yaml jboss-eap/eap8

7. 環境変数を saml-secret.yaml ファイルに追加して、Keycloak サーバー URL とアプリケーションルートを設定します。

   stringData:
     ...
     HOSTNAME_HTTPS: <saml-app application route>
     SSO_URL: https://<host of the Keycloak server>

   <saml-app application root> と <host of the Keycloak server> は、適切な値に置き換えます。

   HOSTNAME_HTTPS の値は、次の出力に対応します。

   echo $(oc get route saml-app --template='{{ .spec.host }}')

   SSO_URL の値は、次の出力に置き換えます。

   echo https://$(oc get route sso --template='{{ .spec.host }}')

   注記

   このコマンドを使用できない場合は、oc get routes を使用して利用可能なルートをリストし、Red Hat build of Keycloak インスタンスへのルートを選択してください。

8. oc apply -f saml-secret.yaml を使用してシークレットを更新します。

検証

1. OpenShift で新しい環境変数が使用されるように、アプリケーションを再度デプロイします。

   $ oc rollout restart deploy saml-app

2. ブラウザーで、アプリケーションの URL に移動します。たとえば、https://<saml-app route>/simple-webapp-example です。

   Red Hat build of Keycloak のログインページにリダイレクトされます。

3. Web アドレスを取得するために、次のコマンドを使用して保護されたサーブレットにアクセスします。

   echo https://$(oc get route saml-app --template='{{ .spec.host }}')/simple-webapp-example/secured

4. 次の認証情報でログインします。

   username: demo
   password: demo

   プリンシパル ID を含むページが表示されます。

手順

1. URL https://<SSO route>/ を使用して Red Hat build of Keycloak 管理コンソールにログインします。

2. Red Hat build of Keycloak でレルムを作成します (saml-basic-auth など)。その後、このレルムを使用して、必要なユーザー、ロール、およびクライアントを作成できます。

   詳細は、レルムの作成 を参照してください。

3. saml-basic-auth レルム内にロールを作成します。たとえば、user などです。

   詳細は、レルムロールの作成 を参照してください。

4. ユーザーを作成します。たとえば、demo などです。

   詳細は、ユーザーの作成 を参照してください。

5. ユーザーのパスワードを作成します。たとえば、demo などです。

   パスワードが一時的なものでないことを確認してください。詳細は、ユーザーのパスワードの設定 を参照してください。

6. ログインアクセス用の user ロールを demo ユーザーに割り当てます。

   詳細は、ロールマッピングの割り当て を参照してください。

7. ユーザーを作成します。たとえば、client-admin などです。

   JBoss EAP サーバーの起動時に Keycloak サーバーに SAML クライアントを作成するには、client-admin ユーザーを使用できます。このユーザーには追加の権限が必要です。詳細は、ユーザーの作成 を参照してください。

8. ユーザーのパスワードを作成します。たとえば、client-admin などです。

   パスワードが一時的なものでないことを確認してください。詳細は、ユーザーのパスワードの設定 を参照してください。

9. Client Roles ドロップダウンリストから realm-management を選択します。

10. create-client、manage-clients、および manage-realm ロールを client-admin ユーザーに割り当てます。

    詳細は、ロールマッピングの割り当て を参照してください。

手順

1. deploy.volumes フィールドで volume を指定し、使用するシークレットを設定します。ボリュームの name とシークレットの secretName を指定する必要があります。

   volumes:
     - name: eap-jgroups-keystore-volume
       secret:
         secretName: eap-app-secret

2. デプロイメント設定の deploy.volumeMounts を使用して、ファイルシステムにボリュームをマウントします。

   volumeMounts:
     - name: eap-jgroups-keystore-volume
       mountPath: /etc/jgroups-encrypt-secret-volume
       readOnly: true

手順

1. OpenShift Container Platform Web コンソールで、Operators→ OperatorHub の順に移動します。
2. 下にスクロールするか、Filter by keyword ボックスに EAP と入力して EAP Operator を見つけます。
3. JBoss EAP Operator を選択し、Install をクリックします。

4. Create Operator Subscription ページで以下を行います。

   1. 以下のいずれかを選択します。

      • クラスター上のすべての名前空間 (デフォルト) では、デフォルトの openshift-operators 名前空間にオペレーターがインストールされ、クラスターのすべての名前空間を監視し、利用できるようにします。このオプションは常に利用できるわけではありません。
      • クラスター上の特定のネームスペース では、選択した特定の単一の名前空間にオペレーターがインストールされます。このオペレーターは、この単一名前空間でのみ使用可能となります。
   2. Update Channel を選択します。
   3. 前述のように、Automatic または Manual 承認ストラテジーを選択します。

5. Subscribe をクリックし、この OpenShift Container Platform クラスターで選択した名前空間で EAP Operator を利用できるようにします。

   1. 手動での承認ストラテジーを選択した場合は、そのインストールプランを確認して承認するまで、サブスクリプションのアップグレードステータスは Upgrading に留まります。Install Plan ページでインストールプランを承認すると、サブスクリプションのアップグレードステータスは Up to date に変わります。
   2. 自動承認ストラテジーを選択した場合は、アップグレードステータスは介入なしで Up to date に変わります。

6. サブスクリプションのアップグレードステータスが Up to date になった後に、Operators → Installed Operators の順に選択します。そして、EAP ClusterServiceVersion (CSV) が表示され、関連する名前空間で InstallSucceeded に Status が変わっていることを確認します。

   注記

   All namespace... インストールモードでは、表示されるステータスは openshift-operators 名前空間で InstallSucceeded になります。その他の名前空間では、ステータスは Copied と表示されます。Status フィールドが InstallSucceeded に変更されない場合は、さらにトラブルシューティングを行うために問題のレポートを作成する Workloads → Pods ページの openshift-operators プロジェクト (A specific namespace... インストールモードが選択されていた場合は、その他の関連の名前空間) の pod のログを確認してください。

手順

1. OperatorHub からクラスターで利用できる Operator のリストを表示します。

   $ oc get packagemanifests -n openshift-marketplace | grep eap
   NAME        CATALOG               AGE
   ...
   eap         Red Hat Operators     43d
   ...

2. Subscription オブジェクト YAML ファイル (例: eap-operator-sub.yaml) を作成し、namespace を EAP Operator にサブスクライブします。以下は、Subscription オブジェクトの YAML ファイルの例です。

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: eap
     namespace: openshift-operators
   spec:
     channel: stable
     installPlanApproval: Automatic
     name: eap 1
     source:  redhat-operators 2
     sourceNamespace: openshift-marketplace

   1

   サブスクライブするオペレーターの名前。

   2

   EAP Operator は redhat-operators CatalogSource によって提供されます。

   チャネルおよび承認ストラテジーの詳細は、この手順の Web コンソール バージョンを参照してください。

3. YAML ファイルから Subscription オブジェクトを作成します。

   $ oc apply -f eap-operator-sub.yaml
   $ oc get csv -n openshift-operators
   NAME                  DISPLAY     VERSION   REPLACES   PHASE
   eap-operator.v1.0.0   JBoss EAP   1.0.0                Succeeded

   EAP Operator が正常にインストールされます。この時点で、OLM が EAP Operator を認識します。Operator の ClusterServiceVersion (CSV) がターゲット namespace に表示され、EAP Operator が提供する API を作成に使用できるようになります。

手順

1. Web ブラウザーを開き、OperatorHub にログインします。
2. Java アプリケーションに使用する Project または名前空間を選択します。
3. Installed Operator に移動し、JBoss EAP Operator を選択します。
4. Overview タブで、Create Instance リンクをクリックします。

5. アプリケーションイメージの詳細を指定します。

   アプリケーションイメージは、Java アプリケーションが含まれる Docker イメージを指定します。イメージは JBoss EAP for OpenShift の Source-to-Image (S2I) ビルドイメージを使用してビルドする必要があります。applicationImage フィールドがイメージストリームタグに対応している場合は、イメージへの変更により、アプリケーションの自動アップグレードがトリガーされます。

   JBoss EAP for OpenShift アプリケーションイメージの以下のリファレンスのいずれかを指定できます。

   • イメージの名前: mycomp/myapp
   • タグ: mycomp/myapp:1.0
   • A digest: mycomp/myapp:@sha256:0af38bc38be93116b6a1d86a9c78bd14cd527121970899d719baf78e5dc7bfd2
   • イメージストリームタグ: my-app:latest

6. アプリケーションのサイズを指定します。以下に例を示します。

   spec:
     replicas:2

7. env spec を使用してアプリケーション環境を設定します。環境変数 は、POSTGRESQL_SERVICE_HOST などの値、または POSTGRESQL_USER などの Secret オブジェクトから直接取得できます。以下に例を示します。

   spec:
     env:
     - name: POSTGRESQL_SERVICE_HOST
       value: postgresql
     - name: POSTGRESQL_SERVICE_PORT
       value: '5432'
     - name: POSTGRESQL_DATABASE
       valueFrom:
         secretKeyRef:
           key: database-name
           name: postgresql
     - name: POSTGRESQL_USER
       valueFrom:
         secretKeyRef:
           key: database-user
           name: postgresql
     - name: POSTGRESQL_PASSWORD
       valueFrom:
         secretKeyRef:
           key: database-password
           name: postgresql

8. アプリケーションのデプロイメントに関連する以下のオプションの設定を行います。

   • サーバーデータディレクトリーのストレージ要件を指定します。詳細は、アプリケーションの永続ストレージの設定 を参照してください。

   • WildFlyServerSpec で作成した Secret の名前を指定し、アプリケーションを実行している Pod のボリュームとしてマウントします。以下に例を示します。

     spec:
       secrets:
         - my-secret

     Secret は /etc/secrets/<secret name> にマウントされ、それぞれのキー/ 値がファイルとして保存されます。ファイルの名前がキーに、コンテンツが値になります。Secret は pod 内のボリュームとしてマウントされます。以下の例は、キー値の検索に使用できるコマンドを示しています。

     $ ls /etc/secrets/my-secret/
     my-key  my-password
     $ cat /etc/secrets/my-secret/my-key
     devuser
     $ cat /etc/secrets/my-secret/my-password
     my-very-secure-pasword

     注記

     Secret オブジェクトを変更すると、プロジェクトの一貫性が失われることがあります。Red Hat では、既存の Secret オブジェクトを変更する代わりに、古いオブジェクトと同じコンテンツを持つ新規オブジェクトを作成することを推奨します。これで、必要に応じてコンテンツを更新し、オペレーターカスタムリソース (CR) の参照を更新できます。これは新しい CR 更新とみなされ、pod はリロードされます。

   • WildFlyServerSpec で作成した ConfigMap の名前を指定し、アプリケーションを実行している Pod のボリュームとしてマウントします。以下に例を示します。

     spec:
       configMaps:
       - my-config

     ConfigMap は /etc/configmaps/<configmap name> にマウントされ、それぞれのキー/ 値はファイルとして保存されます。ファイルの名前がキーに、コンテンツが値になります。ConfigMap は pod 内のボリュームとしてマウントされます。キーの値を検索するには、次のコマンドを実行します。

     $ ls /etc/configmaps/my-config/
     key1 key2
     $ cat /etc/configmaps/my-config/key1
     value1
     $ cat /etc/configmaps/my-config/key2
     value2

     注記

     ConfigMap を変更すると、プロジェクトの一貫性が失われることがあります。Red Hat では、既存の ConfigMap オブジェクトを変更する代わりに、古いオブジェクトと同じコンテンツを持つ新しい ConfigMap を作成することを推奨します。これで、必要に応じてコンテンツを更新し、オペレーターカスタムリソース (CR) の参照を更新できます。これは新しい CR 更新とみなされ、pod はリロードされます。

   • 独自のスタンドアロン ConfigMap を選択する場合は、ConfigMap の名前と standalone.xml ファイルのキーを指定します。

       standaloneConfigMap:
         name: clusterbench-config-map
         key: standalone.xml

     注記

     standalone.xml ファイルからの ConfigMap の作成は、JBoss EAP 8.0 ではサポートされていません。

   • OpenShift でデフォルトの HTTP ルートの作成を無効にする場合は、disableHTTPRoute を true に設定します。

     spec:
       disableHTTPRoute: true

手順

1. OpenShift Container Platform Web コンソールで、Monitoring→ Metrics の順に移動します。
2. Metrics 画面で、テキストボックスにアプリケーションの名前を入力してアプリケーションを選択します。アプリケーションのメトリクスが画面に表示されます。

手順

1. Operators→ Installed Operators ページから、JBoss EAP を選択します。
2. Operator Details ページの右側で、Actions ドロップダウンメニューから Uninstall Operator を選択します。
3. 削除対象のインストールに関連したすべてのコンポーネントが必要であれば、Remove Operator Subscription ウインドウでダイアログが表示されたら、Also completely remove the Operator from the selected namespace チェックボックスを必要に応じて選択します。これにより CSV が削除され、オペレーターに関連付けられた pod、デプロイメント、カスタムリソース定義 (CRD) およびカスタムリソース (CR) が削除されます。
4. Remove をクリックします。EAP Operator が実行を停止し、更新を受信しなくなります。

手順

1. currentCSV フィールドで EAP Operator サブスクリプションの現在のバージョンを確認します。

   $ oc get subscription eap-operator -n openshift-operators -o yaml | grep currentCSV
     currentCSV: eap-operator.v1.0.0

2. EAP Operator のサブスクリプションを削除します。

   $ oc delete subscription eap-operator -n openshift-operators
   subscription.operators.coreos.com "eap-operator" deleted

3. 前のステップの currentCSV 値を使用して、ターゲット namespace の EAP Operator の CSV を削除します。

   $ oc delete clusterserviceversion eap-operator.v1.0.0 -n openshift-operators
   clusterserviceversion.operators.coreos.com "eap-operator.v1.0.0" deleted

手順

1. リソースを設定します。

   apiVersion: wildfly.org/v1alpha1
   kind: WildFlyServer
   metadata:
     name: eap-helloworld
   spec:
     applicationImage: 'eap-helloworld:latest'
     replicas: 1
     resources:
       limits:
         cpu: 500m
         memory: 2Gi
       requests:
         cpu: 100m
         memory: 1Gi

   重要

   自動スケーリングが期待どおりに機能するには、Pod 内のコンテナーのリソース制限とリクエストを指定する必要があります。

2. Horizontal Pod Autoscaler を作成します。

   oc autoscale wildflyserver/eap-helloworld --cpu-percent=50 --min=1 --max=10

1. MAVEN_MIRROR_URL 変数を適用するビルド設定の名前を特定します。

   oc get bc -o name
   buildconfig/eap

2. eap のビルド設定を MAVEN_MIRROR_URL 環境変数で更新します。

   oc env bc/eap MAVEN_MIRROR_URL="https://10.0.0.1:8443/repository/internal/"
   buildconfig "eap" updated

3. 設定を確認します。

   oc env bc/eap --list
   # buildconfigs eap
   MAVEN_MIRROR_URL=https://10.0.0.1:8443/repository/internal/

4. アプリケーションの新しいビルドをスケジュールします。