3장. Fuse Console 보안
Apache Karaf에서 Fuse 콘솔을 보호하려면 다음을 수행합니다.
AWS에 배포할 때 Fuse Console의 프록시 서블릿 비활성화
독립 실행형 Fuse 애플리케이션을 AWS(Amazon Web Services)에 배포하려면
hawtio.disableProxy시스템 속성을true로 설정하여 Fuse Console의 프록시 서블릿을 비활성화해야 합니다.참고Fuse Console 프록시 서블릿을 비활성화하면 Fuse Console의 Connect 탭이 비활성화되어 Fuse Console에서 다른 JVM에 연결할 수 없습니다. AWS에 둘 이상의 Fuse 애플리케이션을 배포하려면 각 애플리케이션에 Fuse Console을 배포해야 합니다.
필요한 프로토콜로 HTTPS 설정
hawtio.http.strictTransportSecurity속성을 사용하면 웹 브라우저가 보안 HTTPS 프로토콜을 사용하여 Fuse Console에 액세스하도록 할 수 있습니다. 이 속성은 HTTP를 사용하여 Fuse 콘솔에 액세스하려는 웹 브라우저가 HTTPS를 사용하도록 요청을 자동으로 변환해야 함을 지정합니다.공개 키를 사용하여 응답 보안
hawtio.http.publicKeyPins속성을 사용하여 특정 암호화 공개 키를 Fuse 콘솔과 연결하도록 웹 브라우저에 고정 인증서와 "man-in-the-middle" 공격 위험을 줄임으로써 HTTPS 프로토콜을 보호할 수 있습니다.SSL/TLS 보안 활성화
Fuse Console에 대해 SSL/TLS 보안은 기본적으로 활성화되어 있지 않습니다. Fuse 콘솔에서 SSL/TLS 보안을 활성화하여 사용자 이름/암호 자격 증명을 스누핑에서 보호하는 것이 좋습니다.
- Red Hat Single Sign On 구현
사용자 액세스 제어
인증된 사용자가 수행할 수 있는 작업은 표 4.1. “Karaf 독립 실행형 역할 기반 액세스” 에 나열된 대로 해당 사용자에게 할당된 역할(또는 역할)에 따라 달라집니다.
프로세스
필요한 프로토콜로 HTTPS를 설정하려면 다음 예와 같이
$KARAF_HOME/etc/system.properties파일에서hawtio.http.strictTransportSecurity속성을 설정합니다.hawtio.http.strictTransportSecurity = max-age=31536000; includeSubDomains; preload
공개 키를 사용하여 응답을 보호하려면 다음 예와 같이
$KARAF_HOME/etc/system.properties파일에서hawtio.http.publicKeyPins속성을 설정합니다.hawtio.http.publicKeyPins = pin-sha256="cUPcTAZWKaASuYWhhneDttWpY3oBAkE3h2+soZS7sWs"; max-age=5184000; includeSubDomains
(AWS에만 배포하는 경우) Fuse Console의 프록시 서블릿을 비활성화하려면 다음 예와 같이
$KARAF_HOME/etc/system.properties파일에서hawtio.disableProxy속성을true로 설정합니다.hawtio.disableProxy = true;
- SSL/TLS 보안을 활성화하는 방법에 대한 자세한 내용은 Apache Karaf 보안 가이드의 " Apache Karaf 컨테이너의 SSL/TLS 활성화" 섹션을 참조하십시오.
- Red Hat Single Sign-On을 사용하여 Fuse 콘솔을 보호하는 방법에 대한 자세한 내용은 Red Hat Single Sign-on Securing Applications and Services Guide 에서 Hawtio 관리 콘솔 보안 섹션을 참조하십시오.
사용자가 사용자가 수행해야 하는 Fuse Console 작업을 수행하는 데 필요한 사용자 역할 권한이 있는지 확인하려면 다음 단계를 수행하여 사용자 역할을 설정합니다.
-
편집기에서 Red Hat Fuse
etc/users.properties파일을 엽니다. 사용자 이름, 암호 및 역할에 대한 항목을 추가합니다.
예를 들어
etc/users.properties파일의 다음 항목은 admin 사용자를 정의하고 admin 역할을 부여합니다.admin = secretpass,admin
- 파일을 저장합니다.
-
편집기에서 Red Hat Fuse
추가 리소스
-
hawtio.http.strictTransportSecurity속성 구문에 대한 설명은 HSTS(HTTP Strict Transport Security) 응답 헤더에 대한 설명 페이지를 참조하십시오. -
Base64로 인코딩된 공개 키를 추출하는 방법에 대한 지침을 포함하여
hawtio.http.publicKeyPins속성 구문에 대한 설명은 HTTP 공개 키 고정 응답 헤더에 대한 설명 페이지를 참조하십시오.
