第1章 管理インターフェイスとアプリケーションの一方向 SSL/TLS の有効化

• key-store
• key-manager
• server-ssl-context
• 次に、server-ssl-context が http-interface に適用されます。

前提条件

• JBoss EAP が実行している。

手順

• ウィザードを起動し、管理 CLI で以下のコマンドを入力して管理インターフェイスの一方向 SSL/TLS を設定します。

  構文

  security enable-ssl-management --interactive

  Copy to Clipboard Toggle word wrap

  プロンプトが表示されたら、必要な情報を入力します。

  --lets-encrypt オプションを使用して、Let's Encrypt 認証局から証明書を取得して使用します。

  管理インターフェイスの SSL/TLS がすでに有効になっていると、ウィザードは終了し、次のメッセージが表示されます。

  SSL is already enabled for http-interface

  Copy to Clipboard Toggle word wrap

  既存の設定を変更するには、最初に管理インターフェイスの SSL/TLS を無効にしてから、新しい設定を作成します。管理インターフェイスの SSL/TLS を無効にする方法の詳細は、ウィザードを使用した管理インターフェイスの SSL/TLS の無効化 を参照してください。

  注記

  一方向 SSL/TLS を有効にするには、SSL 相互認証を有効にするようにプロンプトが表示されたら、n を入力するか空白にします。相互認証を設定すると、双方向 SSL/TLS が有効になります。

  ウィザードの対話的な使用例

  security enable-ssl-management --interactive

  Copy to Clipboard Toggle word wrap

  ウィザードプロンプトへの入力の例

  Please provide required pieces of information to enable SSL:
  
  Certificate info:
  Key-store file name (default management.keystore): exampleKeystore.pkcs12
  Password (blank generated): secret
  What is your first and last name? [Unknown]: localhost
  What is the name of your organizational unit? [Unknown]:
  What is the name of your organization? [Unknown]:
  What is the name of your City or Locality? [Unknown]:
  What is the name of your State or Province? [Unknown]:
  What is the two-letter country code for this unit? [Unknown]:
  Is CN=localhost, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown correct y/n [y]?y
  Validity (in days, blank default): 365
  Alias (blank generated): localhost
  Enable SSL Mutual Authentication y/n (blank n):n //For one way SSL/TLS enter blank or n here
  
  SSL options:
  keystore file: exampleKeystore.pkcs12
  distinguished name: CN=localhost, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown,
  C=Unknown
  password: secret
  validity: 365
  alias: localhost
  Server keystore file exampleKeystore.pkcs12, certificate file exampleKeystore.pem and exampleKeystore.csr file will be generated in server configuration directory.
  
  Do you confirm y/n :y

  Copy to Clipboard Toggle word wrap

  y を入力すると、サーバーはリロードします。自己署名証明書を設定した場合、ウィザードを使用して自己署名証明書を生成した場合、または Java 仮想マシン (JVM) で信頼されない証明書を設定した場合、管理 CLI はサーバーが提示する証明書を受け入れるように要求します。

  Unable to connect due to unrecognised server certificate
  Subject    - CN=localhost,OU=Unknown,O=Unknown,L=Unknown,ST=Unknown,C=Unknown
  Issuer     - CN=localhost, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown
  Valid From - Mon Jan 30 23:32:20 IST 2023
  Valid To   - Tue Jan 30 23:32:20 IST 2024
  MD5 : b6:e7:f0:57:59:9e:bf:b8:20:99:10:fc:e2:0b:0f:d0
  SHA1 : 9c:f0:92:de:c1:11:df:71:0b:d7:16:02:c8:7e:c9:83:ab:e3:0c:2e
  
  
  Accept certificate? [N]o, [T]emporarily, [P]ermanently :

  Copy to Clipboard Toggle word wrap

  T または P を入力して接続を続行します。

  次の出力が得られます。

  Server reloaded.
  SSL enabled for http-interface
  ssl-context is ssl-context-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1
  key-manager is key-manager-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1
  key-store   is key-store-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1

  Copy to Clipboard Toggle word wrap

検証

• 管理 CLI クライアントと接続して SSL/TLS を確認します。

  Elytron クライアント SSL コンテキストを設定ファイルに配置し、管理 CLI を使用してサーバーに接続して、設定ファイルを参照することで、SSL/TLS をテストできます。

  1. キーストアファイルを含むディレクトリーに移動します。この例では、キーストアファイル exampleKeystore.pkcs12 がサーバーの standalone/configuration ディレクトリーに生成されました。

     例

     $ cd JBOSS_HOME/standalone/configuration

     Copy to Clipboard Toggle word wrap

  2. サーバー証明書を使用して、クライアント trust-store を作成します。

     構文

     $ keytool -importcert -keystore <trust_store_name> -storepass <password> -alias <alias> -trustcacerts -file <file_containing_server_certificate>

     Copy to Clipboard Toggle word wrap

     例

     $ keytool -importcert -keystore client.truststore.pkcs12 -storepass secret -alias localhost -trustcacerts -file exampleKeystore.pem

     Copy to Clipboard Toggle word wrap

     自己署名証明書を使用した場合は、証明書を信頼するように求められます。

  3. ファイルでクライアント側の SSL コンテキストを定義します (例: example-security.xml)。

     構文

     <?xml version="1.0" encoding="UTF-8"?>
     
     <configuration>
         <authentication-client xmlns="urn:elytron:client:1.2">
             <key-stores>
                 <key-store name="${key-store_name}" type="PKCS12" >
                     <file name="${path_to_truststore}"/>
                     <key-store-clear-password password="${keystore_password}" />
                 </key-store>
             </key-stores>
             <ssl-contexts>
                 <ssl-context name="${ssl_context_name}">
                     <trust-store key-store-name="${trust_store_name}" />
                 </ssl-context>
             </ssl-contexts>
             <ssl-context-rules>
                 <rule use-ssl-context="${ssl_context_name}" />
             </ssl-context-rules>
         </authentication-client>
     </configuration>

     Copy to Clipboard Toggle word wrap

     例

     <?xml version="1.0" encoding="UTF-8"?>
     
     <configuration>
         <authentication-client xmlns="urn:elytron:client:1.2">
             <key-stores>
                 <key-store name="clientStore" type="PKCS12" >
                     <file name="JBOSS_HOME/standalone/configuration/client.truststore.pkcs12"/>
                     <key-store-clear-password password="secret" />
                 </key-store>
             </key-stores>
             <ssl-contexts>
                 <ssl-context name="client-SSL-context">
                     <trust-store key-store-name="clientStore" />
                 </ssl-context>
             </ssl-contexts>
             <ssl-context-rules>
                 <rule use-ssl-context="client-SSL-context" />
             </ssl-context-rules>
         </authentication-client>
     </configuration>

     Copy to Clipboard Toggle word wrap

  4. サーバーに接続してコマンドを発行します。

     例

     $ EAP_HOME/bin/jboss-cli.sh -c --controller=remote+https://127.0.0.1:9993 -Dwildfly.config.url=<path_to_the_configuration_file>/example-security.xml :whoami

     Copy to Clipboard Toggle word wrap

     予想される出力

     {
         "outcome" => "success",
         "result" => {"identity" => {"username" => "$local"}}
     }

     Copy to Clipboard Toggle word wrap

• ブラウザーを使用して SSL/TLS を確認します。

  1. https://localhost:9993 に移動します。

     自己署名証明書を使用した場合が、サーバーが提示した証明書が不明であるという警告がブラウザーに表示されます。

  2. 証明書を調べて、ブラウザーに表示されるフィンガープリントが、キーストアの証明書のフィンガープリントと一致することを確認します。次のコマンドを使用して、生成した証明書を表示できます。

     構文

     /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

     Copy to Clipboard Toggle word wrap

     例

     /subsystem=elytron/key-store=key-store-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1:read-alias(alias="localhost")

     Copy to Clipboard Toggle word wrap

     ウィザードの出力からキーストア名を取得できます (例: "key-store is key-store-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1")。

     出力例

     ...
     "sha-1-digest" => "48:e3:6f:16:d1:af:4b:31:8f:9b:0b:7f:33:94:58:af:69:85:c
     0:ea",
     "sha-256-digest" => "8f:3e:6b:b5:56:e0:d1:97:81:bc:f1:8d:c8:66:75:06:db:7d
     :4d:b6:b1:d3:34:dd:f5:6c:85:ca:c7:2b:5b:c7",
     ...

     Copy to Clipboard Toggle word wrap

     サーバー証明書を許可すると、ログイン認証情報の入力を求められます。既存 JBoss EAP ユーザーのユーザー認証情報を使用してログインできます。

前提条件

• JBoss EAP が実行している。

検証

• クライアントを介して接続して SSL/TLS を確認します。

  設定ファイル内に Elytron クライアント SSL コンテキストを配置し、設定ファイルを参照する管理 CLI を使用してサーバーに接続すると、SSL/TLS をテストできます。

  1. キーストアファイルを含むディレクトリーに移動します。この例では、キーストアファイル exampleserver.keystore.pkcs12 がサーバーの standalone/configuration ディレクトリーに生成されました。

     例

     $ cd JBOSS_HOME/standalone/configuration

     Copy to Clipboard Toggle word wrap

  2. サーバー証明書をエクスポートして、クライアントトラストストアにインポートできるようにします。

     $ keytool -export -alias <alias> -keystore <key_store> -storepass <keystore_password>-file <file_name>

     Copy to Clipboard Toggle word wrap

     例

     $ keytool -export -alias localhost -keystore exampleserver.keystore.pkcs12 -file -storepass secret server.cer

     Copy to Clipboard Toggle word wrap

  3. サーバー証明書を使用して、クライアント trust-store を作成します。

     構文

     $ keytool -importcert -keystore <trust_store_name> -storepass <password> -alias <alias> -trustcacerts -file <file_containing_server_certificate>

     Copy to Clipboard Toggle word wrap

     例

     $ keytool -importcert -keystore client.truststore.pkcs12 -storepass secret -alias localhost -trustcacerts -file server.cer

     Copy to Clipboard Toggle word wrap

     自己署名証明書を使用した場合は、証明書を信頼するように求められます。

  4. ファイルでクライアント側の SSL コンテキストを定義します (例: example-security.xml)。

     構文

     <?xml version="1.0" encoding="UTF-8"?>
     
     <configuration>
         <authentication-client xmlns="urn:elytron:client:1.2">
             <key-stores>
                 <key-store name="${key-store_name}" type="PKCS12" >
                     <file name="${path_to_truststore}"/>
                     <key-store-clear-password password="${keystore_password}" />
                 </key-store>
             </key-stores>
             <ssl-contexts>
                 <ssl-context name="${ssl_context_name}">
                     <trust-store key-store-name="${trust_store_name}" />
                 </ssl-context>
             </ssl-contexts>
             <ssl-context-rules>
                 <rule use-ssl-context="${ssl_context_name}" />
             </ssl-context-rules>
         </authentication-client>
     </configuration>

     Copy to Clipboard Toggle word wrap

     例

     <?xml version="1.0" encoding="UTF-8"?>
     
     <configuration>
         <authentication-client xmlns="urn:elytron:client:1.2">
             <key-stores>
                 <key-store name="clientStore" type="PKCS12" >
                     <file name="JBOSS_HOME/standalone/configuration/client.truststore.pkcs12"/>
                     <key-store-clear-password password="secret" />
                 </key-store>
             </key-stores>
             <ssl-contexts>
                 <ssl-context name="client-SSL-context">
                     <trust-store key-store-name="clientStore" />
                 </ssl-context>
             </ssl-contexts>
             <ssl-context-rules>
                 <rule use-ssl-context="client-SSL-context" />
             </ssl-context-rules>
         </authentication-client>
     </configuration>

     Copy to Clipboard Toggle word wrap

  5. サーバーに接続してコマンドを発行します。

     例

     $ EAP_HOME/bin/jboss-cli.sh -c --controller=remote+https://127.0.0.1:9993 -Dwildfly.config.url=example-security.xml :whoami

     Copy to Clipboard Toggle word wrap

     予想される出力

     {
         "outcome" => "success",
         "result" => {"identity" => {"username" => "$local"}}
     }

     Copy to Clipboard Toggle word wrap

• ブラウザーを使用して SSL/TLS を確認します。

  1. https://localhost:9993 に移動します。

     自己署名証明書を使用した場合が、サーバーが提示した証明書が不明であるという警告がブラウザーに表示されます。

  2. 証明書を調べて、ブラウザーに表示されるフィンガープリントが、キーストアの証明書のフィンガープリントと一致することを確認します。次のコマンドを使用して、生成した証明書を表示できます。

     構文

     /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

     Copy to Clipboard Toggle word wrap

     例

     /subsystem=elytron/key-store=exampleKeyStore:read-alias(alias="localhost")

     Copy to Clipboard Toggle word wrap

     出力例

     ...
     "sha-1-digest" => "48:e3:6f:16:d1:af:4b:31:8f:9b:0b:7f:33:94:58:af:69:85:c
     0:ea",
     "sha-256-digest" => "8f:3e:6b:b5:56:e0:d1:97:81:bc:f1:8d:c8:66:75:06:db:7d
     :4d:b6:b1:d3:34:dd:f5:6c:85:ca:c7:2b:5b:c7",
     ...

     Copy to Clipboard Toggle word wrap

     サーバー証明書を許可すると、ログイン認証情報の入力を求められます。既存 JBoss EAP ユーザーのユーザー認証情報を使用してログインできます。

前提条件

• JBoss EAP が実行している。

手順

• 管理 CLI で disable-ssl-management コマンドを使用します。

  security disable-ssl-management

  Copy to Clipboard Toggle word wrap

  サーバーがリロードされ、以下の出力が表示されます。

  ...
  Server reloaded.
  Reconnected to server.
  SSL disabled for http-interface

  Copy to Clipboard Toggle word wrap

• ウィザードを使用した管理インターフェイスの一方向 SSL/TLS の有効化: この手順を使用して、CLI ベースのウィザードを使用した SSL/TLS を迅速にセットアップします。Elytron はウィザードへの入力内容に基づいて、必要なリソースを作成します。
• サブシステムコマンドを使用した管理インターフェイスの一方向 SSL/TLS の有効化: この手順を使用して、SSL/TLS を手動で有効にするために必要なリソースを設定します。リソースを手動で設定すると、サーバー設定をより詳細に制御できます。