3.5. 역할 기반 액세스 제어

기본적으로 RBAC(역할 기반 액세스 제어) 시스템은 비활성화되어 있습니다. provider 특성을 simple 에서 rbac. provider 로 변경하면 활성화됩니다.provider 는 관리 요소의 access-control 요소의 속성입니다. 이 작업은 관리 CLI를 사용하거나 서버가 오프라인인 경우 서버 구성 XML 파일을 편집하여 수행할 수 있습니다. 실행 중인 서버에서 RBAC를 비활성화하거나 활성화하면 적용되기 전에 서버 구성을 다시 로드해야 합니다.

활성화된 후에는 Administrator 또는 SuperUser 역할 사용자만 비활성화할 수 있습니다. 기본적으로 관리 CLI는 서버와 동일한 시스템에서 실행되는 경우 SuperUser 역할로 실행됩니다.

RBAC를 활성화하는 CLI

관리 CLI를 사용하여 RBAC를 활성화하려면 액세스 권한 부여 리소스의 쓰기 작업을 사용하여 프로바이더 특성을 로 설정합니다.

/core-service=management/access=authorization:write-attribute(name=provider, value=rbac)
{
    "outcome" => "success",
    "response-headers" => {
        "operation-requires-reload" => true,
        "process-state" => "reload-required"
    }
}

reload

관리형 도메인에서 액세스 제어 구성은 도메인 전체 구성의 일부이므로 리소스 주소는 위와 동일하지만 관리 CLI는 마스터 도메인 컨트롤러에 연결됩니다.

/core-service=management/access=authorization:write-attribute(name=provider,value=rbac)
{
    "outcome" => "success",
    "response-headers" => {
        "operation-requires-reload" => true,
        "process-state" => "reload-required"
    },
    "result" => undefined,
    "server-groups" => {"main-server-group" => {"host" => {"master" => {
        "server-one" => {"response" => {
            "outcome" => "success",
            "response-headers" => {
                "operation-requires-reload" => true,
                "process-state" => "reload-required"
            }
        }},
        "server-two" => {"response" => {
            "outcome" => "success",
            "response-headers" => {
                "operation-requires-reload" => true,
                "process-state" => "reload-required"
            }
        }}
    }}}}
}

reload --host=master

RBAC 비활성화를 위한 관리 CLI 명령

관리 CLI를 사용하여 RBAC를 비활성화하려면 액세스 권한 부여 리소스의 쓰기 작업을 사용하여 프로바이더 특성을 simple 로 설정합니다.

/core-service=management/access=authorization:write-attribute(name=provider, value=simple)

RBAC를 활성화 또는 비활성화하는 XML 구성

서버가 오프라인인 경우 XML 구성을 편집하여 RBAC를 활성화하거나 비활성화할 수 있습니다. 이렇게 하려면 관리 요소의 access-control 요소의 provider 속성을 편집합니다. 활성화되도록 값을 설정하고 simple to disable를 설정합니다.

<management>
  <access-control provider="rbac">
    <role-mapping>
      <role name="SuperUser">
        <include>
          <user name="$local"/>
        </include>
      </role>
    </role-mapping>
  </access-control>
</management>

권한 조합 정책은 사용자에게 둘 이상의 역할이 할당되는 경우 권한을 결정하는 방법을 결정합니다. 허용 또는 거부 로 설정할 수 있습니다. 기본값은 허용 입니다.

허용 으로 설정되면 작업을 허용하는 사용자에게 역할이 할당되면 작업이 허용됩니다.

rejecting( 거부 )으로 설정하면 여러 역할이 사용자에게 할당되면 작업이 허용되지 않습니다. 즉, 정책이 각 사용자를 거부하도록 설정된 경우 하나의 역할만 할당해야 합니다. 여러 역할이 있는 사용자는 정책이 거부로 설정된 경우 관리 콘솔 또는 관리 CLI를 사용할 수 없습니다.

권한 조합 정책은 permission-combination-policy 특성을 허용 또는 거부 로 설정하여 구성됩니다. 이 작업은 관리 CLI를 사용하거나 서버가 오프라인인 경우 서버 구성 XML 파일을 편집하여 수행할 수 있습니다. permission-combination-policy 특성은 access-control 요소의 일부이며 access-control 요소는 관리 요소에서 찾을 수 있습니다.

권한 조합 정책 설정

액세스 권한 부여 리소스의 write-attribute 작업을 사용하여 permission-combination-policy 특성을 필수 정책 이름으로 설정합니다.

/core-service=management/access=authorization:write-attribute(name=permission-combination-policy, value=POLICYNAME)

유효한 정책 이름이 거부 되고 허용됩니다.

/core-service=management/access=authorization:write-attribute(name=permission-combination-policy, value=rejecting)

서버가 오프라인인 경우 XML 구성을 편집하여 권한 조합 정책 값을 변경할 수 있습니다. 이렇게 하려면 access -control 요소의 permission-combination- policy 특성을 편집합니다.

<access-control provider="rbac" permission-combination-policy="rejecting">
  <role-mapping>
    <role name="SuperUser">
      <include>
        <user name="$local"/>
      </include>
    </role>
  </role-mapping>
</access-control>

RBAC(역할 기반 액세스 제어)가 활성화되면 관리 사용자가 수행할 수 있는 작업은 사용자가 할당되는 역할에 따라 결정됩니다. JBoss EAP 7은 사용자 및 그룹 멤버십 둘 다에 따라 포함 시스템을 사용하며 사용자가 속한 역할을 결정합니다.

사용자가 다음과 같은 경우 사용자에게 역할이 할당되는 것으로 간주됩니다.

사용자가 없는 경우 사용자에게도 역할이 할당되는 것으로 간주됩니다.

제외는 포함보다 우선합니다.

역할은 관리 콘솔과 관리 CLI를 사용하여 사용자 및 그룹의 설정을 포함하고 제외할 수 있습니다.

SuperUser 또는 관리자 역할의 사용자만 이 구성을 수행할 수 있습니다.

/core-service=management/access=authorization:read-children-names(child-type=role-mapping)
{
    "outcome" => "success",
    "result" => [
        "Administrator",
        "Deployer",
        "Maintainer",
        "Monitor",
        "Operator",
        "SuperUser"
    ]
}

/core-service=management/access=authorization/role-mapping=ROLENAME:read-resource(recursive=true)
{
    "outcome" => "success",
    "result" => {
        "include-all" => false,
        "exclude" => undefined,
        "include" => {
            "user-theboss" => {
                "name" => "theboss",
                "realm" => undefined,
                "type" => "USER"
            },
            "user-harold" => {
                "name" => "harold",
                "realm" => undefined,
                "type" => "USER"
            },
            "group-SysOps" => {
                "name" => "SysOps",
                "realm" => undefined,
                "type" => "GROUP"
            }
        }
    }
}

/core-service=management/access=authorization/role-mapping=ROLENAME:add

/core-service=management/access=authorization/role-mapping=Auditor:add

/core-service=management/access=authorization/role-mapping=ROLENAME/include=ALIAS:add(name=USERNAME, type=USER)

/core-service=management/access=authorization/role-mapping=Auditor/include=user-max:add(name=max, type=USER)

/core-service=management/access=authorization/role-mapping=ROLENAME/exclude=ALIAS:add(name=USERNAME, type=USER)

/core-service=management/access=authorization/role-mapping=Auditor/exclude=user-max:add(name=max, type=USER)

/core-service=management/access=authorization/role-mapping=ROLENAME/include=ALIAS:remove

/core-service=management/access=authorization/role-mapping=Auditor/include=user-max:remove

/core-service=management/access=authorization/role-mapping=ROLENAME/exclude=ALIAS:remove

/core-service=management/access=authorization/role-mapping=Auditor/exclude=user-max:remove

역할 관리 섹션에서 다룬 대로 사용자에 대한 역할 매핑을 직접 추가하는 것 외에도 elytron 하위 시스템에서 제공하는 ID에서 직접 가져온 RBAC 역할을 구성할 수도 있습니다.

elytron 하위 시스템에서 제공하는 역할을 사용하도록 RBAC 시스템을 구성하려면 다음을 수행합니다.

/core-service=management/access=authorization:write-attribute(name=use-identity-roles,value=true)

사용자 그룹은 하나 이상의 사용자에게 할당할 수 있는 임의의 레이블입니다. 관리 인터페이스를 사용하여 인증할 때 관리 인터페이스의 보안 방식에 따라 사용자에게 elytron 하위 시스템 또는 코어 관리 인증이 할당됩니다. RBAC 시스템은 멤버가 속한 사용자 그룹에 따라 사용자에게 역할을 자동으로 할당하도록 구성할 수 있습니다. 그룹 멤버십에 따라 역할에서 사용자를 제외할 수도 있습니다.

역할에서 포함하거나 제외할 그룹은 관리 콘솔 및 관리 CLI에서 구성할 수 있습니다. 이 주제는 관리 CLI 사용만 보여줍니다.

사용자 및 그룹을 역할에 매핑하는 구성은 관리 API의 구성: /core-service=management/access=authorization as role-mapping 요소.

SuperUser 또는 Administrator 역할의 사용자만 이 구성을 수행할 수 있습니다.

그룹 역할 할당 구성 보기

read-children-names 작업을 사용하여 구성된 역할의 전체 목록을 가져옵니다.

/core-service=management/access=authorization:read-children-names(child-type=role-mapping)
{
    "outcome" => "success",
    "result" => [
        "Administrator",
        "Deployer",
        "Maintainer",
        "Monitor",
        "Operator",
        "SuperUser"
    ]
}

지정된 role -mapping의 read-resource 작업을 사용하여 특정 역할의 전체 세부 정보를 가져옵니다.

/core-service=management/access=authorization/role-mapping=ROLENAME:read-resource(recursive=true)
{
    "outcome" => "success",
    "result" => {
        "include-all" => false,
        "exclude" => undefined,
        "include" => {
            "user-theboss" => {
                "name" => "theboss",
                "realm" => undefined,
                "type" => "USER"
            },
            "user-harold" => {
                "name" => "harold",
                "realm" => undefined,
                "type" => "USER"
            },
            "group-SysOps" => {
                "name" => "SysOps",
                "realm" => undefined,
                "type" => "GROUP"
            }
        }
    }
}

새 역할 추가

다음 절차에서는 역할에 대한 role-mapping 항목을 추가하는 방법을 설명합니다. 역할을 구성하기 전에 이 작업을 수행해야 합니다.

add 작업을 사용하여 새 역할 구성을 추가합니다.

/core-service=management/access=authorization/role-mapping=ROLENAME:add

역할에 포함된 그룹 추가

다음 절차에서는 포함된 역할 목록에 그룹을 추가하는 방법을 설명합니다.

역할 구성이 수행되지 않은 경우 먼저 role-mapping 항목을 수행해야 합니다.

add 작업을 사용하여 그룹 항목을 포함 역할 목록에 추가합니다.

/core-service=management/access=authorization/role-mapping=ROLENAME/include=ALIAS:add(name=GROUPNAME, type=GROUP)

/core-service=management/access=authorization/role-mapping=Auditor/include=group-investigators:add(name=investigators, type=GROUP)

역할에서 제외로 그룹 추가

다음 절차에서는 제외된 역할 목록에 그룹을 추가하는 방법을 설명합니다.

역할 구성이 수행되지 않은 경우 역할 매핑 항목을 먼저 생성해야 합니다.

add 작업을 사용하여 그룹 항목을 역할의 excludes 목록에 추가합니다.

/core-service=management/access=authorization/role-mapping=ROLENAME/exclude=ALIAS:add(name=GROUPNAME, type=GROUP)

/core-service=management/access=authorization/role-mapping=Auditor/exclude=group-supervisors:add(name=supervisors, type=GROUP)

그룹 역할 포함 구성 제거

다음 절차에서는 역할 매핑에서 그룹 포함 항목을 제거하는 방법을 설명합니다.

remove 작업을 사용하여 항목을 제거합니다.

/core-service=management/access=authorization/role-mapping=ROLENAME/include=ALIAS:remove

/core-service=management/access=authorization/role-mapping=Auditor/include=group-investigators:remove

사용자 그룹 제외 항목 제거

다음 절차에서는 역할 매핑에서 그룹 제외 항목을 제거하는 방법을 설명합니다.

remove 작업을 사용하여 항목을 제거합니다.

/core-service=management/access=authorization/role-mapping=ROLENAME/exclude=ALIAS:remove

/core-service=management/access=authorization/role-mapping=Auditor/exclude=group-supervisors:remove

LDAP와 함께 RBAC를 사용하는 방법과 LDAP에서 RBAC를 사용하도록 JBoss EAP를 구성하는 방법에 대한 기본 사항은 JBoss EAP의 LDAP 및 RBAC 섹션에서 ID 관리 가이드 구성 방법에서 다룹니다.

범위가 지정된 역할은 표준 역할 중 하나의 권한을 부여하지만 JBoss EAP 관리형 도메인에서 하나 이상의 지정된 서버 그룹 또는 호스트에 대해서만 권한을 부여하는 사용자 정의 역할입니다. 범위가 지정된 역할을 통해 관리 사용자에게 필요한 서버 그룹 또는 호스트로만 제한되는 권한이 부여될 수 있습니다.

다음 5가지 특성으로 정의됩니다.

범위가 지정된 역할은 표준 역할과 동일한 방식으로 사용자와 그룹에 할당할 수 있습니다.

범위가 지정된 역할을 만들면 새 권한을 정의할 수 없습니다. 범위가 지정된 역할은 제한된 범위에서 기존 역할의 권한을 적용하는 데만 사용할 수 있습니다. 예를 들어 단일 서버 그룹으로 제한되는 Deployer 역할을 기반으로 범위가 지정된 역할을 생성할 수 있습니다.

역할은 다음을 제한할 수 있는 두 가지 범위만 있습니다.

/core-service=management/access=authorization/role-mapping=NEW-SCOPED-ROLE:add

/core-service=management/access=authorization/server-group-scoped-role=NEW-SCOPED-ROLE:add(base-role=BASE-ROLE, server-groups=[SERVER-GROUP-NAME])

/core-service=management/access=authorization/role-mapping=NEW-SCOPED-ROLE:read-resource(recursive=true)

/core-service=management/access=authorization/role-mapping=NEW-SCOPED-ROLE:write-attribute(name=include-all, value=true)

/core-service=management/access=authorization/role-mapping=NEW-SCOPED-ROLE:remove

/core-service=management/access=authorization/server-group-scoped-role=NEW-SCOPED-ROLE:remove