3.2. Kerberos로 관리 인터페이스 보안

애플리케이션에 대한 Kerberos 인증을 구성하는 것과 동일한 지침에 따라 Kerberos 인증을 수행하는 http-authentication-factory 를 생성합니다.

http-authentication-factory 를 사용하도록 관리 HTTP 인터페이스를 업데이트합니다.

/core-service=management/management-interface=http-interface:write-attribute(name=http-authentication-factory, value=example-krb-http-auth)

구성 가능-sasl-server-factory 에 GSSAPI 를 추가합니다.

/subsystem=elytron/configurable-sasl-server-factory=configured:list-add(name=filters, value={pattern-filter=GSSAPI})

보안 도메인 및 kerberos -security-factory를 사용하는 asasl-authentication -factory 를 생성합니다.

/subsystem=elytron/sasl-authentication-factory=example-sasl-auth:add(sasl-server-factory=configured, security-domain=exampleFsSD, mechanism-configurations=[{mechanism-name=GSSAPI, mechanism-realm-configurations=[{realm-name=exampleFsSD}], credential-security-factory=krbSF}])

the sasl-authentication-factory 를 사용하도록 관리 SASL 인터페이스를 업데이트합니다.

/core-service=management/management-interface=http-interface:write-attribute(name=http-upgrade.sasl-authentication-factory, value=example-sasl-auth)

reload

관련 시스템 속성을 활성화합니다.

이전 섹션에서 설명한 대로 Kerberos 서버 연결을 위해 필요한 모든 JBoss EAP 시스템 속성을 활성화합니다.

Kerberos 서버 ID를 보안 영역에 추가합니다.

보안 영역에서 Kerberos 인증을 사용하려면 Kerberos 서버에 대한 연결을 추가해야 합니다. 다음 예제에서는 Kerberos 서버 ID를 기존 Management Realm에 추가하는 방법을 보여줍니다. service-name,hostname, MY-REALM 을 적절한 값으로 교체해야 합니다.

/core-service=management/security-realm=ManagementRealm/server-identity=kerberos:add()

/core-service=management/security-realm=ManagementRealm/server-identity=kerberos/keytab=service-name\/hostname@MY-REALM:add(path=/home\/username\/service.keytab, debug=true)

reload

보안 영역에서 인증 방법을 업데이트합니다.

Kerberos 서버 ID를 올바르게 구성한 후 이를 사용하려면 보안 영역의 인증 방법을 업데이트해야 합니다.

/core-service=management/security-realm=ManagementRealm/authentication=kerberos:add()

reload

Kerberos를 사용하여 두 인터페이스의 보안을 모두 유지합니다.

Kerberos를 사용하여 웹 기반 관리 콘솔과 관리 CLI를 모두 보호하려면 각각에 대해 구성된 Kerberos 서버 ID가 필요합니다. 추가 ID를 추가하려면 다음 명령을 사용합니다.

/core-service=management/security-realm=ManagementRealm/server-identity=kerberos/keytab=remote\/hostname@MY-REALM:add(path=/home\/username\/remote.keytab, debug=true)

reload