22.2. JGroups を用いたクラスター通信

手順

1. 以下の管理 CLI コマンドを使用して、ee チャネルが事前設定された tcp スタックを使用するようにします。

   /subsystem=jgroups/channel=ee:write-attribute(name=stack,value=tcp)

   このデフォルトの tcp スタックは、IP マルチキャストを使用して初期クラスターメンバーシップを検出する MPING プロトコルを使用します。

1. 以下のコマンドを実行して、ee チャネルが JGroups サブシステムで事前設定された tcp スタックを使用するように切り替えます。

   <channel name="ee" stack="tcp" cluster="ejb"/>

2. クラスターノードの名前を設定します。

   • スタンドアロン設定モードでは、次のいずれかの手順を実行します。

     • 以下のコマンドを実行します。

       <server xmlns="urn:jboss:domain:8.0" name="node_1">

     • インスタンスの起動時にシステムプロパティー jboss.node.name に一意の名前を指定します。

   • ドメインモードでは、クラスターサーバーはサーバーのタグの host-*.xml ファイルに一覧表示されます。デフォルト設定では、以下のサーバー名を指定します。このサーバー名は、必要に応じて編集できます。

     <servers>
         <server name="server-one" group="main-server-group"/>
         <server name="server-two" group="other-server-group">
             <socket-bindings port-offset="150"/>
         </server>
     </servers>

3. 他のクラスターメンバーを検出するには、以下のいずれかのプロトコルを選択します。

   • TCPGOSSIP: このプロトコルは、外部のゴシップルーターサービスを使用してクラスターのメンバーを検出します。これには、追加のプロセスの設定および管理が必要ですが、個々の EAP インスタンスが相互のクラスターメンバーを一覧表示しないようにすることができます。このプロトコルは、クラスターメンバーが頻繁に変更される場合に役立ちます。詳細は TCPPING を参照してください。
   • TCPPING: このプロトコルは静的クラスターメンバーシップリストを定義し、各ノードが潜在的なクラスターメンバーの一覧を表示する必要があります。このプロトコルは、クラスターメンバーアドレスが認識されており、頻繁に変更されない場合に推奨されます。詳細は、TCPGOSSIP を参照してください。

手順

1. JGroups サブシステムで、デフォルトのスタックを udp から tcp に変更します。

   <channel name="ee" stack="tcp" cluster="ejb"/>

2. デフォルトの MPING プロトコルの代わりに TCPPING プロトコルを使用するように TCP スタックを設定します。以下のコードでは、initial_hosts プロパティーはクラスター内の全ノードのリストに相関し、7600 は設定および環境に応じて異なるデフォルトの jgroups-tcp ポートを示します。

   <stack name="tcp">
     <transport type="TCP" socket-binding="jgroups-tcp"/>
     <protocol type="TCPPING">
       <property name="initial_hosts">192.168.1.5[7600],192.168.1.9[7600]</property>
       <property name="port_range">0</property>
     </protocol>
     <protocol type="MERGE3"/>
     <protocol type="FD_SOCK" socket-binding="jgroups-tcp-fd"/>
     <protocol type="FD_ALL"/>
     <protocol type="VERIFY_SUSPECT"/>
     <protocol type="pbcast.NAKACK2"/>
     <protocol type="UNICAST3"/>
     <protocol type="pbcast.STABLE"/>
     <protocol type="pbcast.GMS"/>
     <protocol type="MFC"/>
     <protocol type="FRAG3"/>
   </stack>

   注記

   initial_hosts に設定されたポート番号 7600 は、jgroups-tcp ソケットバインディング定義で定義されたポート番号と同じでなければなりません。ソケットバインディングに port-offset 機能を使用する場合は、initial_hosts のオフセットの後に同じ値を指定する必要があります。

3. JGroups コンポーネントによって使用されるプライベートインターフェイスの IP アドレスを設定します。IP アドレスは、initial_hosts で指定されている IP アドレスのいずれかに関連付ける必要があります。

   <interface name="private">
     <inet-address value="${jboss.bind.address.private:192.168.1.5}"/>
   </interface>

4. クラスター内の他のノードを設定するには、上記の手順を繰り返します。ノードが設定されたら、各ノードを起動して、クラスター化されたアプリケーションをデプロイします。

手順

1. 複数のクラスターに同じプロファイルを使用する場合は、システムプロパティーの値を initial_hosts に設定します。

   <protocol type="TCPPING">
     <property name="initial_hosts">${jboss.cluster.tcp.initial_hosts}</property>
   
   Set the system property at the `server-group` level:
   <server-groups>
     <server-group name="a-server-group" profile="ha">
     <socket-binding-group ref="ha-sockets"/>
     <system-properties>
       <property name="jboss.cluster.tcp.initial_hosts" value="192.168.1.5[7600],192.168.1.9[7600]" />
     </system-properties>

2. ホストコントローラーの XML 設定内でプライベートインターフェイスの IP アドレスを設定します。プライベートインターフェイスの IP アドレスは、initial_hosts で指定されている IP アドレスのいずれかに関連付ける必要があります。

   <interfaces>
       ....
     <interface name="private">
       <inet-address value="${jboss.bind.address.private:192.168.1.5}"/>
     </interface>
   </interfaces>

1. キーストアを作成します。

   $ keytool -genkeypair -alias jgroups_key -keypass my_password -storepass my_password -storetype jks -keystore jgroups.keystore -keyalg RSA

2. 管理 CLI を使用して、キーストアを elytron サブシステムに追加します。

   /subsystem=elytron/key-store=jgroups-token-store:add(type=jks,path=/path/to/jgroups.keystore,credential-reference={clear-text=my_password}, required=true)

3. JGroups のスタック定義で AUTH を設定してキーストアを使用するようにします。

   ...
   <protocol type="pbcast.STABLE"/>
   <auth-protocol type="AUTH">
     <cipher-token algorithm="RSA" key-alias="jgroups_key" key-store="jgroups-token-store">
       <shared-secret-reference clear-text="my_password"/>
       <key-credential-reference clear-text="my_password"/>
     </cipher-token>
   </auth-protocol>
   <protocol type="pbcast.GMS"/>
   ...

1. キーストアを作成します。

   以下のコマンドでは、VERSION を適切な JGroups JAR バージョンに置き換え、PASSWORD をキーストアパスワードに置き換えます。

   $ java -cp EAP_HOME/modules/system/layers/base/org/jgroups/main/jgroups-VERSION.jar org.jgroups.demos.KeyStoreGenerator --alg AES --size 128 --storeName defaultStore.keystore --storepass PASSWORD --alias mykey

   これにより、JGroups 設定で参照される defaultStore.keystore ファイルが生成されます。

2. キーストアが生成されたら、2 つの方法の 1 つを使用して SYM_PROTOCOL で定義されます。

   • キーストアを 直接設定に 定義します。
   • Elytron サブシステムを使用 してキーストアを参照します。

1. jgroups サブシステムで SYM_ENCRYPT プロトコルを設定します。

   該当するサーバー設定ファイルに、SYM_ENCRYPT プロトコルと適切なプロパティー設定を追加します。このプロトコルは、以前作成されたキーストアを参照します。SYM_ENCRYPT プロトコルは pbcast.NAKACK2 の直前に設定する必要があります。

   <subsystem xmlns="{JgroupsSubsystemNamespace}">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <protocol type="SYM_ENCRYPT">
           <property name="provider">SunJCE</property>
           <property name="sym_algorithm">AES</property>
           <property name="encrypt_entire_message">true</property>
           <property name="keystore_name">/path/to/defaultStore.keystore</property>
           <property name="store_password">PASSWORD</property>
           <property name="alias">mykey</property>
         </protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

1. 管理 CLI を使用して、対称暗号化を使用して 作成された defaultStore.keystore を参照するキーストアを elytron サブシステムに作成します。

   /subsystem=elytron/key-store=jgroups-keystore:add(path=/path/to/defaultStore.keystore,credential-reference={clear-text=PASSWORD},type=JCEKS)

2. SYM_ENCRYPT プロトコルと適切なプロパティー設定を jgroups サブシステムに追加します。以下の設定どおり、SYM_ENCRYPT プロトコルは pbcast.NAKACK2 プロトコルの直前に設定する必要があります。

   <subsystem xmlns="{JgroupsSubsystemNamespace}">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <encrypt-protocol type="SYM_ENCRYPT" key-alias="mykey" key-store="jgroups-keystore">
           <key-credential-reference clear-text="PASSWORD"/>
           <property name="provider">SunJCE</property>
           <property name="encrypt_entire_message">true</property>
         </encrypt-protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

   注記

   上記の例はクリアテキストのパスワードを使用しますが、認証情報ストアを定義して設定ファイル外部にパスワードを定義することもできます。認証情報ストアの設定に関する詳細は、サーバーセキュリティーの設定方法 の 認証情報ストア を参照してください。

1. jgroups サブシステムで ASYM_ENCRYPT プロトコルを設定します。

   該当のサーバー設定ファイルに ASYM_ENCRYPT プロトコルと適切なプロパティー設定を追加します。以下の設定どおり、ASYM_ENCRYPT プロトコルは pbcast.NAKACK2 プロトコルの直前に設定する必要があります。

   <subsystem xmlns="{JgroupsSubsystemNamespace}">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <protocol type="ASYM_ENCRYPT">
           <property name="encrypt_entire_message">true</property>
           <property name="sym_keylength">128</property>
           <property name="sym_algorithm">AES/ECB/PKCS5Padding</property>
           <property name="asym_keylength">512</property>
           <property name="asym_algorithm">RSA</property>
         </protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <!-- Configure AUTH protocol here -->
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

1. キーペアが含まれるキーストアを作成します。以下のコマンドは、mykey というエイリアスでキーストアを作成します。

   $ keytool -genkeypair -alias mykey -keyalg RSA -keysize 1024 -keystore defaultKeystore.keystore -dname "CN=localhost" -keypass secret -storepass secret

2. 管理 CLI を使用して、defaultStore.keystore を参照するキーストアを elytron サブシステムに作成します。

   /subsystem=elytron/key-store=jgroups-keystore:add(path=/path/to/defaultStore.keystore,credential-reference={clear-text=PASSWORD},type=JCEKS)

3. ASYM_ENCRYPT プロトコルと適切なプロパティー設定を jgroups サブシステムに追加します。以下の設定どおり、ASYM_ENCRYPT プロトコルは pbcast.NAKACK2 プロトコルの直前に設定する必要があります。

   <subsystem xmlns="{JgroupsSubsystemNamespace}">
     <stacks>
       <stack name="udp">
         <transport type="UDP" socket-binding="jgroups-udp"/>
         <protocol type="PING"/>
         <protocol type="MERGE3"/>
         <protocol type="FD_SOCK"/>
         <protocol type="FD_ALL"/>
         <protocol type="VERIFY_SUSPECT"/>
         <encrypt-protocol type="ASYM_ENCRYPT" key-alias="mykey" key-store="jgroups-keystore">
           <key-credential-reference clear-text="secret" />
           <property name="encrypt_entire_message">true</property>
         </encrypt-protocol>
         <protocol type="pbcast.NAKACK2"/>
         <protocol type="UNICAST3"/>
         <protocol type="pbcast.STABLE"/>
         <!-- Configure AUTH protocol here -->
         <protocol type="pbcast.GMS"/>
         <protocol type="UFC"/>
         <protocol type="MFC"/>
         <protocol type="FRAG3"/>
       </stack>
     </stacks>
   </subsystem>

   注記

   上記の例はクリアテキストのパスワードを使用しますが、認証情報ストアを定義して設定ファイル外部にパスワードを定義することもできます。認証情報ストアの設定に関する詳細は、サーバーセキュリティーの設定方法 の 認証情報ストア を参照してください。