安全指南

过程 3.1. 从默认的安全区删除无提示验证

• 用管理 CLI 删除无提示验证

  按要求从管理区和应用程序区删除 local 元素。
  1. 从管理区删除 local 元素。

     • 对于独立服务器

       /core-service=management/security-realm=ManagementRealm/authentication=local:remove

     • 对于受管域

       /host=HOST_NAME/core-service=management/security-realm=ManagementRealm/authentication=local:remove

  2. 从应用程序区删除 local 元素。

     • 对于独立服务器

       /core-service=management/security-realm=ApplicationRealm/authentication=local:remove

     • 对于受管域

       /host=HOST_NAME/core-service=management/security-realm=ApplicationRealm/authentication=local:remove

过程 4.1. 编辑配置文件

1. 打开配置文件。

   打开配置文件进行编辑。根据你使用的是域还是独立服务器，这个文件位于两个位置中的一个。它不是用来启动服务器或域的可执行文件。

   • 受管域

     EAP_HOME/bin/domain.conf

   • 独立服务器

     EAP_HOME/bin/standalone.conf

2. 在文件末尾添加 Java 选项。

   在文件结尾添加下列行。你可以修改 -Djava.security.policy 值来制定安全策略的准确位置。这个值应该只有一行，且不能中断。你也可以修改 -Djava.security.debug、指定调试级别来记录更多或更少的信息。完整的选项是 failure,access,policy。

   JAVA_OPTS="$JAVA_OPTS -Djava.security.manager -Djboss.home.dir=$PWD/.. -Djava.security.policy==$PWD/server.policy -Djava.security.debug=failure"
   
   

3. 启动域或服务器。

   正常地启动域或服务器。

过程 4.2. 设置新的 Java 安全性管理者策略

1. 启动 policytool.

   以下列方式之一启动 policytool 工具。

   • 红帽企业版 Linux

     在 GUI 或命令行提示下，运行 /usr/bin/policytool。

   • Microsoft Windows Server

     从开始菜单或 Java 安装的 bin\ 里运行 policytool.exe。在不同系统里，其位置可能会不一样。

2. 创建一个新的策略。

   要创建新的策略，请选择 Add Policy Entry。添加你需要的参数，然后点击 Done。

3. 编辑现有的策略

   从现有的策略列表里选择策略，并选择 Edit Policy Entry 按钮。然后根据需要编辑相关参数。

4. 删除现有的策略。

   从现有的策略列表里选择策略，并选择 Delete Policy Entry 按钮。

过程 4.3. 启用普通调试

• 这个过程将启用普通级别的和安全相关的调试信息。

  在服务器配置文件里添加下列行。

  • 如果 JBoss EAP 实例运行在受管域里，这一行将添加到 bin/domain.conf（）或 bin/domain.conf.bat（Windows）。
  • 如果 JBoss EAP 实例作为独立服务器运行，这一行将添加到 bin/standalone.conf（）或 bin\standalone.conf.bat（Windows）。

过程 5.1. 订阅 JBoss Watch List

1. 点击下列链接进入 JBoss Watch 邮件列表页面：JBoss Watch Mailing List。
2. 在 Subscribing to Jboss-watch-list 部分输入你的电子邮件地址。
3. [你可能也想输入你的名字和密码。这完全由你决定，但我们不推荐这么做。]
4. 点击 Subscribe 按钮启动订阅过程。
5. 你可以访问 JBoss Watch Mailing List Archives 来浏览邮件列表的归档。

过程 5.2. 通过 ZIP 方式对 JBoss 产品应用补丁

1. 通过订阅 JBoss Watch 邮件列表或浏览 JBoss Watch 邮件列表归档来获得安全补丁的通知。

   注意

   JBoss Watch 邮件列表只通知安全补丁。
2. 阅读安全补丁的勘误并确认它可以应用于你的 JBoss 产品。
3. 如果安全补丁适用于你的 JBoss 产品，请用这个链接从红帽客户门户下载补丁文件。
4. 从客户门户下载的 ZIP 文件会包含修复安全问题或程序错误所需的所有文件。下载这个补丁 ZIP 文件到和 JBoss 产品相同的位置。
5. 在安装 JBoss 产品的位置解压补丁文件，覆盖现有的版本。

过程 5.3. 通过 RPM 方式对 JBoss 产品应用补丁

1. 通过订阅 JBoss Watch 邮件列表或浏览 JBoss Watch 邮件列表归档来获得安全补丁的通知。
2. 阅读安全补丁的勘误并确认它可以应用于你的 JBoss 产品。
3. 如果安全补丁适用于你的 JBoss 产品，请用这个链接从红帽客户门户下载包含在勘误里的 PRM 软件包。
4. 请使用

   yum update

   或类似的命令来安装补丁。

过程 6.1. 为安全域设置验证

1. 打开安全域的详细视图。

   点击管理控制台由上角的 Profiles 标签。在受管域里，从 Profile 视图左上角的 Profile 选择框里选择要修改的配置集。点击左侧的 Security 并点击展开菜单里的 Security Domains。点击你要编辑的安全域的 View 链接。

2. 进入验证子系统配置。

   如果还未选择的话，点击视图顶部的 Authentication 标签。
   配置区域分成两部分：Login Modules 和 Details。登录模块是配置的基本单元。安全域可以包含多个登录模块，每个都包括几个属性和选项。

3. 添加一个验证模块。

   点击 Add 按钮来添加一个 JAAS 验证模块。输入相关的内容。Code 是模块的类名。Flags 控制模块如何和相同安全域里的其他验证模块交互。
   对标签的解释

   Java EE 6 规格提供了安全域的标签的解释。下面的列表来自 http://docs.oracle.com/javase/6/docs/technotes/guides/security/jaas/JAASRefGuide.html#AppendixA。关于更消息的信息，请参考这个文档。

   标签	详情
   Required	登录模块是验证成功所必需的。如果成功或失败，验证都仍会继续处理登录模块列表。
   Requisite	登录模块是验证成功所必需的。如果成功，验证将继续处理登录模块列表。如果失败，控制权马上返回给应用程序（验证不会继续处理登录模块列表）。
   Sufficient	登录模块不是验证成功所必需的。如果成功，控制权马上返回给应用程序（验证不会继续处理登录模块列表）。如果失败，验证将继续处理登录模块列表。
   Optional	登录模块不是验证成功所必需的。如果成功或失败，验证都仍会继续处理登录模块列表。

   在你添加了模块时，你可以通过屏幕上的 Details 里的 Edit 按钮修改它的 Code 或Flags。请确保选择了 Attributes 标签页。

4. 可选的：添加、编辑或删除模块选项。

   如果你需要在模块里添加选项，点击 Login Modules 列表里的条目，并选择 Details 部分的 Module Options 标签页，并提供选项的键和值。要编辑一个已存在的选项，点击它的键来进行修改。你可以使用 Remove 按钮来删除选项。

过程 6.2. 在安全域里设置授权

1. 打开安全域的详细视图。

   点击管理控制台由上角的 Profiles 标签。在受管域里，从 Profile 视图左上角的 Profile 选择框里选择要修改的配置集。点击左侧的 Security 并点击展开菜单里的 Security Domains。点击你要编辑的安全域的 View 链接。

2. 进入授权子系统配置。

   如果还未选择的话，点击视图顶部的 Authorization 标签。
   配置区域分成两部分：Policies 和 Details。登录模块是配置的基本单元。安全域可以包含几个授权策略，每个都包括几个属性和选项。

3. 添加策略

   点击 Add 按钮来添加一个 JAAS 授权策略模块。输入相关的内容。Code 是模块的类名。Flags 控制模块如何和相同安全域里的其他授权模块交互。
   对标签的解释

   Java EE 6 规格提供了安全域的标签的解释。下面的列表来自 http://docs.oracle.com/javase/6/docs/technotes/guides/security/jaas/JAASRefGuide.html#AppendixA。关于更消息的信息，请参考这个文档。

   标签	详情
   要求的	登录模块是授权成功所必需的。如果成功或失败，授权都仍会继续处理登录模块列表。
   Requisite	登录模块是授权成功所必需的。如果成功，授权将继续处理登录模块列表。如果失败，控制权马上返回给应用程序（授权不会继续处理登录模块列表）。
   Sufficient	登录模块不是授权成功所必需的。如果成功，控制权马上返回给应用程序（授权不会继续处理登录模块列表）。如果失败，授权将继续处理登录模块列表。
   Optional	登录模块不是授权成功所必需的。如果成功或失败，授权都仍会继续处理登录模块列表。

   在你添加了模块时，你可以通过屏幕上的 Details 里的 Edit 按钮修改它的 Code 或Flags。请确保选择了 Attributes 标签页。

4. 可选的：添加、编辑或删除模块选项。

   如果你需要在模块里添加选项，点击 Login Modules 列表里的条目，并选择 Details 部分的 Module Options 标签页，并提供选项的键和值。要编辑一个已存在的选项，点击它的键来进行修改。你可以使用 Remove 按钮来删除选项。

过程 6.3. 在安全域里设置安全审计

1. 打开安全域的详细视图。

   点击管理控制台由上角的 Profiles 标签。在独立服务器里，标签页是 Profile。在受管域里，从 Profile 视图左上角的 Profile 选择框里选择要修改的配置集。点击左侧的 Security 并点击展开菜单里的 Security Domains。点击你要编辑的安全域的 View 链接。

2. 进入审计子系统配置。

   如果还未选择的话，点击视图顶部的 Audit 标签。
   配置区域分成两部分：Provider Modules 和 Details。提供者模块（Provider Module）是配置的基本单元。安全域可以包含多个提供者模块，每个都包括几个属性和选项。

3. 添加一个提供者模块。

   点击 Add 按钮来添加一个提供者模块。在 Code 里输入提供者模块的类名。
   在你添加了模块时，你可以通过屏幕上的 Details 里的 Edit 按钮修改它的 Code。请确保选择了 Attributes 标签页。

4. 检验你的模块是否可以运行

   审计模块的目的是提供一个在安全子系统里监控事件的途径。这种监控可以通过写入日志文件、电子邮件通知或其他可度量的审计机制来实现。
   例如，JBoss EAP 默认包含了 LogAuditProvider 模块。如果按照上面的步骤启用，这个审计模块会将安全通知写入 EAP_HOME 目录里的 log 子目录下的 audit.log 文件里。
   要检验上面的步骤是否可以在 LogAuditProvider 上下文里运行，你可以执行一个可能触发通知的动作并检查审计日志文件。
   关于安全审计提供者模块的完整列表，请参考 第 A.4 节 “包括的安全审计供应商模块”。

5. 可选的：添加、编辑或删除模块选项。

   如果你需要在模块里添加选项，点击 Modules 列表里的条目，并选择 Details 部分的 Module Options 标签页，并提供选项的键和值。要编辑一个已存在的选项，你可以使用 Remove 按钮来删除它，或者用正确的选项点击 Add 按钮再次添加它。

过程 6.4. 在安全域里设置安全映射

1. 打开安全域的详细视图。

   点击管理控制台由上角的 Profiles 标签。在独立服务器里，标签页是 Profile。在受管域里，从 Profile 视图左上角的 Profile 选择框里选择要修改的配置集。点击左侧的 Security 并点击展开菜单里的 Security Domains。点击你要编辑的安全域的 View 链接。

2. 进入映射子系统配置。

   如果还未选择的话，点击视图顶部的 Mapping 标签。
   配置区域分成两部分：Modules 和 Details。映射模块是配置的基本单元。安全域可以包含多个映射模块，每个都包括几个属性和选项。

3. 添加一个模块。

   点击 Add 按钮来添加一个安全映射模块。输入模块的相关内容。Code 是模块的类名。Type 字段表示这个模块执行的映射的类型。所允许的值有 principal、role、attribute 和 credential。
   在你添加了模块时，你可以通过屏幕上的 Details 里的 Edit 按钮修改它的 Code 或Type。请确保选择了 Attributes 标签页。

4. 可选的：添加、编辑或删除模块选项。

   如果你需要在模块里添加选项，点击 Modules 列表里的条目，并选择 Details 部分的 Module Options 标签页，并提供选项的键和值。要编辑一个已存在的选项，点击 Remove 标签键来删除它，并用新的值再次添加它。你可以使用 Remove 按钮来删除选项。

过程 7.1. 配置 JBoss Web 服务器以使用 HTTPS

1. 添加新的 HTTPS 连接器。

   执行下列管理 CLI 命令来修改配置。这会创建一个新的加密连接器，名为 HTTPS。它使用 https 模式、https 套接字绑定（默认为 8443 端口），且被设置为安全的。

   例 7.1. 管理 CLI 命令

   /profile=default/subsystem=web/connector=HTTPS/:add(socket-binding=https,scheme=https,protocol=HTTP/1.1,secure=true)
   

2. 配置 SSL 加密证书和密钥。

   执行下列 CLI 命令来配置你的 SSL 证书，请用自己的值来替换例子里的值。这个例子假设密钥库被复制到服务器的配置目录，对于受管域来说，也就是EAP_HOME/domain/configuration/。

   例 7.2. 管理 CLI 命令

   /profile=default/subsystem=web/connector=HTTPS/ssl=configuration:add(name=https,certificate-key-file=${jboss.server.config.dir}/keystore.jks,password=SECRET, key-alias=KEY_ALIAS)
   

   关于连接器的 SSL 属性参数的完整列表，请参考 第 7.4 节 “SSL 连接器引用”。

3. 部署应用程序。

   部署一个使用你已经配置好的配置集的应用程序到服务器组。如果你使用的是独立服务器，将这个应用程序部署至服务器。它的 HTTP 请求将使用新的 SSL 加密的连接。

过程 7.2. 生成 SSL 密钥和证书

1. 用公共和私有密钥生成密钥库。

   运行下列命令来当前目录里生成带有别名 jboss 的名为server.keystore 的密钥库。

   keytool -genkey -alias jboss -keyalg RSA -keystore server.keystore -storepass mykeystorepass --dname "CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,S=NC,C=US"

   下表描述了用于 keytool 命令的参数：

   参数	描述
   -genkey	keytool 命令生成包含公共和私有密钥的密钥对。
   -alias	密钥库的别名。这个值是任意的，但别名 jboss 是 JBoss Web 服务器使用的默认值。
   -keyalg	密钥对的生成算法。这个例子里是 RSA。
   -keystore	密钥库文件的名称和位置。默认的位置是当前的目录。你可以选择任意名字。在这个例子里是 server.keystore。
   -storepass	这个密码用于针对密钥库进行验证，从而读取密钥。这个密码长度必须至少为 6 且在访问时密钥库时提供。在这个例子里，我们使用 mykeystorepass。如果你忽略这个参数，在执行命令时你将被提示输入它。
   -keypass	这是实际密钥的密码。 注意 由于实现的限制，它必须和库的密码相同。
   --dname	引号括起的描述密钥的可区分名称的字符串，如"CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,C=US"。这个字符串是下列组件的组合： CN - 常用名或主机名。如果主机名是 "jsmith.mycompany.com"，那么 CN 就是 "jsmith"。 OU - 机构单元，如 "Engineering"。 O - 机构名称，如 "mycompany.com"。 L - 地区，如 "Raleigh" 或 "London"。 S - 州或省，如 "NC"。这个参数是可选的。 C - 两个字符的国家代码，如 "US" 或 "UK"。

   当你执行上述命令时，你会被提示输入下列信息：

   • 如果你在命令行没有使用 -storepass 参数，你会被要求输入密钥库的密码。在下一次提示时再次输入新密码。
   • 如果你在命令行没有使用 -keypass 参数，你会被要求输入密钥密码。按 Enter 将其设置为和密钥密码相同的值。
   当命令执行完毕时，server.keystore 文件包含了带有别名 jboss 的单个密钥。

2. 检验这个密钥。

   通过下列命令检验这个密钥是否正常工作。

   keytool -list -keystore server.keystore

   你会被提示输入密钥库密码。密钥库的内容将被显示（这个例子里是名为 jboss 的单个密钥）。请注意 jboss 密钥的类型是 keyEntry。这表示密钥库包含这个密钥的公共和私有条目。

3. 生成一个证书签名请求。

   运行下列命令使用步骤一里创建的密钥库里的公共密钥来生成一个证书签名请求。

   keytool -certreq -keyalg RSA -alias jboss -keystore server.keystore -file certreq.csr

   系统会提示你输入密码以针对密钥库进行验证。然后 keytool 命令将在当前工作目录里创建一个名为 certreq.csr 的证书签名请求。

4. 测试新生成的证书。

   通过下列命令测试证书的内容。

   openssl req -in certreq.csr -noout -text

   证书细节将被显示。

5. 可选：提交证书到证书认证机构（CA）。

   证书机构（Certificate Authority，CA）可以验证你的证书，它被第三方的客户认为是可靠的。CA 向你提供一个签名的证书，还有一个或多个可选的中间证书。

6. 可选：从密钥库导出自签名的证书

   如果你只需要用来进行测试或内部使用，你可以使用自签名的证书。你可以从密钥库导出在步骤一创建的证书：

   keytool -export -alias jboss -keystore server.keystore -file server.crt

   系统会提示你输入密码以针对密钥库进行验证。名为 server.crt 的自签名的证书将在当前工作目录里创建。

7. 导入已签名的证书以及任何中间的证书。

   按照 CA 里说明的顺序导入每个证书。对于每个要导入的证书，请用实际的文件名替换 intermediate.ca 或 server.crt。如果你的证书未作为独立的文件提供，请为每个证书创建一个独立的文件，并将其内容粘贴到文件里。

   注意

   你的已签名的证书和密钥都是有价值的资产。请小心地在服务器间传递。

   keytool -import -keystore server.keystore -alias intermediateCA -file intermediate.ca

   keytool -import -alias jboss -keystore server.keystore -file server.crt

8. 测试你的证书是否已经成功导入。

   运行下列命令，遇提示时输入密钥库密码。密钥库的内容将被显示，证书将是列表里的一部分。

   keytool -list -keystore server.keystore

1. 运行管理 CLI。

   运行 jboss-cli.sh 或 jboss-cli.bat 命令并连接服务器。

2. 创建新的安全区。

   运行下列命令在域控制器或独立服务器上创建一个名为 MyDomain 的安全区。

   /host=master/core-service=management/security-realm=MyDomainRealm:add()

3. 创建对将保存新角色信息的属性文件的引用。

   运行下列命令创建一个名为 myfile.properties 的文件，它将包含附属新角色的属性。

   注意

   新创建的属性文件不是由内含的 add-user.sh 和 add-user.bat 脚本管理的。它必须进行外部管理。

   /host=master/core-service=management/security-realm=MyDomainRealm/authentication=properties:add(path=myfile.properties)

1. 运行 add-user.sh 或 add-user.bat 命令。

   打开一个命令行界面（command-line interface，CLI）。进入 EAP_HOME/bin/ 目录。如果你运行的是红帽企业版 LInux 或其他类 Unix 系统，请运行 add-user.sh。如果你运行的是 Microsoft Windows 服务器，则请运行 add-user.bat。

2. 选择是否添加管理用户或应用程序用户。

   对于这个过程，输入 b 来添加应用程序用户。

3. 选择用户所添加至的安全区。

   在默认的情况下，唯一可用的安全区是 ApplicationRealm。如果你已经添加了一个自定义区，你可以输入它的名称。

4. 在提示时输入用户名、密码和角色。

   在提示时输入想要的用户名、密码和可选角色。输入 yes 确认选择或 no 取消修改。所作修改将被写入到安全区的每个属性文件里。

过程 10.1. 配置工作节点

1. 配置网络接口。

   在默认情况下，网络接口都是 127.0.0.1。每个容纳独立服务器或服务器组里的一个或多个服务器的物理主机的接口都需要进行配置以使用其他服务器可以看到的公共 IP 地址。
   要修改 JBoss EAP 主机的 IP 地址，你需要关闭它并直接修改配置文件。这是因为驱动管理控制台和管理 CLI 的 Management API 依赖于稳定的管理地址。
   遵循下列步骤将群集里的每个服务器的 IP 地址修改为主节点的公共 IP 地址。
   1. 完全地关闭服务器。
   2. 对于受管域，编辑位于 EAP_HOME/domain/configuration/ 里的 host.xml，而对于独立服务器，编辑位于 EAP_HOME/standalone/configuration/ 里的 standalone-ha.xml。
   3. 找到 <interfaces> 元素。有三个接口需要配置，management、public 和 unsecured。你都要修改 127.0.0.1 为主机的外部 IP 地址。
   4. 对于参与受管域但不是主节点的主机，找到 <host 元素。请注意，它没有结尾的 > 符号，这是因为它包含了属性。将其 name 属性从 master 修改为其他的唯一名称，每个从节点都应不同。这个名称也将被从节点用来标识群集，请注意这一点。
   5. 对于需要加入受管域的刚配置好的主机，找到 <domain-controller> 元素。注释或删除 <local /> 元素，并添加下列一行，修改 IP 地址（X.X.X.X）为域控制台的地址。这个步骤不适用于独立服务器。

      <remote host="X.X.X.X" port="${jboss.domain.master.port:9999}" security-realm="ManagementRealm"/>
      

   6. 保存文件并退出。

2. 为每个从服务器配置验证。

   每个从服务器都需要在域控制器或独立主服务器的 ManagementRealm 里创建一个用户名和密码。在域控制器或独立主服务器上，运行 EAP_HOME/add-user.sh 命令。请用和从服务器相同的用户名添加一个用户到 ManagementRealm。当提示这个用户是否需要到外部的 JBoss AS 实例验证，请选择 yes。下面是这个命令的输入和输出的例子，从服务器名为 slave1，其密码为 changeme。

   user:bin user$ ./add-user.sh
   
   What type of user do you wish to add? 
    a) Management User (mgmt-users.properties) 
    b) Application User (application-users.properties)
   (a): a
   
   Enter the details of the new user to add.
   Realm (ManagementRealm) : 
   Username : slave1
   Password : changeme
   Re-enter Password : changeme
   About to add user 'slave1' for realm 'ManagementRealm'
   Is this correct yes/no? yes
   Added user 'slave1' to file '/home/user/jboss-eap-6.0/standalone/configuration/mgmt-users.properties'
   Added user 'slave1' to file '/home/user/jboss-eap-6.0/domain/configuration/mgmt-users.properties'
   Is this new user going to be used for one AS process to connect to another AS process e.g. slave domain controller?
   yes/no? yes
   To represent the user add the following to the server-identities definition <secret value="Y2hhbmdlbWU=" />
   

3. 从 add-user.sh 的输出里复制 Base64 编码的 <secret> 元素。

   如果你计划验证时指定 Base64 编码的密码，请复制 add-user.sh 的输出里的 <secret> 元素值，你在下面的步骤里需要用到它。

4. 修改从主机的安全区以使用新的验证。

   1. 重新打开从主机的 host.xml 或 standalone-ha.xml 文件。
   2. 找到 <security-realms> 元素。这是你配置安全区（Security Realm）的地方。
   3. 你可以用下列方法之一指定 secret 值：

      • 在配置文件里指定 Base64 编码的密码值。

        1. 在 <security-realm name="ManagementRealm"> 行下添加下列 XML 片段：

           <server-identities>
               <secret value="Y2hhbmdlbWU="/>
           </server-identities>
                           
           
           

        2. 用前一步骤的 add-user.sh 输出里返回的 secret 值来替换 "Y2hhbmdlbWU=" 。

      • 配置主机通过 vault.sh 获取密码。

        1. 使用 vault.sh 脚本生成一个加密的密码。它将生成一个这样的字符串： VAULT::secret::password::ODVmYmJjNGMtZDU2ZC00YmNlLWE4ODMtZjQ1NWNmNDU4ZDc1TElORV9CUkVBS3ZhdWx0。
           你可以在本指南的『敏感字符串的密码阀』里找到更多信息：第 3.8.1 节 “关于保护明码文件里的敏感字符”。
        2. 在 <security-realm name="ManagementRealm"> 行下添加下列 XML 片段：

           <server-identities>
               <secret value="${VAULT::secret::password::ODVmYmJjNGMtZDU2ZC00YmNlLWE4ODMtZjQ1NWNmNDU4ZDc1TElORV9CUkVBS3ZhdWx0}"/>
           </server-identities>
                           
           
           

           请用前一步骤生成的加密密码替换 secret 值。

           注意

           当在阀里创建一个密码时，它必须以明文而不是 Base64 编码来指定。

      • 指定密码为系统属性。

        1. 在 <security-realm name="ManagementRealm"> 行下直接添加下列 XML 代码块。

           <server-identities>
               <secret value=${server.identity.password}/>
           </server-identities>
                           
           
           

        2. 当你将密码指定为系统属性时，你可以用下列方法之一配置主机：
           • 在命令行里以明文输入密码来启动服务器，例如：

             -Dserver.identity.password=changeme

             注意

             密码必须以明文输入并对于任何执行 ps -ef 命令的用户可见。
           • 将密码放在属性文件里并将文件的 URL 作为命令行参数传入。
             1. 在属性文件里添加键/值对。例如：

                server.identity.password=changeme
                

             2. 用命令行参数启动服务器：

                --properties=URL_TO_PROPERTIES_FILE

                .
   4. 保存文件并退出。

5. 重启服务器。

   从主机现在将以主机名为用户名以及加密的字符串为密码来向主服务器进行验证。

1. 停止 JBoss EAP。

   以合适的方式对操作系统发送中断信号来停止 JBoss EAP。如果你以前台应用程序的方式运行 JBoss EAP ，那通常的做法是按 Ctrl+C 键。

2. 重启 JBoss EAP，指定绑定地址。

   使用 -b 命令行选项在特定接口上启动 JBoss EAP。

   例 11.1. 指定公共接口。

   EAP_HOME/bin/domain.sh -b 10.1.1.1

   例 11.2. 指定管理接口。

   EAP_HOME/bin/domain.sh -bmanagement=10.1.1.1

   例 11.3. 为每个接口指定不同的地址。

   EAP_HOME/bin/domain.sh -bmanagement=127.0.0.1 -b 10.1.1.1

   例 11.4. 绑定公共接口到所有的网络接口上。

   EAP_HOME/bin/domain.sh -b 0.0.0.0

过程 11.1. 管理和 JBoss EAP 6 一起使用的网络防火墙

1. 登录到管理控制台。

   登录到管理控制台。在默认情况下，它运行在 http://localhost:9990/console/ 上。

2. 确定套接字绑定组使用的套接字绑定。

   点击管理控制台右上方的 Profiles 标签。在屏幕的左侧会显示一系列菜单。菜单底部是 General Configuration。点击 Socket Binding Groups。Socket Binding Declarations 屏幕将会出现。你可以从右侧的复合框里来选择不同的组。

   注意

   如果你使用的是独立服务器，它只有一个套接字绑定组。
   套接字名称和端口将会出现，每页有 6 个值。你可以使用表下面的箭头来进行浏览。

3. 确定你要打开的端口。

   根据特定端口的功能以及环境的需要，一些端口可能需要通过防火墙来访问。如果你不确定某个套接字绑定的目的，请参考 第 11.4 节 “JBoss EAP 6使用的网络端口” 里关于默认套接字绑定和其目的的列表。

4. 配置防火墙将通讯转发到 JBoss EAP 6。

   执行这些步骤来配置网络防火墙以允许指定端口上的通讯。
   1. 登录到防火墙主机并以根用户身份打开命令行提示。
   2. 执行 system-config-firewall 来启动防火墙配置工具。GUI 或命令行工具根据你登录到防火墙系统的方式启动。这个任务假设你通过 SSH 登录并使用了命令行接口。
   3. 使用 TAB 键切换到 Customize 按钮，然后按 ENTER 键。Trusted Services 屏幕将会出现。
   4. 不要修改任何值，使用 TAB 键切换到 Forward 按钮，然后按 ENTER 键进入下一屏幕。Other Ports 屏幕将出现。
   5. 使用 TAB 键切换到 <Add> 按钮，然后按 ENTER 键。Port and Protocol 屏幕将会出现。
   6. 在 Port / Port Range 字段里输入5445 ，然后使用 TAB 键切换到 Protocol 字段，并输入 tcp。使用 TAB 键切换到 OK 按钮，然后按 ENTER 键。
   7. 使用 TAB 键切换到 Forward 按钮，直至你到达 Port Forwarding 屏幕。
   8. 使用 TAB 键切换到 <Add> 按钮，然后按 ENTER 键。
   9. 填写下列值以设立端口映射到 5445。
      • 源接口：eth1
      • 协议：tcp
      • 端口 / 端口范围：5445
      • 目的 IP 地址：10.1.1.2
      • 端口 / 端口范围：5445
      使用 TAB 键切换到 OK 按钮，然后按 ENTER。
   10. 使用 TAB 键切换到 Close 按钮，然后按 ENTER。
   11. 使用 TAB 键切换到 OK 按钮，然后按 ENTER。要应用这些改动，阅读警告提示并点击 Yes。

5. 在你的 JBoss EAP 6 主机上配置防火墙。

   一些机构选择在 JBoss EAP 6 服务器上配置防火墙，并关闭非操作必需的端口。请参考 第 11.4 节 “JBoss EAP 6使用的网络端口” 并确定要打开的端口，然后关闭其他端口。红帽企业版 6 的默认配置关闭所有的端口，除了 22（用于 SSH）和 5253（用于多点传送 DNS）。当你在配置端口的时候，请确保你可以从物理上访问服务器，这样就不会不经意地锁住自己。

过程 13.1. 设置 Web 或 EJB 应用程序的 SSO 验证

1. 配置一个安全域来代表服务器的身份。如果需要则设置系统属性。

   第一个安全域向目录服务验证容器自身。它需要使用一个接受某种静态登录机制的登录模块，因为这没有涉及真正的用户。这个例子使用了一个静态 principal 并引用了一个包含凭证的 Keytab 文件。
   下面通过 XML 片段进行阐述，但你应该使用管理控制台或 CLI 来配置你的安全域。

   <security-domain name="host" cache-type="default">
      <authentication>
         <login-module code="Kerberos" flag="required">
            <module-option name="storeKey" value="true"/>
            <module-option name="useKeyTab" value="true"/>
            <module-option name="principal" value="host/testserver@MY_REALM"/>
            <module-option name="keyTab" value="/home/username/service.keytab"/>
            <module-option name="doNotPrompt" value="true"/>
            <module-option name="debug" value="false"/>
         </login-module>
      </authentication>
   </security-domain>		
   		
   
   

2. 配置第二个安全域来保护 web 或 EJB 应用程序。如果有必要请设置系统属性。

   第二个安全域用来向 Kerberos 或 SPNEGO 验证服务器验证单独的用户。你需要至少一个登录模块来验证用户，另外一个则搜索适用于用户的角色。下面的 XML 片段展示了一个 SPNEGO 安全域示例。它包含了一个授权模块来映射角色和单独的用户。你也可以使用一个搜索验证服务器自己的角色的模块。

   <security-domain name="SPNEGO" cache-type="default">
      <authentication>
         <!-- Check the username and password -->
         <login-module code="SPNEGO"  flag="requisite">
            <module-option name="password-stacking" value="useFirstPass"/>
            <module-option name="serverSecurityDomain" value="host"/>
         </login-module>
         <!-- Search for roles -->
         <login-module code="UserRoles" flag="required">
            <module-option name="password-stacking" value="useFirstPass" />
            <module-option name="usersProperties" value="spnego-users.properties" />
            <module-option name="rolesProperties" value="spnego-roles.properties" />
         </login-module> 
      </authentication>
   </security-domain>		
   		
   
   

3. 在 web.xml 里指定 security-constraint 和 login-config。

   web.xml 描述符包含了安全约束和登录配置的信息。下面是两者的示例。

   <security-constraint>
      <display-name>Security Constraint on Conversation</display-name>
      <web-resource-collection>
         <web-resource-name>examplesWebApp</web-resource-name>
         <url-pattern>/*</url-pattern>
      </web-resource-collection>
      <auth-constraint>
      <role-name>RequiredRole</role-name>
      </auth-constraint>
   </security-constraint>
   
   <login-config>
      <auth-method>SPNEGO</auth-method>
      <realm-name>SPNEGO</realm-name>
   </login-config>
    
   <security-role>
      <description> role required to log in to the Application</description>
      <role-name>RequiredRole</role-name>
   </security-role>		
   		
   
   

4. 在 jboss-web.xml 描述符里指定安全域和其他设置。

   在部署的 jboss-web.xml 描述符里指定客户端安全域（这个例子里的第二个）的名称，指引你的应用程序来使用这个安全域。
   你无法再直接覆盖验证。相反，如果需要的话你可以在 jboss-web.xml 里添加 NegotiationAuthenticator 为阀。<jacc-star-role-allow> 允许你使用星号（*）来匹配多个角色名，它是可选的。

   <jboss-web>
      <security-domain>java:/jaas/SPNEGO</security-domain>
      <valve>
         <class-name>org.jboss.security.negotiation.NegotiationAuthenticator</class-name>
      </valve>
      <jacc-star-role-allow>true</jacc-star-role-allow>
   </jboss-web>		
   		
   
   

5. 添加一个依赖关系到应用程序的 MANIFEST.MF 以定位 Negotiation 类。

   Web 应用程序需要在部署的 META-INF/MANIFEST.MF manifest 里添加一个 org.jboss.security.negotiation 类的依赖关系，从而定义 JBoss Negotiation 类。下面是一个具有正确格式的条目。

   Manifest-Version: 1.0
   Build-Jdk: 1.6.0_24
   Dependencies: org.jboss.security.negotiation
   

过程 14.1. 配置你的应用程序以使用安全域

1. 定义安全域

   你可以在服务器的配置文件或应用程序的描述符里定义安全域。

   • 在服务器的配置文件里配置安全域

     安全域是在服务器配置文件的 security 子系统里配置的。如果 JBoss EAP 实例运行在受管域里，配置文件应该是 domain/configuration/domain.xml。如果是独立服务器，则是 standalone/configuration/standalone.xml 文件。
     other、jboss-web-policy 和 jboss-ejb-policy 都是 JBoss EAP 6 里默认提供的安全域。下面的 XML 示例是从服务器配置文件的 security 子系统里复制的。

     <subsystem xmlns="urn:jboss:domain:security:1.2">
         <security-domains>
             <security-domain name="other" cache-type="default">
                 <authentication>
                     <login-module code="Remoting" flag="optional">
                         <module-option name="password-stacking" value="useFirstPass"/>
                     </login-module>
                     <login-module code="RealmDirect" flag="required">
                         <module-option name="password-stacking" value="useFirstPass"/>
                     </login-module>
                 </authentication>
             </security-domain>
             <security-domain name="jboss-web-policy" cache-type="default">
                 <authorization>
                     <policy-module code="Delegating" flag="required"/>
                 </authorization>
             </security-domain>
             <security-domain name="jboss-ejb-policy" cache-type="default">
                 <authorization>
                     <policy-module code="Delegating" flag="required"/>
                 </authorization>
             </security-domain>
         </security-domains>
     </subsystem>
     
     

     你可以按需要用管理控制台或 CLI 配置其他的安全域。

   • 在应用程序的描述符文件里配置安全域

     安全域是在应用程序的 WEB-INF/jboss-web.xml 文件里的 <jboss-web> 元素的<security-domain> 子元素里指定的。下面的例子配置了一个名为 my-domain 的安全域。

     <jboss-web>
         <security-domain>my-domain</security-domain>
     </jboss-web>        
             
     
     

     这只是你可以在 WEB-INF/jboss-web.xml 描述符里指定的许多设置中的一个。

2. 在 EJB 里添加必需的注解

   你可以用 @SecurityDomain 和 @RolesAllowed 注解在 EJB 里配置安全性。下面的 EJB 代码示例限制了具有 guest 角色的用户对 other 安全域的访问。

   package example.ejb3;
   
   import java.security.Principal;
   
   import javax.annotation.Resource;
   import javax.annotation.security.RolesAllowed;
   import javax.ejb.SessionContext;
   import javax.ejb.Stateless;
   
   import org.jboss.ejb3.annotation.SecurityDomain;
   
   /**
    * Simple secured EJB using EJB security annotations
    * Allow access to "other" security domain by users in a "guest" role.
    */
   @Stateless
   @RolesAllowed({ "guest" })
   @SecurityDomain("other")
   public class SecuredEJB {
   
      // Inject the Session Context
      @Resource
      private SessionContext ctx;
   
      /**
       * Secured EJB method using security annotations
       */
      public String getSecurityInfo() {
         // Session context injected using the resource annotation
         Principal principal = ctx.getCallerPrincipal();
         return principal.toString();
      }
   }
   

   关于更多的代码示例，请参考 JBoss EAP 6 Quickstarts 集里的 ejb-security quickstart，你可以在红帽的客户门户找到这些例子。

过程 14.2. 在 Servlet 里添加基于角色的安全性

1. 在 servlet 和 URL 模式间添加映射。

   使用 web.xml 里的 <servlet-mapping> 元素来映射单独的 servlet 和 URL 模式。下面的例子映射名为 DisplayOpResult 的 servlet 到 URL 模式 /DisplayOpResult。

   <servlet-mapping>
       <servlet-name>DisplayOpResult</servlet-name>
       <url-pattern>/DisplayOpResult</url-pattern>
   </servlet-mapping>		
   			
   
   

2. 添加安全约束到 URL 模式。

   要映射 URL 模式到安全约束，可以使用 <security-constraint>。下面的例子约束了具有角色 eap_admin 的 principal 对 URL 模式 /DisplayOpResult 的访问。这个角色需要出现在安全域里。

   <security-constraint>
   	<display-name>Restrict access to role eap_admin</display-name>
   	<web-resource-collection>
   		<web-resource-name>Restrict access to role eap_admin</web-resource-name>
   		<url-pattern>/DisplayOpResult/*</url-pattern>
   	</web-resource-collection>
   	<auth-constraint>
   		<role-name>eap_admin</role-name>
   	</auth-constraint>	
   	<security-role>
   		<role-name>eap_admin</role-name>
   	</security-role>
   </security-constraint>		
   			
   
   

3. 在 WAR 的 jboss-web.xml 里指定安全域

   添加安全域到 WAR 的 jboss-web.xml 以连接 servlet 到配置好的安全域，它知道如何根据安区性约束验证和授权 principal。下面的例子使用名为 acme_domain 的安全域。

   <jboss-web>
   	...
   	<security-domain>acme_domain</security-domain>
   	...
   </jboss-web>