8.4. Red Hat Single Sign-On 서버에 HTTPS/SSL 활성화

절차

1. 인증서 요청을 생성합니다.

   $ keytool -certreq -alias yourdomain -keystore keycloak.jks > keycloak.careq

   Copy to Clipboard

   여기서 yourdomain 은 이 인증서가 생성되는 DNS 이름입니다. keytool은 요청을 생성합니다.

   -----BEGIN NEW CERTIFICATE REQUEST-----
   MIIC2jCCAcICAQAwZTELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAk1BMREwDwYDVQQHEwhXZXN0Zm9y
   ZDEQMA4GA1UEChMHUmVkIEhhdDEQMA4GA1UECxMHUmVkIEhhdDESMBAGA1UEAxMJbG9jYWxob3N0
   MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr7kck2TaavlEOGbcpi9c0rncY4HhdzmY
   Ax2nZfq1eZEaIPqI5aTxwQZzzLDK9qbeAd8Ji79HzSqnRDxNYaZu7mAYhFKHgixsolE3o5Yfzbw1
   29RvyeUVe+WZxv5oo9wolVVpdSINIMEL2LaFhtX/c1dqiqYVpfnvFshZQaIg2nL8juzZcBjj4as
   H98gIS7khql/dkZKsw9NLvyxgJvp7PaXurX29fNf3ihG+oFrL22oFyV54BWWxXCKU/GPn61EGZGw
   Ft2qSIGLdctpMD1aJR2bcnlhEjZKDksjQZoQ5YMXaAGkcYkG6QkgrocDE2YXDbi7GIdf9MegVJ35
   2DQMpwIDAQABoDAwLgYJKoZIhvcNAQkOMSEwHzAdBgNVHQ4EFgQUQwlZJBA+fjiDdiVzaO9vrE/i
   n2swDQYJKoZIhvcNAQELBQADggEBAC5FRvMkhal3q86tHPBYWBuTtmcSjs4qUm6V6f63frhveWHf
   PzRrI1xH272XUIeBk0gtzWo0nNZnf0mMCtUBbHhhDcG82xolikfqibZijoQZCiGiedVjHJFtniDQ
   9bMDUOXEMQ7gHZg5q6mJfNG9MbMpQaUVEEFvfGEQQxbiFK7hRWU8S23/d80e8nExgQxdJWJ6vd0X
   MzzFK6j4Dj55bJVuM7GFmfdNC52pNOD5vYe47Aqh8oajHX9XTycVtPXl45rrWAH33ftbrS8SrZ2S
   vqIFQeuLL3BaHwpl3t7j2lMWcK1p80laAxEASib/fAwrRHpLHBXRcq6uALUOZl4Alt8=
   -----END NEW CERTIFICATE REQUEST-----

   Copy to Clipboard

2. 이 CA 요청을 CA(인증 기관)로 보냅니다.

   CA는 서명된 인증서를 발행하여 사용자에게 보냅니다.

3. CA의 루트 인증서를 가져와 가져옵니다.

   CA(즉, root.crt)에서 인증서를 다운로드하고 다음과 같이 가져올 수 있습니다.

   $ keytool -import -keystore keycloak.jks -file root.crt -alias root

   Copy to Clipboard

4. 새 CA 생성 인증서를 키 저장소로 가져옵니다.

   $ keytool -import -alias yourdomain -keystore keycloak.jks -file your-certificate.cer

   Copy to Clipboard

절차

1. 키 저장소를 사용하고 HTTPS를 활성화하도록 standalone.xml,standalone-ha.xml 또는 host.xml 파일을 편집합니다.

2. 키 저장소 파일을 배포의 구성 디렉터리 또는 선택한 위치에 있는 파일로 이동하여 절대 경로를 제공합니다.

   절대 경로를 사용하는 경우 구성에서 선택적 relative-to 매개 변수를 제거합니다( 운영 모드참조).

3. JBoss EAP의 bin 디렉토리에 sso_legacy.cli 라는 배치 파일을 만듭니다.

4. 배치 파일에 다음 내용을 추가합니다.

   # Start batching commands
   
   batch
   
   /core-service=management/security-realm=UndertowRealm:add()
   /core-service=management/security-realm=UndertowRealm/server-identity=ssl:add(keystore-path=keycloak.jks, keystore-relative-to=jboss.server.config.dir, keystore-password=secret)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=security-realm, value=UndertowRealm)
   
   # Run the batch commands
   
   run-batch

   Copy to Clipboard
5. Red Hat Single Sign-On 서버를 시작합니다.
6. JBoss EAP의 bin 디렉토리로 변경합니다.

7. 다음 스크립트를 실행합니다.

   $ sh jboss-cli.sh --connect --file=sso_legacy.cli
   
   The batch executed successfully
   process-state: reload-required

   Copy to Clipboard
8. sso_legacy.cli 변경 사항이 적용되도록 Red Hat Single Sign-On 서버를 다시 시작합니다.

절차

1. JBoss EAP의 bin 디렉토리에 sso.cli 라는 배치 파일을 생성합니다.

2. 배치 파일에 다음 내용을 추가합니다.

   # Start batching commands
   
   batch
   
   # Add the keystore, key manager and ssl context configuration in the elytron subsystem
   
   /subsystem=elytron/key-store=httpsKS:add(relative-to=jboss.server.config.dir,path=keycloak.jks,credential-reference={clear-text=secret},type=JKS)
   /subsystem=elytron/key-manager=httpsKM:add(key-store=httpsKS,credential-reference={clear-text=secret})
   /subsystem=elytron/server-ssl-context=httpsSSC:add(key-manager=httpsKM,protocols=["TLSv1.2"])
   
   # Change the undertow subsystem configuration to use the ssl context defined in the previous step for https
   
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=httpsSSC)
   
   # Run the batch commands
   
   run-batch

   Copy to Clipboard
3. Red Hat Single Sign-On 서버를 시작합니다.
4. JBoss EAP의 bin 디렉토리로 변경합니다.

5. 다음 스크립트를 실행합니다.

   $ sh jboss-cli.sh --connect --file=sso.cli
   
   The batch executed successfully
   process-state: reload-required

   Copy to Clipboard
6. sso.cli 변경 사항이 적용되도록 Red Hat Single Sign-On 서버를 다시 시작합니다.

절차

1. JBoss EAP의 bin 디렉토리에 sso.cli 라는 배치 파일을 생성합니다.

2. 배치 파일에 다음 내용을 추가합니다.

   batch
   
   # Add the keystore, key manager and ssl context configuration in the elytron subsystem
   /subsystem=elytron/key-store=httpsKS:add(relative-to=jboss.server.config.dir,path=keycloak.jks,credential-reference={clear-text=secret},type=JKS)
   /subsystem=elytron/key-manager=httpsKM:add(key-store=httpsKS,credential-reference={clear-text=secret})
   
   
   /subsystem=elytron/server-ssl-context=httpsSSC:add(key-manager=httpsKM,protocols=["TLSv1.3"])
   /subsystem=elytron/server-ssl-context=httpsSSC:write-attribute(name=cipher-suite-names,value=TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256)
   
   # Change the undertow subsystem configuration to use the ssl context defined in the previous step for https
   
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=httpsSSC)
   
   # Run the batch commands
   
   run-batch

   Copy to Clipboard
3. Red Hat Single Sign-On 서버를 시작합니다.
4. JBoss EAP의 bin 디렉토리로 변경합니다.

5. 다음 스크립트를 실행합니다.

   $ sh jboss-cli.sh --connect --file=sso.cli
   
   The batch executed successfully
   process-state: reload-required

   Copy to Clipboard
6. sso.cli 변경 사항이 적용되도록 Red Hat Single Sign-On 서버를 다시 시작합니다.