如何配置服务器安全性

1. 创建密钥存储来保护管理接口。

   注意

   此密钥存储必须采用 JKS 格式，因为管理接口与 JCEKS 格式的密钥存储不兼容。

   使用以下内容来生成密钥存储，将参数的示例值（如 别名,keypass,keystore,storepass 和 dname ）替换为环境的正确值。

   注意

   参数 validity 指定密钥有效的天数。730 等于两年。

   使用 keytool 命令从终端生成密钥存储

   Copy to Clipboard Toggle word wrap

   $ keytool -genkeypair -alias appserver -storetype jks -keyalg RSA -keysize 2048 -keypass password1 -keystore EAP_HOME/standalone/configuration/identity.jks -storepass password1 -dname "CN=appserver,OU=Sales,O=Systems Inc,L=Raleigh,ST=NC,C=US" -validity 730 -v

2. 确保管理接口绑定到 HTTPS。

   1. 运行单机服务器.

      要确保管理接口绑定到 HTTPS，您必须添加 management-https 配置并移除 management-http 配置。

      使用以下 CLI 命令将管理接口绑定到 HTTPS：

      Copy to Clipboard Toggle word wrap

      /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)
      
      /core-service=management/management-interface=http-interface:undefine-attribute(name=socket-binding)

   2. 运行受管域

      通过添加 secure-port 并删除端口配置来更改 management-interface 部分中的 socket 元素。

      使用以下命令将管理接口绑定到 HTTPS：

      Copy to Clipboard Toggle word wrap

      /host=master/core-service=management/management-interface=http-interface:write-attribute(name=secure-port,value=9993)
      
      /host=master/core-service=management/management-interface=http-interface:undefine-attribute(name=port)

3. 可选： 使用自定义 socket-binding-group。如果要使用自定义 socket-binding-group，您必须确保定义了 management-https 绑定，该绑定默认为绑定到端口 9993。您可以通过查看服务器配置文件的 socket-binding-group 部分或使用管理 CLI 来验证这一点：

   使用管理 CLI 读取 socket-binding-group 配置示例

   Copy to Clipboard Toggle word wrap

   /socket-binding-group=standard-sockets/socket-binding=management-https:read-resource(recursive=true)
   
   {
       "outcome" => "success",
       "result" => {
           "client-mappings" => undefined,
           "fixed-port" => false,
           "interface" => "management",
           "multicast-address" => undefined,
           "multicast-port" => undefined,
           "name" => "management-https",
           "port" => expression "${jboss.management.https.port:9993}"
       }
   }

4. 创建新的安全域。在本例中，使用 HTTPS, ManagementRealmHTTPS 的新安全域使用位于 EAP_HOME/standalone/configuration/ 目录中的名为 https-mgmt-users.properties 的属性文件来存储用户名和密码。用户名和密码可以添加到文件中，但现在您需要创建一个名为 https-mgmt-users.properties 的空文件，并将它保存到该位置。以下示例显示使用 touch 命令，但也可以使用其他机制，如文本编辑器。

   使用 touch 命令创建空文件的示例

   Copy to Clipboard Toggle word wrap

   $ touch EAP_HOME/standalone/configuration/https-mgmt-users.properties

   接下来，输入以下 CLI 命令创建名为 ManagementRealmHTTPS 的新安全域：

   Copy to Clipboard Toggle word wrap

   /core-service=management/security-realm=ManagementRealmHTTPS:add
   
   /core-service=management/security-realm=ManagementRealmHTTPS/authentication=properties:add(path=https-mgmt-users.properties,relative-to=jboss.server.config.dir)

   此时，您创建了一个新的安全域，并将其配置为使用属性文件进行身份验证。现在，您必须使用 add-user 脚本将用户添加到属性文件中，该脚本可在 EAP_HOME/bin/ 目录中。在运行 add-user 脚本时，您必须分别使用 -up 和 -r 选项指定属性文件和安全域。在这里，add-user 脚本将以交互方式提示您输入要存储在 https-mgmt-users.properties 文件中的用户名和密码信息。

   Copy to Clipboard Toggle word wrap

   $ EAP_HOME/bin/add-user.sh -up EAP_HOME/standalone/configuration/https-mgmt-users.properties -r ManagementRealmHTTPS
   ...
   Enter the details of the new user to add.
   Using realm 'ManagementRealmHTTPS' as specified on the command line.
   ...
   Username : httpUser
   Password requirements are listed below. To modify these restrictions edit the add-user.properties configuration file.
    - The password must not be one of the following restricted values {root, admin, administrator}
    - The password must contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)
    - The password must be different from the username
   ...
   Password :
   Re-enter Password :
   About to add user 'httpUser' for realm 'ManagementRealmHTTPS'
   ...
   Is this correct yes/no? yes
   ..
   Added user 'httpUser' to file 'EAP_HOME/configuration/https-mgmt-users.properties'
   ...
   Is this new user going to be used for one AS process to connect to another AS process?
   e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.
   yes/no? no

   重要

   在配置使用属性文件存储用户名和密码的安全域时，建议每个域使用不同的属性文件，它们不与另一个域共享。

5. 配置管理接口以使用新的安全域。

   Copy to Clipboard Toggle word wrap

   /core-service=management/management-interface=http-interface:write-attribute(name=security-realm,value=ManagementRealmHTTPS)

6. 配置管理接口以使用密钥存储。

   使用以下 CLI 命令，将管理接口配置为使用密钥存储。对于参数文件，必须从 第一步 中复制其值的密码和别名。

   将密钥存储添加到安全域的 CLI 命令

   Copy to Clipboard Toggle word wrap

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:add(keystore-path=identity.jks,keystore-relative-to=jboss.server.config.dir,keystore-password=password1, alias=appserver)

   注意

   要更新密钥存储密码，请使用以下 CLI 命令：

   Copy to Clipboard Toggle word wrap

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:write-attribute(name=keystore-password,value=newpassword)

   此时，您需要重新载入服务器配置：

   Copy to Clipboard Toggle word wrap

   reload

   重新载入服务器配置后，日志应包含以下内容，只需在文本之前显示启动的服务数：

   Copy to Clipboard Toggle word wrap

   13:50:54,160 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0061: Http management interface listening on https://127.0.0.1:9993/management
   13:50:54,162 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0052: Admin console listening on https://127.0.0.1:9993

   管理接口现在侦听端口 9993，这确认过程是否成功。

   重要

   此时，CLI 将断开连接，并且由于端口绑定已更改，因此无法重新连接。继续下一步，以更新 jboss-cli.xml，以允许 CLI 重新连接。

7. 更新 jboss-cli.xml。

   如果使用管理 CLI 执行管理操作，则必须对 EAP_HOME/bin/jboss-cli.xml 文件进行以下更改：

   • 将 <default-protocol> 的值更新为 https-remoting。
   • 在 <default-controller> 中，将 <protocol> 的值更新为 https-remoting。

   • 在 <default-controller> 中，将 <port> 的值更新为 9993。

     jboss-cli.xml 示例

     Copy to Clipboard Toggle word wrap

     <jboss-cli xmlns="urn:jboss:cli:2.0">
         <default-protocol use-legacy-override="true">https-remoting</default-protocol>
         <!-- The default controller to connect to when 'connect' command is executed w/o arguments -->
         <default-controller>
             <protocol>https-remoting</protocol>
             <host>localhost</host>
             <port>9993</port>
         </default-controller>
     ...

     下一次使用管理 CLI 连接到管理界面时，您必须接受服务器证书并根据 ManagementRealmHTTPS 安全域进行身份验证：

     接受服务器证书和授权示例

     Copy to Clipboard Toggle word wrap

     $ ./jboss-cli.sh -c
     Unable to connect due to unrecognised server certificate
     Subject    - CN=appserver,OU=Sales,O=Systems Inc,L=Raleigh,ST=NC,C=US
     Issuer     - CN=appserver, OU=Sales, O=Systems Inc, L=Raleigh, ST=NC, C=US
     Valid From - Tue Jun 28 13:38:48 CDT 2016
     Valid To   - Thu Jun 28 13:38:48 CDT 2018
     MD5 : 76:f4:81:8b:7e:c3:be:6d:ee:63:c1:7a:b7:b8:f0:fb
     SHA1 : ea:e3:f1:eb:53:90:69:d0:c9:69:4a:5a:a3:20:8f:76:c1:e6:66:b6
     
     Accept certificate? [N]o, [T]emporarily, [P]ermenantly : p
     Authenticating against security realm: ManagementRealmHTTPS
     Username: httpUser
     Password:
     [standalone@localhost:9993 /]

1. 生成密钥存储。

   Copy to Clipboard Toggle word wrap

   $ keytool -genkeypair -alias HOST1_alias -keyalg RSA -keysize 1024 -validity 365 -keystore HOST1.keystore.jks -dname "CA_HOST1" -keypass secret -storepass secret
   
   $ keytool -genkeypair -alias HOST2_alias -keyalg RSA -keysize 1024 -validity 365 -keystore HOST2.keystore.jks -dname "CA_HOST2" -keypass secret -storepass secret

2. 导出证书。

   Copy to Clipboard Toggle word wrap

   $ keytool -exportcert  -keystore HOST1.keystore.jks -alias HOST1_alias -keypass secret -storepass secret -file HOST1.cer
   
   $ keytool -exportcert  -keystore HOST2.keystore.jks -alias HOST2_alias -keypass secret -storepass secret -file HOST2.cer

3. 将证书导入到而不是信任存储中。

   Copy to Clipboard Toggle word wrap

   $ keytool -importcert -keystore HOST1.truststore.jks -storepass secret -alias HOST2_alias -trustcacerts -file HOST2.cer
   
   $ keytool -importcert -keystore HOST2.truststore.jks -storepass secret -alias HOST1_alias -trustcacerts -file HOST1.cer

4. 定义 CertificateRealm。

   在服务器（host.xml 或 standalone.xml）的配置中定义 CertificateRealm，并将接口指向该服务器。这可以通过以下命令完成：

   Copy to Clipboard Toggle word wrap

   /core-service=management/security-realm=CertificateRealm:add()
   
   /core-service=management/security-realm=CertificateRealm/server-identity=ssl:add(keystore-path=/path/to/HOST1.keystore.jks, keystore-password=secret,alias=HOST1_alias)
   
   /core-service=management/security-realm=CertificateRealm/authentication=truststore:add(keystore-path=/path/to/HOST1.truststore.jks,keystore-password=secret)

5. 将 http-interface 的 security-realm 更改为新的 CertificateRealm。

   Copy to Clipboard Toggle word wrap

   /core-service=management/management-interface=http-interface:write-attribute(name=security-realm,value=CertificateRealm)

6. 为 CLI 添加 SSL/TLS 配置。

   重要

   除了添加双向 SSL/TLS 外，还应将管理接口 配置为绑定到 HTTPS。

   为 CLI 添加 SSL/TLS 配置，它使用 EAP_HOME/bin/jboss-cli.xml 作为设置文件。

   要将密钥存储和信任存储密码以纯文本形式存储，请编辑 EAP_HOME/bin/jboss-cli.xml，并使用变量的适当值添加 SSL/TLS 配置：

   jboss-cli.xml XML 示例

   Copy to Clipboard Toggle word wrap

   <ssl>
     <alias>HOST2_alias</alias>
     <key-store>/path/to/HOST2.keystore.jks</key-store>
     <key-store-password>secret</key-store-password>
     <trust-store>/path/to/HOST2.truststore.jks</trust-store>
     <trust-store-password>secret</trust-store-password>
     <modify-trust-store>true</modify-trust-store>
   </ssl>

   要使用存储在密码库中的密钥存储和信任存储密码，您需要将 vault 配置和适当的 vault 值添加到 EAP_HOME/bin/jboss-cli.xml 中：

   jboss-cli.xml XML 示例

   Copy to Clipboard Toggle word wrap

   <ssl>
     <vault>
       <vault-option name="KEYSTORE_URL" value="path-to/vault/vault.keystore"/>
       <vault-option name="KEYSTORE_PASSWORD" value="MASK-5WNXs8oEbrs"/>
       <vault-option name="KEYSTORE_ALIAS" value="vault"/>
       <vault-option name="SALT" value="12345678"/>
       <vault-option name="ITERATION_COUNT" value="50"/>
       <vault-option name="ENC_FILE_DIR" value="EAP_HOME/vault/"/>
     </vault>
     <alias>HOST2_alias</alias>
     <key-store>/path/to/HOST2.keystore.jks</key-store>
     <key-store-password>VAULT::VB::cli_pass::1</key-store-password>
     <key-password>VAULT::VB::cli_pass::1</key-password>
     <trust-store>/path/to/HOST2.truststore.jks</trust-store>
     <trust-store-password>VAULT::VB::cli_pass::1</trust-store-password>
     <modify-trust-store>true</modify-trust-store>
   </ssl>

1. 首先添加和配置 HTTPS 安全域。配置 HTTPS 安全域后，在引用安全域的 undertow 子系统中配置 https-listener ：

   Copy to Clipboard Toggle word wrap

   batch
   
   /core-service=management/security-realm=HTTPSRealm/:add
   
   /core-service=management/security-realm=HTTPSRealm/server-identity= \
   ssl:add(keystore-path=identity.jks, \
   keystore-relative-to=jboss.server.config.dir, \
   keystore-password=password1, alias=appserver)
   
   /subsystem=undertow/server=default-server/https-listener=https:add( \
   socket-binding=https, security-realm=HTTPSRealm)
   
   run-batch

   警告

   红帽建议显式禁用 SSLv2、SSLv3 和 TLSv1.0，以便在所有受影响的软件包中明确禁用 TLSv1.1 或 TLSv1.2。

2. 重新加载服务器以使更改生效。

   Copy to Clipboard Toggle word wrap

   reload

1. 为客户端和服务器生成存储
2. 导出客户端和服务器的证书
3. 将证书导入而不是信任存储中
4. 在使用服务器的密钥存储和信任存储的服务器上定义安全域，如 CertificateRealm
5. 更新 undertow 子系统，以使用安全域并需要客户端验证

1. 在 master 域控制器上创建 SSL/TLS 安全域。

   您需要在配置为使用 NSS 数据库作为 PKCS11 供应商的 master 域控制器上创建 SSL/TLS 安全域。

   Security Realm 示例

   Copy to Clipboard Toggle word wrap

   <security-realm name="HTTPSRealm">
       <server-identities>
           <ssl>
               <engine enabled-protocols="TLSv1.1"/>
               <keystore provider="PKCS11" keystore-password="strongP@ssword1"/>
           </ssl>
       </server-identities>
       <authentication>
           <local default-user="\$local"/>
           <properties path="https-users.properties" relative-to="jboss.domain.config.dir"/>
       </authentication>
   </security-realm>

2. 在每个主机控制器上创建 SSL/TLS 安全域。

   您需要创建带有 SSL/TLS 信任存储进行身份验证的安全域。

   Security Realm 示例

   Copy to Clipboard Toggle word wrap

   <security-realm name="HTTPSRealm">
     <authentication>
       <truststore provider="PKCS11" keystore-password="strongP@ssword1"/>
     </authentication>
   </security-realm>

   注意

   您需要在每个主机上重复此过程。

3. 保护 master 域控制器上的原生接口。

   您需要确保 master 域控制器上的原生接口使用您刚才创建的安全域进行保护。

   原生接口示例

   Copy to Clipboard Toggle word wrap

   <management-interfaces>
     ...
     <native-interface security-realm="HTTPSRealm">
       <socket interface="management" port="${jboss.management.native.port:9999}"/>
      </native-interface>
   </management-interfaces>

4. 使用每个主机控制器上的 SSL/TLS 域连接到主域控制器。

   您需要更新用于连接主域控制器的安全域。此更改必须在主机控制器的配置文件中直接完成，如 host.xml 或 host-slave.xml，而服务器没有运行。

   主机控制器配置文件示例

   Copy to Clipboard Toggle word wrap

   <domain-controller>
     <remote security-realm="HTTPSRealm">
       <discovery-options>
         <static-discovery name="primary" protocol="${jboss.domain.master.protocol:remote}" host="${jboss.domain.master.address}" port="${jboss.domain.master.port:9999}"/>
       </discovery-options>
     </remote>
   </domain-controller>

5. 更新每个服务器如何连接其主机控制器。

   您还需要更新每个服务器如何连接其主机控制器。

   服务器配置示例

   Copy to Clipboard Toggle word wrap

   <server name="my-server" group="my-server-group">
     <ssl ssl-protocol="TLS" trust-manager-algorithm="SunX509" truststore-type="PKCS11" truststore-password="strongP@ssword1"/>
   </server>

6. 在受管域中配置双向 SSL/TLS。

   要启用双向 SSL/TLS，请在 master 域控制器的 SSL/TLS 安全域中添加信任存储身份验证方法，请执行以下管理 CLI 命令：

   Copy to Clipboard Toggle word wrap

   /host=master/core-service=management/security-realm=HTTPSRealm/authentication=truststore:add(keystore-provider="PKCS11",keystore-password="strongP@ssword1")
   
   reload --host=master

   您还需要更新每个主机控制器的安全域使其包含 SSL 服务器身份，请执行以下管理 CLI 命令：

   Copy to Clipboard Toggle word wrap

   /host=host1/core-service=management/security-realm=HTTPSRealm/server-identity=ssl:add(keystore-provider=PKCS11, keystore-password="strongP@ssword1",enabled-protocols=["TLSv1.1"])
   
   reload --host=host1

   重要

   您还需要确保每个主机的证书导入到域控制器的信任存储中。

1. 创建安全域。

   在本例中，使用 UserRoles 登录模块创建一个安全域，但也可以使用其他登录模块：

   Copy to Clipboard Toggle word wrap

   /subsystem=security/security-domain=UsersLMDomain:add(cache-type=default)
   
   /subsystem=security/security-domain=UsersLMDomain/authentication=classic:add
   
   /subsystem=security/security-domain=UsersLMDomain/authentication=classic/login-module=UsersRoles:add(code=UsersRoles, flag=required,module-options=[("usersProperties"=>"users.properties"),("rolesProperties"=>"roles.properties")])

2. 创建具有 JAAS 身份验证的安全域。

   Copy to Clipboard Toggle word wrap

   /core-service=management/security-realm=SecurityDomainAuthnRealm:add
   
   /core-service=management/security-realm=SecurityDomainAuthnRealm/authentication=jaas:add(name=UsersLMDomain)

3. 更新 http-interface 管理界面，以使用新的安全域。

   Copy to Clipboard Toggle word wrap

   /core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=SecurityDomainAuthnRealm)

4. 可选： 分配组成员资格。

   属性 assign-groups 决定在安全域中加载的用户成员资格信息是否用于安全域中的组分配。当设置为 true 时，这个组分配用于基于角色的访问控制(RBAC)。

   Copy to Clipboard Toggle word wrap

   /core-service=management/security-realm=SecurityDomainAuthnRealm/authentication=jaas:write-attribute(name=assign-groups,value=true)

1. 打开安全域的详细视图。

   • 单击屏幕顶部的 Configuration。
   • 在受管域中，从左上角的 Profile 选择框中选择要修改的配置文件。
   • 单击 Subsystems，然后单击 Security。
   • 单击要编辑的安全域，然后单击 View。

2. 导航到 Auditing 配置。

   点屏幕左侧的 Audit。

   配置区域分为两个区域：提供程序模块和详细信息。provider 模块是配置的基本单元。安全域可以包含多个提供程序模块，分别可以包含属性和选项。

3. 添加 provider 模块。

   点 Add，并使用 provider 模块的 classname 填写 Code 部分。另外，使用所需名称填写 Name 部分。

4. 验证模块是否正常工作。

   audit 模块的目标是提供一种监控 security 子系统中的事件的方法。这种监控可以通过写入日志文件、电子邮件通知或其他可测量审计机制来实现。

   例如，JBoss EAP 默认包含 org.jboss.security.audit.providers.LogAuditProvider 模块。如果按照上述步骤启用，此审计模块会将安全通知写入 EAP_HOME 目录中的日志子文件夹中的 audit.log 文件中。

   要验证以上步骤是否在 org.jboss.security.audit.providers.LogAuditProvider 上下文中工作，请执行可能触发通知的操作，然后检查审计日志文件。

5. 可选： 添加、编辑或删除模块选项。

   要向模块添加选项，请点击 Modules 列表中的条目，然后在页面的 Details 部分中选择 Module Options 选项卡。单击 Add，然后提供 选项的键和值。

   要编辑已存在的选项，请点 Remove 将其删除，然后点 Add 来再次添加它，并带有正确的选项。

通过 adduser 脚本添加用户：

1. 运行 add-user.sh 或 add-user.bat 命令。
2. 选择是否添加管理用户或应用程序用户。
3. 选择用户将添加到的域。默认情况下，唯一可用的域是 ManagementRealm 和 ApplicationRealm。如果添加了自定义域，您可以手动输入其名称。
4. 出现提示时，输入所需的用户名、密码和可选角色。这些更改将写入到安全域的每个属性文件中。

1. 以交互方式启动 Password Vault 命令。

   启动操作系统的命令行界面，并运行 EAP_HOME/bin/vault.sh （在 Red Hat Enterprise Linux 和类似的操作系统上）或 EAP_HOME\bin\vault.bat （在 Microsoft Windows Server 上）。键入 0 ( 零)启动新的交互式会话。

2. 完成提示的参数。

   按照提示输入所需参数。这些值必须与创建密码 Vault 时提供的匹配。

   注意

   密钥存储密码必须以纯文本形式提供，而不是屏蔽的格式。

3. 完成有关敏感字符串的提示参数。

   输入 0 （零）开始存储敏感字符串。按照提示输入所需参数。

4. 记录有关已屏蔽字符串的信息。

   消息会输出到标准输出，显示 vault 块、属性名称、屏蔽的字符串，以及有关在配置中使用字符串的建议。在安全的位置记录此信息。示例输出的提取如下：

   Copy to Clipboard Toggle word wrap

   Vault Block:ds_Example1
   Attribute Name:password
   Configuration should be done as follows:
   VAULT::ds_Example1::password::1

5. 退出交互式控制台。

   键入 2 ( 两)退出交互式控制台。