1.2. 관리 인터페이스 보안 방법

절차

1. 키 저장소 구성.

   /subsystem=elytron/key-store=httpsKS:add(path=keystore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)

   참고

   위의 명령은 키 저장소 파일의 위치를 참조하기 위해 상대-to 를 사용합니다. 또는 경로에서 키 저장소의 전체 경로를 지정하고 relative-to 를 생략할 수도 있습니다.

   키 저장소 파일이 아직 없는 경우 다음 명령을 사용하여 예제 키 쌍을 생성할 수 있습니다.

   /subsystem=elytron/key-store=httpsKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
   
   /subsystem=elytron/key-store=httpsKS:store()

2. key-manager 및 server-ssl-context 를 만듭니다.

   /subsystem=elytron/key-manager=httpsKM:add(key-store=httpsKS,credential-reference={clear-text=secret})
   
   /subsystem=elytron/server-ssl-context=httpsSSC:add(key-manager=httpsKM,protocols=["TLSv1.2"])

   중요

   Elytron 하위 시스템에서 KeyManagerfactory.getDefaultAlgorithm() 를 사용하여 기본적으로 알고리즘을 결정하므로 이전 명령에서 algorithm을 지정하지 않았습니다. 그러나 알고리즘 특성을 지정할 수 있습니다. 알고리즘 특성을 지정하려면 JDK에서 제공하는 키 관리자 알고리즘이 무엇인지 알아야 합니다. 예를 들어 SunJSSE를 사용하는 JDK는 PKIX 및 SunX509 알고리즘을 제공합니다.

   이전 명령에서 SunX509 를 키 관리자 알고리즘 특성으로 지정할 수 있습니다.

   또한 지원할 HTTPS 프로토콜을 결정해야 합니다. 위의 예제 명령은 TLSv1.2 를 사용합니다.

   cipher-suite-filter 를 사용하여 암호화 제품군과 use-cipher-suites-order 인수를 사용하여 서버 암호화 제품군 순서를 준수할 수 있습니다. use-cipher-suites-order 속성은 기본적으로 true 로 설정됩니다. 이는 기본적으로 클라이언트 암호화 모음 순서를 준수하는 레거시 보안 하위 시스템 동작과 다릅니다.

3. 관리 인터페이스에서 HTTPS를 활성화합니다.

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=httpsSSC)
   
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

4. JBoss EAP 인스턴스를 다시 로드합니다.

   reload

절차

1. 관리 콘솔에 액세스합니다. 자세한 내용은 JBoss EAP 구성 가이드의 관리 콘솔 섹션을 참조하십시오.
2. Runtime (런타임)으로 이동하여 적절한 서버 이름을 클릭합니다.
3. 서버 이름 옆에 있는 View(보기 )를 클릭합니다.
4. HTTP Manageme…​를 클릭합니다. HTTP 관리 인터페이스 구성 페이지를 엽니다.

5. Enable SSL (SSL 활성화)을 클릭하여 마법사를 시작합니다.

   마법사는 SSL을 활성화하기 위한 다음 시나리오를 안내합니다.

   • 인증서 저장소를 생성하고 자체 서명된 인증서를 생성하려고 합니다.
   • Let's Encrypt 인증 기관에서 인증서를 가져오고자 합니다.
   • 파일 시스템에 인증서 저장소가 이미 있지만 키 저장소 구성이 없습니다.
   • 유효한 인증서 저장소를 사용하는 키 저장소 구성이 이미 있습니다.

절차

1. 클라이언트 인증서를 생성합니다.

   $ keytool -genkeypair -alias client -keyalg RSA -keysize 1024 -validity 365 -keystore client.keystore.jks -dname "CN=client" -keypass secret -storepass secret

2. 클라이언트 인증서를 내보냅니다.

   $ keytool -exportcert  -keystore client.keystore.jks -alias client -keypass secret -storepass secret -file /path/to/client.cer

절차

1. 키 저장소를 가져오거나 생성합니다.

   JBoss EAP에서 일방향 SSL/TLS를 활성화하기 전에 사용하려는 키 저장소, 신뢰 저장소 및 인증서를 가져오거나 생성해야 합니다. 키 저장소, 신뢰 저장소 및 인증서의 예제 집합을 생성하려면 다음 명령을 사용합니다.

   1. 키 저장소 구성.

      /subsystem=elytron/key-store=twoWayKS:add(path=server.keystore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)
      
      /subsystem=elytron/key-store=twoWayKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
      
      /subsystem=elytron/key-store=twoWayKS:store()

      참고

      위의 명령은 키 저장소 파일의 위치를 참조하기 위해 상대-to 를 사용합니다. 또는 경로에서 키 저장소의 전체 경로를 지정하고 relative-to 를 생략할 수도 있습니다.

   2. 서버 인증서를 내보냅니다.

      /subsystem=elytron/key-store=twoWayKS:export-certificate(alias=localhost,path=/path/to/server.cer,pem=true)

   3. 서버 신뢰 저장소의 키 저장소를 생성하고 클라이언트 인증서를 서버 신뢰 저장소로 가져옵니다.

      참고

      다음 예제에서는 신뢰 체인이 없으므로 인증서를 확인하지 않습니다. 신뢰할 수 있는 인증서를 사용하는 경우 문제 없이 클라이언트 인증서를 검증할 수 있습니다.

      /subsystem=elytron/key-store=twoWayTS:add(path=server.truststore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)
      
      /subsystem=elytron/key-store=twoWayTS:import-certificate(alias=client,path=/path/to/client.cer,credential-reference={clear-text=secret},trust-cacerts=true,validate=false)
      
      /subsystem=elytron/key-store=twoWayTS:store()

2. 서버 키 저장소 및 신뢰 저장소에 대해 key-manager, trust -manager 및 server-ssl-context 를 구성합니다.

   /subsystem=elytron/key-manager=twoWayKM:add(key-store=twoWayKS,credential-reference={clear-text=secret})
   
   /subsystem=elytron/trust-manager=twoWayTM:add(key-store=twoWayTS)
   
   /subsystem=elytron/server-ssl-context=twoWaySSC:add(key-manager=twoWayKM,protocols=["TLSv1.2"],trust-manager=twoWayTM,want-client-auth=true,need-client-auth=true)

   중요

   Elytron 하위 시스템에서 KeyManagerfactory.getDefaultAlgorithm() 및 TrustManager factory.getDefaultAlgorithm() 를 사용하여 기본적으로 알고리즘을 결정하므로 이전 명령에서 algorithm을 지정하지 않았습니다. 그러나 알고리즘 특성을 지정할 수 있습니다. 알고리즘 특성을 지정하려면 JDK에서 제공하는 키 관리자 알고리즘이 무엇인지 알아야 합니다. 예를 들어 SunJSSE를 사용하는 JDK는 PKIX 및 SunX509 알고리즘을 제공합니다.

   이전 명령에서 SunX509 를 키 관리자 알고리즘 특성으로 지정하고 PKIX 를 신뢰 관리자 알고리즘 속성으로 지정할 수 있습니다.

   또한 지원할 HTTPS 프로토콜을 결정해야 합니다. 위의 예제 명령은 TLSv1.2 를 사용합니다.

   cipher-suite-filter 를 사용하여 암호화 제품군과 use-cipher-suites-order 인수를 사용하여 서버 암호화 제품군 순서를 준수할 수 있습니다. use-cipher-suites-order 속성은 기본적으로 true 로 설정됩니다. 이는 기본적으로 클라이언트 암호화 모음 순서를 준수하는 레거시 보안 하위 시스템 동작과 다릅니다.

3. 관리 인터페이스에서 HTTPS를 활성화합니다.

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=twoWaySSC)
   
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

4. JBoss EAP 인스턴스를 다시 로드합니다.

   reload

   참고

   양방향 SSL/TLS 인증을 완료하려면 서버 인증서를 클라이언트 신뢰 저장소로 가져오고 클라이언트 인증서를 클라이언트 인증서를 제공하도록 구성해야 합니다.

5. 클라이언트에서 클라이언트 인증서를 사용하도록 구성합니다.

   양방향 SSL/TLS 인증을 완료하려면 서버에 신뢰할 수 있는 클라이언트 인증서를 제공하도록 클라이언트를 구성해야 합니다. 예를 들어 브라우저를 사용하는 경우 신뢰할 수 있는 인증서를 브라우저의 신뢰 저장소로 가져와야 합니다.

   따라서 원래 인증을 서버 관리로 변경하지 않고 강제 양방향 SSL/TLS 인증을 받게 됩니다.

   원래 인증 방법을 변경하려면 JBoss EAP에 대한 ID 관리 구성 방법 의 인증서 구성을 참조하십시오.

절차

1. 사용자 이름 및 암호를 저장할 속성 파일을 만듭니다.

   나중에 사용자 이름 및 암호를 파일에 추가할 수 있지만, 현재는 https-mgmt-users.properties 라는 빈 파일을 생성하여 해당 위치에 저장해야 합니다. 아래 예제에서는 touch 명령을 사용하는 방법을 보여주지만 텍스트 편집기와 같은 다른 메커니즘을 사용할 수도 있습니다.

   예제: touch 명령을 사용하여 빈 파일 생성

   $ touch EAP_HOME/standalone/configuration/https-mgmt-users.properties

2. 다음 관리 CLI 명령을 사용하여 ManagementRealmHTTPS 라는 새 보안 영역을 생성합니다.

   /core-service=management/security-realm=ManagementRealmHTTPS:add
   
   /core-service=management/security-realm=ManagementRealmHTTPS/authentication=properties:add(path=https-mgmt-users.properties,relative-to=jboss.server.config.dir)

3. 속성 파일에 사용자를 추가합니다.

   이때 새 보안 영역을 생성하고 인증에 속성 파일을 사용하도록 구성했습니다. 이제 EAP_HOME/bin/ 디렉터리에서 사용할 수 있는 add-user 스크립트를 사용하여 해당 속성 파일에 사용자를 추가해야 합니다. add-user 스크립트를 실행하는 경우 각각 -up 및 - r 옵션을 사용하여 속성 파일과 보안 영역을 모두 지정해야 합니다. 여기에서 add-user 스크립트는 https-mgmt-users.properties 파일에 저장할 사용자 이름 및 암호 정보를 입력하라는 메시지를 대화식으로 표시합니다.

   $ EAP_HOME/bin/add-user.sh -up EAP_HOME/standalone/configuration/https-mgmt-users.properties -r ManagementRealmHTTPS
   ...
   Enter the details of the new user to add.
   Using realm 'ManagementRealmHTTPS' as specified on the command line.
   ...
   Username : httpUser
   Password requirements are listed below. To modify these restrictions edit the add-user.properties configuration file.
    - The password must not be one of the following restricted values {root, admin, administrator}
    - The password must contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)
    - The password must be different from the username
   ...
   Password :
   Re-enter Password :
   About to add user 'httpUser' for realm 'ManagementRealmHTTPS'
   ...
   Is this correct yes/no? yes
   ..
   Added user 'httpUser' to file 'EAP_HOME/configuration/https-mgmt-users.properties'
   ...
   Is this new user going to be used for one AS process to connect to another AS process?
   e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.
   yes/no? no

   중요

   속성 파일을 사용하여 사용자 이름과 암호를 저장하는 보안 영역을 구성하는 경우 각 영역에서 다른 영역과 공유하지 않는 고유한 속성 파일을 사용하는 것이 좋습니다.

절차

1. 다음 관리 CLI 명령을 사용하여 키 저장소를 사용하도록 관리 인터페이스를 구성합니다.

   매개 변수 파일의 경우 암호와 별칭의 값은 Create a Keystore(키 저장소 만들기)에서 Secure the Management Interfaces (관리 인터페이스 보안) 단계로 복사해야 합니다.

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:add(keystore-path=identity.jks,keystore-relative-to=jboss.server.config.dir,keystore-password=password1, alias=appserver)

   참고

   키 저장소 암호를 업데이트하려면 다음 CLI 명령을 사용합니다.

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:write-attribute(name=keystore-password,value=newpassword)

2. 서버의 설정을 다시 로드합니다.

   reload

   서버 구성을 다시 로드한 후 시작하는 서비스 수를 나타내는 텍스트 바로 앞에 로그에 다음이 포함되어야 합니다.

   13:50:54,160 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0061: Http management interface listening on https://127.0.0.1:9993/management
   13:50:54,162 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0052: Admin console listening on https://127.0.0.1:9993

1. NSS 데이터베이스를 보관할 적절한 사용자가 소유한 디렉터리를 만듭니다.

   NSS 데이터베이스 디렉터리 생성을 위한 명령 예

   $ mkdir -p /usr/share/jboss-as/nssdb
   $ chown jboss /usr/share/jboss-as/nssdb
   $ modutil -create -dbdir /usr/share/jboss-as/nssdb

   참고
   • RHEL 7 이전의 기본 데이터베이스 형식인 DBM 파일 형식은 더 이상 사용되지 않습니다. NSS는 기본적으로 SQL을 사용합니다.
   • jboss 사용자는 예시일 뿐입니다. JBoss EAP를 실행하려면 이를 운영 체제에서 활성 사용자로 교체합니다.

2. NSS 구성 파일 /usr/share/jboss-as/nss_pkcsll_fips.cfg 를 만듭니다.

   다음을 지정해야 합니다.

   • 이름
   • NSS 라이브러리가 있는 디렉토리

   • NSS 데이터베이스가 이전 단계에서 생성된 디렉토리

     예: nss_pkcsll_fips.cfg

     name = nss-fips
     nssLibraryDirectory=/usr/lib64
     nssSecmodDirectory=/usr/share/jboss-as/nssdb
     nssDbMode = readOnly
     nssModule = fips

     참고

     64비트 버전의 Red Hat Enterprise Linux 6을 실행하지 않는 경우 nssLibraryDirectory 를 /usr/lib 64 대신 /usr/lib 로 설정합니다.

3. Java 보안 구성 파일을 편집합니다. 이 구성 파일은 전체 JVM에 영향을 미치며 다음 방법 중 하나를 사용하여 정의할 수 있습니다.

   • 기본 구성 파일 java.security 가 JDK에 제공됩니다. 이 파일은 다른 보안 구성 파일이 지정되지 않은 경우 사용됩니다. 이 파일의 위치는 JDK 벤더의 설명서를 참조하십시오.

   • 사용자 지정 Java 보안 구성 파일을 정의하고 -Djava.security.properties=/path/to/java.security.properties 를 사용하여 이를 참조합니다. 이러한 방식으로 참조할 경우 기본 보안 파일의 설정을 덮어씁니다. 이 옵션은 서로 다른 보안 설정이 필요한 동일한 호스트에서 여러 JVM을 실행하는 경우 유용합니다.

     Java 보안 구성 파일에 다음 행을 추가합니다.

     예: java.security

     security.provider.1=sun.security.pkcs11.SunPKCS11 /usr/share/jboss-as/nss_pkcsll_fips.cfg

     참고

     위 행에 지정된 nss_pkcsll_fips.cfg 구성 파일은 이전 단계에서 만든 파일입니다.

     구성 파일에서 다음 링크도 업데이트해야 합니다.

     security.provider.5=com.sun.net.ssl.internal.ssl.Provider

     다음으로 변경

     security.provider.5=com.sun.net.ssl.internal.ssl.Provider SunPKCS11-nss-fips

     중요

     이 파일에 있는 다른 security.provider.X 행(예: security.provider.2)은 이 공급자에 우선 순위를 지정하기 위해 X 값을 하나씩 늘려야 합니다.

4. 이전 단계에서 만든 NSS 데이터베이스 디렉터리에서 modutil 명령을 실행하여 FIPS 모드를 활성화합니다.

   modutil -fips true -dbdir /usr/share/jboss-as/nssdb

   참고

   현재 보안 라이브러리 오류가 발생하면 NSS 공유 객체에 대한 라이브러리 서명을 다시 생성해야 합니다.

5. FIPS 토큰에 암호를 설정합니다.

   토큰 이름은 NSS FIPS 140-2 인증서 DB 여야 합니다.

   modutil -changepw "NSS FIPS 140-2 Certificate DB" -dbdir /usr/share/jboss-as/nssdb

   중요

   FIPS 토큰에 사용되는 암호는 FIPS 호환 암호여야 합니다. 암호가 충분하지 않으면 오류가 발생할 수 있습니다. 오류: 토큰 "NSS FIPS 140-2 인증서 DB"에서 암호를 변경할 수 없습니다.

6. NSS 도구를 사용하여 인증서를 생성합니다.

   명령 예

   $ certutil -S -k rsa -n undertow -t "u,u,u" -x -s "CN=localhost, OU=MYOU, O=MYORG, L=MYCITY, ST=MYSTATE, C=MY" -d /usr/share/jboss-as/nssdb

7. 다음 명령을 실행하여 JVM이 PKCS11 키 저장소에서 개인 키를 읽을 수 있는지 확인합니다.

   $ keytool -list -storetype pkcs11

1. FIPS 140-2 호환 암호화 키 저장소,키- manager 및 ssl- context 를 추가합니다.

   /subsystem=elytron/key-store=fipsKS:add(type=PKCS11,provider-name="SunPKCS11-nss-fips",credential-reference={clear-text="P@ssword123"})
   
   /subsystem=elytron/key-manager=fipsKM:add(key-store=fipsKS,algorithm="SunX509",provider-name=SunPKCS11-nss-fips,credential-reference={clear-text="P@ssword123"})
   
   /subsystem=elytron/server-ssl-context=fipsSSC:add(key-manager=fipsKM,protocols=["TLSv1.1"])

2. 새 ssl-context 를 사용하도록 undertow 하위 시스템을 업데이트합니다.

   참고

   HTTPS-listener 에는 항상 security-realm 또는 ssl- context 가 구성되어 있어야 합니다. 두 구성을 변경하는 경우 아래 표시된 대로 명령을 단일 배치로 실행해야 합니다.

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context,value=fipsSSC)
   run-batch
   
   reload

1. SSL/TLS를 사용하도록 Undertow를 구성합니다.

   참고

   아래의 다음 명령은 배치 모드에서 실행해야 합니다. 또는 ssl 서버 ID를 추가한 후 서버를 다시 로드해야 합니다. 아래 예는 배치 모드를 사용하여 확인할 수 있습니다.

   batch
   
   /core-service=management/security-realm=HTTPSRealm:add
   
   /core-service=management/security-realm=HTTPSRealm/server-identity=ssl:add(keystore-provider=PKCS11, keystore-password="strongP@ssword1")
   
   /subsystem=undertow/server=default-server/https-listener=https:add(socket-binding=https, security-realm=HTTPSRealm, enabled-protocols="TLSv1.1")
   
   run-batch

   Undertow를 SSL/TLS로 구성하기 위한 기본 세부 정보는 애플리케이션용 SSL/TLS 설정에서 다룹니다.

2. Undertow에서 사용하는 암호화 제품군을 구성합니다.

   SSL/TLS가 구성되면 특정 암호화 제품군 세트가 활성화되도록 https 리스너 및 보안 영역을 구성해야 합니다.

   필요한 암호 슈트

   SSL_RSA_WITH_3DES_EDE_CBC_SHA, SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_anon_WITH_AES_128_CBC_SHA, TLS_ECDH_anon_WITH_AES_256_CBC_SHA

   https 리스너에 대한 암호화 제품군 활성화의 기본 사항은 Cipher suite 정보 에서 다룹니다. https 리스너에서 암호화 제품군을 활성화하려면 다음을 수행합니다.

   Https 리스너에서 Cipher Suites 활성화 명령 예

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=enabled-cipher-suites,value="SSL_RSA_WITH_3DES_EDE_CBC_SHA,SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_RSA_WITH_AES_128_CBC_SHA,TLS_ECDH_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_anon_WITH_AES_128_CBC_SHA,TLS_ECDH_anon_WITH_AES_256_CBC_SHA")

3. 보안 영역에서 암호화 제품군을 활성화합니다.

   보안 영역에서 Cipher Suites 활성화 명령 예

   /core-service=management/security-realm=HTTPSRealm/server-identity=ssl:write-attribute(name=enabled-cipher-suites, value=[SSL_RSA_WITH_3DES_EDE_CBC_SHA, SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_anon_WITH_AES_128_CBC_SHA, TLS_ECDH_anon_WITH_AES_256_CBC_SHA])

1. 다음 콘텐츠를 사용하여 관리 CLI의 XML 구성 파일을 생성합니다.

   예: cli-wildfly-config.xml

   <configuration>
     <authentication-client xmlns="urn:elytron:client:1.2">
       <key-stores>
         <key-store name="truststore" type="BCFKS">
           <file name="${truststore.location}" />
           <key-store-clear-password password="${password}" />
         </key-store>
         <key-store name="keystore" type="BCFKS">
           <file name="${keystore.location}" />
           <key-store-clear-password password="${password}" />
         </key-store>
       </key-stores>
       <ssl-contexts>
         <ssl-context name="client-cli-context">
           <key-store-ssl-certificate algorithm="PKIX" key-store-name="keystore">
             <key-store-clear-password password="${password"} />
           </key-store-ssl-certificate>
           <trust-store key-store-name="truststore"/>
           <trust-manager algorithm="PKIX">
           </trust-manager>
           <cipher-suite selector="TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CCM,TLS_RSA_WITH_AES_128_CCM"/>
           <protocol names="TLSv1.2"/>
         </ssl-context>
       </ssl-contexts>
       <ssl-context-rules>
         <rule use-ssl-context="client-cli-context"/>
       </ssl-context-rules>
     </authentication-client>
   </configuration>

2. 관리 CLI를 시작할 때 -Dwildfly.config.url 속성을 사용하여 구성 파일을 관리 CLI 스크립트에 전달합니다. 예를 들면 다음과 같습니다.

   $ jboss-cli.sh -Dwildfly.config.url=cli-wildfly-config.xml

1. FIPS 140-2 호환 암호화 키 저장소,키- manager 및 ssl- context 를 추가합니다. 키 저장소를 정의할 때 유형은 BCFKS 여야 합니다.

   /subsystem=elytron/key-store=fipsKS:add(path=KEYSTORE,relative-to=jboss.server.config.dir,credential-reference={clear-text=STORE_PASSWORD},type="BCFKS")
   
   /subsystem=elytron/key-manager=fipsKM:add(key-store=fipsKS,algorithm="PKIX",credential-reference={clear-text=PASSWORD})
   
   /subsystem=elytron/server-ssl-context=fipsSSC:add(key-manager=fipsKM,protocols=["TLSv1.2"],cipher-suite-filter="TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA256, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CCM,TLS_RSA_WITH_AES_128_CCM")

2. 새 ssl-context 를 사용하도록 undertow 하위 시스템을 업데이트합니다.

   참고

   HTTPS-listener 에는 항상 security-realm 또는 ssl- context 가 구성되어 있어야 합니다. 두 구성을 변경하는 경우 아래 표시된 대로 명령을 단일 배치로 실행해야 합니다.

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context,value=fipsSSC)
   run-batch
   
   reload