1장. 관리 인터페이스 및 애플리케이션에 대한 단방향 SSL/TLS 활성화

• key-store
• key-manager
• server-ssl-context
• 그런 다음 server-ssl-context 가 http-interface 에 적용됩니다.

사전 요구 사항

• JBoss EAP가 실행 중입니다.

프로세스

• 관리 CLI에 다음 명령을 입력하여 관리 인터페이스에 대한 단방향 SSL/TLS를 구성하려면 마법사를 시작합니다.

  구문

  security enable-ssl-management --interactive

  Copy to Clipboard Toggle word wrap

  메시지가 표시되면 필요한 정보를 입력합니다.

  Let's Encrypt 인증 기관에서 인증서를 가져오고 사용하려면 --lets-encrypt 옵션을 사용합니다.

  관리 인터페이스에 SSL/TLS가 이미 활성화되어 있는 경우 마법사는 다음 메시지와 함께 종료됩니다.

  SSL is already enabled for http-interface

  Copy to Clipboard Toggle word wrap

  기존 구성을 변경하려면 먼저 관리 인터페이스에 대해 SSL/TLS를 비활성화한 다음 새 구성을 생성합니다. 관리 인터페이스에 대해 SSL/TLS를 비활성화하는 방법에 대한 자세한 내용은 마법사를 사용하여 관리 인터페이스에 대해 SSL/TLS 비활성화를 참조하십시오.

  참고

  단방향 SSL/TLS를 활성화하려면 SSL 상호 인증을 활성화하라는 메시지가 표시되면 n 또는 blank를 입력합니다. 상호 인증을 설정하면 양방향 SSL/TLS가 활성화됩니다.

  마법사를 대화형으로 사용하는 예

  security enable-ssl-management --interactive

  Copy to Clipboard Toggle word wrap

  마법사 프롬프트에 대한 입력 예

  Please provide required pieces of information to enable SSL:
  
  Certificate info:
  Key-store file name (default management.keystore): exampleKeystore.pkcs12
  Password (blank generated): secret
  What is your first and last name? [Unknown]: localhost
  What is the name of your organizational unit? [Unknown]:
  What is the name of your organization? [Unknown]:
  What is the name of your City or Locality? [Unknown]:
  What is the name of your State or Province? [Unknown]:
  What is the two-letter country code for this unit? [Unknown]:
  Is CN=localhost, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown correct y/n [y]?y
  Validity (in days, blank default): 365
  Alias (blank generated): localhost
  Enable SSL Mutual Authentication y/n (blank n):n //For one way SSL/TLS enter blank or n here
  
  SSL options:
  keystore file: exampleKeystore.pkcs12
  distinguished name: CN=localhost, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown,
  C=Unknown
  password: secret
  validity: 365
  alias: localhost
  Server keystore file exampleKeystore.pkcs12, certificate file exampleKeystore.pem and exampleKeystore.csr file will be generated in server configuration directory.
  
  Do you confirm y/n :y

  Copy to Clipboard Toggle word wrap

  y 를 입력하면 서버가 다시 로드됩니다. 자체 서명된 인증서를 구성한 경우 마법사를 사용하여 자체 서명된 인증서를 생성하거나 Java 가상 머신(JVM)에서 신뢰하지 않는 인증서를 구성한 경우 관리 CLI에서 서버에서 제공하는 인증서를 수락하라는 메시지를 표시합니다.

  Unable to connect due to unrecognised server certificate
  Subject    - CN=localhost,OU=Unknown,O=Unknown,L=Unknown,ST=Unknown,C=Unknown
  Issuer     - CN=localhost, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown
  Valid From - Mon Jan 30 23:32:20 IST 2023
  Valid To   - Tue Jan 30 23:32:20 IST 2024
  MD5 : b6:e7:f0:57:59:9e:bf:b8:20:99:10:fc:e2:0b:0f:d0
  SHA1 : 9c:f0:92:de:c1:11:df:71:0b:d7:16:02:c8:7e:c9:83:ab:e3:0c:2e
  
  
  Accept certificate? [N]o, [T]emporarily, [P]ermanently :

  Copy to Clipboard Toggle word wrap

  연결을 진행하려면 T 또는 P 를 입력합니다.

  다음 출력이 표시됩니다.

  Server reloaded.
  SSL enabled for http-interface
  ssl-context is ssl-context-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1
  key-manager is key-manager-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1
  key-store   is key-store-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1

  Copy to Clipboard Toggle word wrap

검증

• 관리 CLI 클라이언트와 연결하여 SSL/TLS를 확인합니다.

  구성 파일에 Elytron 클라이언트 SSL 컨텍스트를 배치한 다음 관리 CLI를 사용하여 서버에 연결하고 구성 파일을 참조하여 SSL/TLS를 테스트할 수 있습니다.

  1. 키 저장소 파일이 포함된 디렉터리로 이동합니다. 이 예에서 키 저장소 파일 exampleKeystore.pkcs12 가 서버의 독립 실행형/구성 디렉터리에 생성되었습니다.

     예제

     $ cd JBOSS_HOME/standalone/configuration

     Copy to Clipboard Toggle word wrap

  2. 서버 인증서를 사용하여 클라이언트 신뢰 저장소를 생성합니다.

     구문

     $ keytool -importcert -keystore <trust_store_name> -storepass <password> -alias <alias> -trustcacerts -file <file_containing_server_certificate>

     Copy to Clipboard Toggle word wrap

     예제

     $ keytool -importcert -keystore client.truststore.pkcs12 -storepass secret -alias localhost -trustcacerts -file exampleKeystore.pem

     Copy to Clipboard Toggle word wrap

     자체 서명된 인증서를 사용한 경우 인증서를 신뢰하라는 메시지가 표시됩니다.

  3. 파일에 클라이언트 측 SSL 컨텍스트를 정의합니다(예: example-security.xml ).

     구문

     <?xml version="1.0" encoding="UTF-8"?>
     
     <configuration>
         <authentication-client xmlns="urn:elytron:client:1.2">
             <key-stores>
                 <key-store name="${key-store_name}" type="PKCS12" >
                     <file name="${path_to_truststore}"/>
                     <key-store-clear-password password="${keystore_password}" />
                 </key-store>
             </key-stores>
             <ssl-contexts>
                 <ssl-context name="${ssl_context_name}">
                     <trust-store key-store-name="${trust_store_name}" />
                 </ssl-context>
             </ssl-contexts>
             <ssl-context-rules>
                 <rule use-ssl-context="${ssl_context_name}" />
             </ssl-context-rules>
         </authentication-client>
     </configuration>

     Copy to Clipboard Toggle word wrap

     예제

     <?xml version="1.0" encoding="UTF-8"?>
     
     <configuration>
         <authentication-client xmlns="urn:elytron:client:1.2">
             <key-stores>
                 <key-store name="clientStore" type="PKCS12" >
                     <file name="JBOSS_HOME/standalone/configuration/client.truststore.pkcs12"/>
                     <key-store-clear-password password="secret" />
                 </key-store>
             </key-stores>
             <ssl-contexts>
                 <ssl-context name="client-SSL-context">
                     <trust-store key-store-name="clientStore" />
                 </ssl-context>
             </ssl-contexts>
             <ssl-context-rules>
                 <rule use-ssl-context="client-SSL-context" />
             </ssl-context-rules>
         </authentication-client>
     </configuration>

     Copy to Clipboard Toggle word wrap

  4. 서버에 연결하고 명령을 실행합니다.

     예제

     $ EAP_HOME/bin/jboss-cli.sh -c --controller=remote+https://127.0.0.1:9993 -Dwildfly.config.url=<path_to_the_configuration_file>/example-security.xml :whoami

     Copy to Clipboard Toggle word wrap

     예상 출력

     {
         "outcome" => "success",
         "result" => {"identity" => {"username" => "$local"}}
     }

     Copy to Clipboard Toggle word wrap

• 브라우저를 사용하여 SSL/TLS를 확인합니다.

  1. https://localhost:9993 로 이동합니다.

     자체 서명된 인증서를 사용한 경우 브라우저에서 서버에서 제공하는 인증서를 알 수 없다는 경고가 표시됩니다.

  2. 인증서를 검사하고 브라우저에 표시된 지문이 키 저장소의 인증서 지문과 일치하는지 확인합니다. 다음 명령을 사용하여 생성한 인증서를 볼 수 있습니다.

     구문

     /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

     Copy to Clipboard Toggle word wrap

     예제

     /subsystem=elytron/key-store=key-store-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1:read-alias(alias="localhost")

     Copy to Clipboard Toggle word wrap

     마법사 출력에서 키 저장소 이름을 가져올 수 있습니다. 예를 들어 "key-store는 key-store-a18ba30e-6a26-4ed6-87c5-feb7f3e4dff1"입니다.

     출력 예

     ...
     "sha-1-digest" => "48:e3:6f:16:d1:af:4b:31:8f:9b:0b:7f:33:94:58:af:69:85:c
     0:ea",
     "sha-256-digest" => "8f:3e:6b:b5:56:e0:d1:97:81:bc:f1:8d:c8:66:75:06:db:7d
     :4d:b6:b1:d3:34:dd:f5:6c:85:ca:c7:2b:5b:c7",
     ...

     Copy to Clipboard Toggle word wrap

     서버 인증서를 수락하면 로그인 인증 정보를 입력하라는 메시지가 표시됩니다. 기존 JBoss EAP 사용자의 사용자 자격 증명을 사용하여 로그인할 수 있습니다.

사전 요구 사항

• JBoss EAP가 실행 중입니다.

검증

• 클라이언트를 통해 연결하여 SSL/TLS를 확인합니다.

  구성 파일에 Elytron 클라이언트 SSL 컨텍스트를 배치한 다음 구성 파일을 참조하는 관리 CLI를 사용하여 서버에 연결하여 SSL/TLS를 테스트할 수 있습니다.

  1. 키 저장소 파일이 포함된 디렉터리로 이동합니다. 이 예제에서 키 저장소 파일 exampleserver.keystore.pkcs12 가 서버의 독립 실행형/구성 디렉터리에 생성되었습니다.

     예제

     $ cd JBOSS_HOME/standalone/configuration

     Copy to Clipboard Toggle word wrap

  2. 클라이언트 신뢰 저장소로 가져올 수 있도록 서버 인증서를 내보냅니다.

     $ keytool -export -alias <alias> -keystore <key_store> -storepass <keystore_password>-file <file_name>

     Copy to Clipboard Toggle word wrap

     예제

     $ keytool -export -alias localhost -keystore exampleserver.keystore.pkcs12 -file -storepass secret server.cer

     Copy to Clipboard Toggle word wrap

  3. 서버 인증서를 사용하여 클라이언트 신뢰 저장소를 생성합니다.

     구문

     $ keytool -importcert -keystore <trust_store_name> -storepass <password> -alias <alias> -trustcacerts -file <file_containing_server_certificate>

     Copy to Clipboard Toggle word wrap

     예제

     $ keytool -importcert -keystore client.truststore.pkcs12 -storepass secret -alias localhost -trustcacerts -file server.cer

     Copy to Clipboard Toggle word wrap

     자체 서명된 인증서를 사용한 경우 인증서를 신뢰하라는 메시지가 표시됩니다.

  4. 파일에 클라이언트 측 SSL 컨텍스트를 정의합니다(예: example-security.xml ).

     구문

     <?xml version="1.0" encoding="UTF-8"?>
     
     <configuration>
         <authentication-client xmlns="urn:elytron:client:1.2">
             <key-stores>
                 <key-store name="${key-store_name}" type="PKCS12" >
                     <file name="${path_to_truststore}"/>
                     <key-store-clear-password password="${keystore_password}" />
                 </key-store>
             </key-stores>
             <ssl-contexts>
                 <ssl-context name="${ssl_context_name}">
                     <trust-store key-store-name="${trust_store_name}" />
                 </ssl-context>
             </ssl-contexts>
             <ssl-context-rules>
                 <rule use-ssl-context="${ssl_context_name}" />
             </ssl-context-rules>
         </authentication-client>
     </configuration>

     Copy to Clipboard Toggle word wrap

     예제

     <?xml version="1.0" encoding="UTF-8"?>
     
     <configuration>
         <authentication-client xmlns="urn:elytron:client:1.2">
             <key-stores>
                 <key-store name="clientStore" type="PKCS12" >
                     <file name="JBOSS_HOME/standalone/configuration/client.truststore.pkcs12"/>
                     <key-store-clear-password password="secret" />
                 </key-store>
             </key-stores>
             <ssl-contexts>
                 <ssl-context name="client-SSL-context">
                     <trust-store key-store-name="clientStore" />
                 </ssl-context>
             </ssl-contexts>
             <ssl-context-rules>
                 <rule use-ssl-context="client-SSL-context" />
             </ssl-context-rules>
         </authentication-client>
     </configuration>

     Copy to Clipboard Toggle word wrap

  5. 서버에 연결하고 명령을 실행합니다.

     예제

     $ EAP_HOME/bin/jboss-cli.sh -c --controller=remote+https://127.0.0.1:9993 -Dwildfly.config.url=example-security.xml :whoami

     Copy to Clipboard Toggle word wrap

     예상 출력

     {
         "outcome" => "success",
         "result" => {"identity" => {"username" => "$local"}}
     }

     Copy to Clipboard Toggle word wrap

• 브라우저를 사용하여 SSL/TLS를 확인합니다.

  1. https://localhost:9993 로 이동합니다.

     자체 서명된 인증서를 사용한 경우 브라우저에서 서버에서 제공하는 인증서를 알 수 없다는 경고가 표시됩니다.

  2. 인증서를 검사하고 브라우저에 표시된 지문이 키 저장소의 인증서 지문과 일치하는지 확인합니다. 다음 명령을 사용하여 생성한 인증서를 볼 수 있습니다.

     구문

     /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

     Copy to Clipboard Toggle word wrap

     예제

     /subsystem=elytron/key-store=exampleKeyStore:read-alias(alias="localhost")

     Copy to Clipboard Toggle word wrap

     출력 예

     ...
     "sha-1-digest" => "48:e3:6f:16:d1:af:4b:31:8f:9b:0b:7f:33:94:58:af:69:85:c
     0:ea",
     "sha-256-digest" => "8f:3e:6b:b5:56:e0:d1:97:81:bc:f1:8d:c8:66:75:06:db:7d
     :4d:b6:b1:d3:34:dd:f5:6c:85:ca:c7:2b:5b:c7",
     ...

     Copy to Clipboard Toggle word wrap

     서버 인증서를 수락하면 로그인 인증 정보를 입력하라는 메시지가 표시됩니다. 기존 JBoss EAP 사용자의 사용자 자격 증명을 사용하여 로그인할 수 있습니다.

사전 요구 사항

• JBoss EAP가 실행 중입니다.

프로세스

• 관리 CLI에서 disable-ssl-management 명령을 사용합니다.

  security disable-ssl-management

  Copy to Clipboard Toggle word wrap

  서버는 다음 출력으로 다시 로드됩니다.

  ...
  Server reloaded.
  Reconnected to server.
  SSL disabled for http-interface

  Copy to Clipboard Toggle word wrap

• 마법사 를 사용하여 관리 인터페이스에 대한 단방향 SSL/TLS 활성화: CLI 기반 마법사 를 사용하여 SSL/TLS를 빠르게 설정하려면 이 절차를 사용하십시오. Elytron은 마법사 입력을 기반으로 필요한 리소스를 만듭니다.
• 하위 시스템 명령을 사용하여 관리 인터페이스에 대해 단방향 SSL/TLS를 활성화합니다. 이 절차를 사용하여 수동으로 SSL/TLS를 활성화하는 데 필요한 리소스를 구성합니다. 리소스를 수동으로 구성하면 서버 구성을 보다 쉽게 제어할 수 있습니다.