JBoss EAP에서 SSL/TLS 구성

프로세스

1. 인증서를 저장하도록 키 저장소를 구성합니다.

   예를 들어 CA 서명 인증서가 포함된 키 저장소의 경로를 제공하거나 생성할 키 저장소의 경로를 제공할 수 있습니다.

   /subsystem=elytron/key-store=<keystore_name>:add(path=<path_to_keystore>, credential-reference=<credential_reference>, type=<keystore_type>)

   Copy to Clipboard Toggle word wrap

   예제

   /subsystem=elytron/key-store=exampleKeyStore:add(path=exampleserver.keystore.pkcs12, relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=PKCS12)

   Copy to Clipboard Toggle word wrap

2. 키 저장소에 인증서가 포함되어 있지 않거나 위의 단계를 사용하여 키 저장소를 생성한 경우 인증서를 생성하고 인증서를 파일에 저장해야 합니다.

   1. 키 저장소에 키 쌍을 생성합니다.

      구문

      /subsystem=elytron/key-store=<keystore_name>:generate-key-pair(alias=<keystore_alias>,algorithm=<algorithm>,key-size=<key_size>,validity=<validity_in_days>,credential-reference=<credential_reference>,distinguished-name="<distinguished_name>")

      Copy to Clipboard Toggle word wrap

      예제

      /subsystem=elytron/key-store=exampleKeyStore:generate-key-pair(alias=localhost,algorithm=RSA,key-size=2048,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")

      Copy to Clipboard Toggle word wrap

   2. 인증서를 파일에 저장합니다.

      구문

      /subsystem=elytron/key-store=<keystore_name>:store()

      Copy to Clipboard Toggle word wrap

      예제

      /subsystem=elytron/key-store=exampleKeyStore:store()

      Copy to Clipboard Toggle word wrap

3. 키 저장소를 참조하는 key-manager 를 구성합니다.

   구문

   /subsystem=elytron/key-manager=<key-manager_name>:add(key-store=<key-store_name>,credential-reference=<credential_reference>)

   Copy to Clipboard Toggle word wrap

   예제

   /subsystem=elytron/key-manager=exampleKeyManager:add(key-store=exampleKeyStore,credential-reference={clear-text=secret})

   Copy to Clipboard Toggle word wrap

   중요

   elytron 하위 시스템은 KeyManagerFactory.getDefaultAlgorithm() 을 사용하여 기본적으로 알고리즘을 결정하기 때문에 Red Hat은 알고리즘 속성을 지정하지 않았습니다. 그러나 알고리즘 특성을 지정할 수 있습니다.

   알고리즘 특성을 지정하려면 사용 중인 Java 개발 키트(JDK)에서 제공하는 키 관리자 알고리즘을 알아야 합니다. 예를 들어, JSSE(Java Secure Socket Extension)를 사용하는 JDK는 PKIX 및 SunX509 알고리즘을 제공합니다.

   명령에서 SunX509를 키-manager 알고리즘 속성으로 지정할 수 있습니다.

4. key-manager 를 참조하는 server-ssl-context 를 구성합니다.

   구문

   /subsystem=elytron/server-ssl-context=<server-ssl-context_name>:add(key-manager=<key-manager_name>, protocols=<list_of_protocols>)

   Copy to Clipboard Toggle word wrap

   예제

   /subsystem=elytron/server-ssl-context=examplehttpsSSC:add(key-manager=exampleKeyManager, protocols=["TLSv1.2"])

   Copy to Clipboard Toggle word wrap

   중요

   지원하려는 SSL/TLS 프로토콜을 결정해야 합니다. 예제 명령은 TLSv1.2를 사용합니다.

   • TLSv1.2 및 이전 버전의 경우 cipher-suite-filter 인수를 사용하여 허용되는 암호화 제품군을 지정합니다.
   • TLSv1.3의 경우 cipher-suite-names 인수를 사용하여 허용되는 암호화 제품군을 지정합니다. TLSv1.3은 기본적으로 비활성화되어 있습니다. protocols 속성 또는 지정된 세트에 TLSv1.3이 포함된 프로토콜을 지정하지 않으면 cipher-suite-names 를 구성하면 TLSv1.3을 활성화합니다.

   use-cipher-suites-order 인수를 사용하여 서버 암호화 제품군 순서를 준수합니다. use-cipher-suites-order 속성은 기본적으로 true 로 설정됩니다. 이는 클라이언트 암호화 제품군 순서를 준수하는 레거시 보안 하위 시스템 동작과 다릅니다.

5. 구성된 server-ssl-context 를 사용하도록 관리 인터페이스를 업데이트합니다.

   구문

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=<server-ssl-context_name>)
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

   Copy to Clipboard Toggle word wrap

   예제

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=examplehttpsSSC)
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

   Copy to Clipboard Toggle word wrap

6. 서버를 다시 로드합니다.

   reload

   Copy to Clipboard Toggle word wrap

   SSL/TLS를 활성화하기 위해 자체 서명된 인증서를 사용한 경우 관리 CLI에서 서버에서 제공하는 인증서를 수락하라는 메시지를 표시합니다. 키 저장소를 구성한 인증서입니다.

   출력 예

   Unable to connect due to unrecognised server certificate
   Subject    - CN=localhost
   Issuer     - CN=localhost
   Valid From - Mon Jan 30 23:47:21 IST 2023
   Valid To   - Tue Jan 30 23:47:21 IST 2024
   MD5 : a1:00:84:78:a6:46:a4:78:4d:44:c8:6d:ba:1f:30:6a
   SHA1 : a4:e5:c1:34:ad:e0:91:18:6f:f6:57:09:91:ae:17:8d:70:f0:1a:7d
   
   
   Accept certificate? [N]o, [T]emporarily, [P]ermanently :

   Copy to Clipboard Toggle word wrap

   연결을 진행하려면 T 또는 P 를 입력합니다.

검증

1. 브라우저와 서버 로그의 인증서와 제공되는 인증서 JBoss EAP를 비교합니다.

   서버 로그 예

   17:50:24,086 WARN  [org.wildfly.extension.elytron] (default task-1) WFLYELY01085: Generated self-signed certificate at /home/user1/Downloads/wildflies/wildfly-27.0.1.Final/standalone/configuration/application.keystore. Please note that self-signed certificates are not secure and should only be used for testing purposes. Do not use this self-signed certificate in production.
   SHA-1 fingerprint of the generated key is 11:2f:e7:8c:18:b7:2c:c1:b0:5a:ad:ea:83:e0:32:59:ba:73:91:e2
   SHA-256 fingerprint of the generated key is b2:a4:ed:b0:5c:c2:a1:4c:ca:39:03:e8:3a:11:e4:c5:c4:81:9d:46:97:7c:e6:6f:0c:45:f6:5d:64:3f:0d:64

   Copy to Clipboard Toggle word wrap

   브라우저에 제공된 인증서 예

   SHA-256 Fingerprint	B2 A4 ED B0 5C C2 A1 4C CA 39 03 E8 3A 11 E4 C5
   C4 81 9D 46 97 7C E6 6F 0C 45 F6 5D 64 3F 0D 64
   SHA-1 Fingerprint	11 2F E7 8C 18 B7 2C C1 B0 5A AD EA 83 E0 32 59
   BA 73 91 E2

   Copy to Clipboard Toggle word wrap

2. 예와 같이 지문이 일치하는 경우 페이지로 이동할 수 있습니다.

검증

1. https://localhost:8443 로 이동합니다.

   자체 서명된 인증서를 사용한 경우 브라우저에서 서버에서 제공하는 인증서를 알 수 없다는 경고가 표시됩니다.

2. 인증서를 검사하고 브라우저에 표시된 지문이 키 저장소의 인증서 지문과 일치하는지 확인합니다. 다음 명령을 사용하여 생성한 인증서를 볼 수 있습니다.

   구문

   /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

   Copy to Clipboard Toggle word wrap

   예제

   /subsystem=elytron/key-store=key-store-4cba6678-c464-4dcc-90ff-9295312ac395:read-alias(alias="localhost")

   Copy to Clipboard Toggle word wrap

   예를 들어 "key-store는 key-store-4cba6678-c464-4dcc-90ff-9295312ac395"와 같이 마법사 출력에서 키 저장소 이름을 가져올 수 있습니다.

   출력 예

   ...
   "sha-1-digest" => "48:e3:6f:16:d1:af:4b:31:8f:9b:0b:7f:33:94:58:af:69:85:c
   0:ea",
   "sha-256-digest" => "8f:3e:6b:b5:56:e0:d1:97:81:bc:f1:8d:c8:66:75:06:db:7d
   :4d:b6:b1:d3:34:dd:f5:6c:85:ca:c7:2b:5b:c7",
   ...

   Copy to Clipboard Toggle word wrap

프로세스

1. 인증서를 저장하도록 키 저장소를 구성합니다.

   예를 들어 CA 서명 인증서가 포함된 키 저장소의 경로를 제공하거나 생성할 키 저장소의 경로를 제공할 수 있습니다.

   /subsystem=elytron/key-store=<keystore_name>:add(path=<path_to_keystore>, credential-reference=<credential_reference>, type=<keystore_type>)

   Copy to Clipboard Toggle word wrap

   예제

   /subsystem=elytron/key-store=exampleKeyStore:add(path=exampleserver.keystore.pkcs12, relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=PKCS12)

   Copy to Clipboard Toggle word wrap

2. 키 저장소에 인증서가 포함되어 있지 않거나 위의 단계를 사용하여 키 저장소를 생성한 경우 인증서를 생성하고 인증서를 파일에 저장해야 합니다.

   1. 키 저장소에 키 쌍을 생성합니다.

      구문

      /subsystem=elytron/key-store=<keystore_name>:generate-key-pair(alias=<keystore_alias>,algorithm=<algorithm>,key-size=<key_size>,validity=<validity_in_days>,credential-reference=<credential_reference>,distinguished-name="<distinguished_name>")

      Copy to Clipboard Toggle word wrap

      예제

      /subsystem=elytron/key-store=exampleKeyStore:generate-key-pair(alias=localhost,algorithm=RSA,key-size=2048,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")

      Copy to Clipboard Toggle word wrap

   2. 인증서를 파일에 저장합니다.

      구문

      /subsystem=elytron/key-store=<keystore_name>:store()

      Copy to Clipboard Toggle word wrap

      예제

      /subsystem=elytron/key-store=exampleKeyStore:store()

      Copy to Clipboard Toggle word wrap

3. 키 저장소를 참조하는 key-manager 를 구성합니다.

   구문

   /subsystem=elytron/key-manager=<key-manager_name>:add(key-store=<key-store_name>,credential-reference=<credential_reference>)

   Copy to Clipboard Toggle word wrap

   예제

   /subsystem=elytron/key-manager=exampleKeyManager:add(key-store=exampleKeyStore,credential-reference={clear-text=secret})

   Copy to Clipboard Toggle word wrap

   중요

   elytron 하위 시스템은 KeyManagerFactory.getDefaultAlgorithm() 을 사용하여 기본적으로 알고리즘을 결정하기 때문에 Red Hat은 알고리즘 속성을 지정하지 않았습니다. 그러나 알고리즘 특성을 지정할 수 있습니다.

   알고리즘 특성을 지정하려면 사용 중인 Java 개발 키트(JDK)에서 제공하는 키 관리자 알고리즘을 알아야 합니다. 예를 들어, JSSE(Java Secure Socket Extension)를 사용하는 JDK는 PKIX 및 SunX509 알고리즘을 제공합니다.

   명령에서 SunX509를 키-manager 알고리즘 속성으로 지정할 수 있습니다.

4. key-manager 를 참조하는 server-ssl-context 를 구성합니다.

   구문

   /subsystem=elytron/server-ssl-context=<server-ssl-context_name>:add(key-manager=<key-manager_name>, protocols=<list_of_protocols>)

   Copy to Clipboard Toggle word wrap

   예제

   /subsystem=elytron/server-ssl-context=examplehttpsSSC:add(key-manager=exampleKeyManager, protocols=["TLSv1.2"])

   Copy to Clipboard Toggle word wrap

   중요

   지원하려는 SSL/TLS 프로토콜을 결정해야 합니다. 예제 명령은 TLSv1.2를 사용합니다.

   • TLSv1.2 및 이전 버전의 경우 cipher-suite-filter 인수를 사용하여 허용되는 암호화 제품군을 지정합니다.
   • TLSv1.3의 경우 cipher-suite-names 인수를 사용하여 허용되는 암호화 제품군을 지정합니다. TLSv1.3은 기본적으로 비활성화되어 있습니다. protocols 속성 또는 지정된 세트에 TLSv1.3이 포함된 프로토콜을 지정하지 않으면 cipher-suite-names 를 구성하면 TLSv1.3을 활성화합니다.

   use-cipher-suites-order 인수를 사용하여 서버 암호화 제품군 순서를 준수합니다. use-cipher-suites-order 속성은 기본적으로 true 로 설정됩니다. 이는 클라이언트 암호화 제품군 순서를 준수하는 레거시 보안 하위 시스템 동작과 다릅니다.

5. 구성된 server-ssl-context 를 사용하도록 Cryostat를 업데이트합니다.

   구문

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=<server-ssl-context_name>)

   Copy to Clipboard Toggle word wrap

   예제

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=examplehttpsSSC)

   Copy to Clipboard Toggle word wrap

6. 서버를 다시 로드합니다.

   reload

   Copy to Clipboard Toggle word wrap

검증

1. https://localhost:8443 로 이동합니다.

   자체 서명된 인증서를 사용한 경우 브라우저에서 서버에서 제공하는 인증서를 알 수 없다는 경고가 표시됩니다.

2. 인증서를 검사하고 브라우저에 표시된 지문이 키 저장소의 인증서 지문과 일치하는지 확인합니다. 다음 명령을 사용하여 생성한 인증서를 볼 수 있습니다.

   구문

   /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

   Copy to Clipboard Toggle word wrap

   예제

   /subsystem=elytron/key-store=exampleKeyStore:read-alias(alias=localhost)

   Copy to Clipboard Toggle word wrap

   출력 예

   ...
   "sha-1-digest" => "cc:f1:82:59:c7:0d:f6:91:bc:3e:69:0a:38:fb:48:be:ec:7f:d
   4:bd",
   "sha-256-digest" => "c0:f3:f9:8b:3c:f1:72:17:64:54:35:a6:bb:82:7e:51:b0:78
   :30:cb:68:ef:04:0e:f5:2b:9d:62:ca:a7:f6:35",
   ...

   Copy to Clipboard Toggle word wrap

프로세스

1. mvn 명령을 사용하여 Maven 프로젝트를 설정합니다. 명령은 프로젝트에 대한 디렉터리 구조와 pom.xml 구성 파일을 생성합니다.

   $ mvn archetype:generate \
   -DgroupId=com.example.client \
   -DartifactId=client-ssl-context \
   -DarchetypeGroupId=org.apache.maven.archetypes \
   -DarchetypeArtifactId=maven-archetype-quickstart \
   -DinteractiveMode=false

   Copy to Clipboard Toggle word wrap

2. 애플리케이션 루트 디렉터리로 이동합니다.

   $ cd client-ssl-context

   Copy to Clipboard Toggle word wrap

3. 생성된 pom.xml 파일의 내용을 다음 텍스트로 바꿉니다.

   <?xml version="1.0" encoding="UTF-8"?>
   
   <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
     xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
     <modelVersion>4.0.0</modelVersion>
   
     <groupId>com.example.client</groupId>
     <artifactId>client-ssl-context</artifactId>
     <version>1.0-SNAPSHOT</version>
   
     <name>client-ssl-context</name>
   
     <properties>
       <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
       <maven.compiler.source>11</maven.compiler.source>
       <maven.compiler.target>11</maven.compiler.target>
     </properties>
   
     <repositories>
       <repository>
         <id>jboss-public-maven-repository</id>
         <name>JBoss Public Maven Repository</name>
         <url>https://repository.jboss.org/nexus/content/groups/public/</url>
         <releases>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </releases>
         <snapshots>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </snapshots>
         <layout>default</layout>
       </repository>
       <repository>
         <id>redhat-ga-maven-repository</id>
         <name>Red Hat GA Maven Repository</name>
         <url>https://maven.repository.redhat.com/ga/</url>
         <releases>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </releases>
         <snapshots>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </snapshots>
         <layout>default</layout>
       </repository>
     </repositories>
   
     <dependencies>
       <dependency>                                         

   1

   
         <groupId>org.wildfly.security</groupId>
         <artifactId>wildfly-elytron-client</artifactId>
         <version>2.0.0.Final-redhat-00001</version>
       </dependency>
       <dependency>                                         

   2

   
         <groupId>org.wildfly.client</groupId>
         <artifactId>wildfly-client-config</artifactId>
         <version>1.0.1.Final-redhat-00001</version>
       </dependency>
     </dependencies>
   
     <build>
       <plugins>
         <plugin>
           <groupId>org.codehaus.mojo</groupId>
           <artifactId>exec-maven-plugin</artifactId>
           <version>1.4.0</version>
           <configuration>
             <mainClass>com.example.client.App</mainClass>
           </configuration>
         </plugin>
       </plugins>
     </build>
   </project>

   Copy to Clipboard Toggle word wrap

   1

   wildfly-elytron-client 에 대한 종속성입니다.

   2

   wildfly-client-config 에 대한 종속성입니다.

4. src/test 디렉토리를 삭제합니다.

   $ rm -rf src/test/

   Copy to Clipboard Toggle word wrap

프로세스

1. Java 파일을 저장할 디렉터리를 만듭니다.

   $ mkdir -p <application_home>/src/main/java/com/example/client

   Copy to Clipboard Toggle word wrap

2. 새 디렉터리로 이동합니다.

   $ cd <application_home>/src/main/java/com/example/client

   Copy to Clipboard Toggle word wrap

3. 다음 콘텐츠를 사용하여 Java 파일 App.java 를 생성합니다.

   package com.example.client;
   
   import java.io.IOException;
   import java.net.URI;
   import java.net.http.HttpClient;
   import java.net.http.HttpRequest;
   import java.net.http.HttpResponse;
   import java.net.http.HttpResponse.BodyHandlers;
   import java.security.NoSuchAlgorithmException;
   import java.security.Security;
   import java.util.Properties;
   import javax.net.ssl.SSLContext;
   import org.wildfly.security.auth.client.WildFlyElytronClientDefaultSSLContextProvider;
   
   public class App  {
   
     public static void main( String[] args )  {
     String url = "https://localhost:8443/";                                                                                   

   1

   
     try {
       Security.insertProviderAt(new WildFlyElytronClientDefaultSSLContextProvider("src/wildfly-config-two-way-tls.xml"), 1);  

   2

   
       HttpClient httpClient = HttpClient.newBuilder().sslContext(SSLContext.getDefault()).build();
       HttpRequest request = HttpRequest.newBuilder()
                   .uri(URI.create(url))
                   .GET()
                   .build();
       HttpResponse<Void> httpRresponse = httpClient.send(request, BodyHandlers.discarding());
       String sslContext = SSLContext.getDefault().getProvider().getName();                                                    

   3

   
       System.out.println ("\nSSL Default SSLContext is: " + sslContext);
   
     } catch (NoSuchAlgorithmException | IOException | InterruptedException e) {
         e.printStackTrace();
       }
   
     System.exit(0);
     }
   }

   Copy to Clipboard Toggle word wrap

   1

   JBoss EAP 홈 페이지 URL을 정의합니다.

   2

   보안 공급자를 등록합니다. 1 이 공급자의 우선 순위를 정의합니다. 공급자를 정적으로 등록하려면 java.security 파일의 공급자를 security.provider. 1=org.wildfly.security.auth.client.wildFlytronClientDefaultSSLContextProvider < PATH> / <TO> / <TO> /wildfly-two-way-tls.xml로 추가할 수 있습니다.

   3

   기본 SSL 컨텍스트를 가져옵니다.

4. < application_home> /src 디렉터리에 "wildfly-config-two-way-tls.xml"이라는 클라이언트 구성 파일을 만듭니다.

   <?xml version="1.0" encoding="UTF-8"?>
   
   <configuration>
       <authentication-client xmlns="urn:elytron:client:1.7">
           <key-stores>
               <key-store name="truststore" type="PKCS12">
                   <file name="${path_to_client_truststore}/client.truststore.p12"/>
                   <key-store-clear-password password="secret"/>
               </key-store>
               <key-store name="keystore" type="PKCS12">
                   <file name="${path_to_client_keystore}/exampleclient.keystore.pkcs12"/>
                   <key-store-clear-password password="secret"/>
               </key-store>
           </key-stores>
           <ssl-contexts>
               <ssl-context name="client-context">
                   <trust-store key-store-name="truststore"/>
                   <key-store-ssl-certificate key-store-name="keystore" alias="exampleclientkeystore">
                       <key-store-clear-password password="secret"/>
                   </key-store-ssl-certificate>
               </ssl-context>
           </ssl-contexts>
           <ssl-context-rules>
               <rule use-ssl-context="client-context"/>
           </ssl-context-rules>
       </authentication-client>
   </configuration>

   Copy to Clipboard Toggle word wrap

   다음 위치 소유자 값을 실제 경로로 바꿉니다.

   • ${path_to_client_truststore}
   • ${path_to_client_keystore}

검증

1. < application_home> 디렉터리 로 이동합니다.

2. 애플리케이션을 실행합니다.

   $ mvn compile exec:java

   Copy to Clipboard Toggle word wrap

   출력 예

   INFO: ELY00001: WildFly Elytron version 2.0.0.Final-redhat-00001
   
   SSL Default SSLContext is: WildFlyElytronClientDefaultSSLContextProvider

   Copy to Clipboard Toggle word wrap