第 3 章 安全存储凭证

流程

1. 使用 WildFly Elytron Tool 创建凭据存储存储文件。有关此信息，请参阅使用 WildFly Elytron 工具创建和修改凭证存储。

2. 分发存储文件。例如，将 文件分发到每一主机控制器，例如使用 scp，或者将它存储在 NFS 中，并将它用于所有创建的凭据存储资源。

   注意

   对于存储在 NFS 中并且由多个主机控制器的资源使用的凭据存储文件，您必须以只读模式使用凭据存储来维护一致性。此外，为凭据存储文件提供绝对路径。

   /profile=<profile_name>/subsystem=elytron/credential-store=<store_name>:add(location=<absolute_path_to_store_keystore>,credential-reference={clear-text="<store_password>"},create=false,modifiable=false)

   Copy to Clipboard Toggle word wrap

3. 可选： 如果您需要在配置集中定义凭证存储资源，请使用存储文件来创建资源。

   从存储文件创建凭据存储资源的示例：

   /profile=<profile_name>/subsystem=elytron/credential-store=<store_name>:add(location=<path_to_store_file>,credential-reference={clear-text="<store_password>"})

   Copy to Clipboard Toggle word wrap

4. 可选：为主机控制器创建凭据存储资源。

   为主机控制器创建凭据存储资源的示例：

   /host=<host_controller_name>/subsystem=elytron/credential-store=<store_name>:add(location=<path_to_store_file>,credential-reference={clear-text="<store_password>"})

   Copy to Clipboard Toggle word wrap

1. 登录管理控制台并单击 Runtime 选项卡。
2. 选择服务器并选择 Security(Elytron) Stores 并点 View。
3. 选择凭据存储并单击 Aliases 以编辑别名。

1. 创建扩展服务提供商接口(SPI) CredentialStoreSpi 抽象类的类。
2. 创建实施 Java 安全 提供程序 的类。提供商必须添加自定义凭据存储类作为服务。

3. 创建包含凭据存储和提供程序类的模块，并将其添加到 JBoss EAP 中，该模块依赖于 org.wildfly.security.elytron。例如：

   module add --name=org.jboss.customcredstore --resources=/path/to/customcredstoreprovider.jar --dependencies=org.wildfly.security.elytron --slot=main

   Copy to Clipboard Toggle word wrap

4. 为您的供应商创建供应商加载程序。例如：

   /subsystem=elytron/provider-loader=myCustomLoader:add(class-names=[org.wildfly.security.mycustomcredstore.CustomElytronProvider],module=org.jboss.customcredstore)

   Copy to Clipboard Toggle word wrap

5. 使用自定义实施创建凭据存储。

   注意

   确保您指定了正确的 供应商和 类型 值。type 的值是在您的供应商类中用于将自定义凭证存储类添加为服务。

   例如：

   /subsystem=elytron/credential-store=my_store:add(providers=myCustomLoader,type=CustomKeyStorePasswordStore,location="cred_stores/my_store.jceks",relative-to=jboss.server.data.dir,credential-reference={clear-text=supersecretstorepassword},create=true)

   Copy to Clipboard Toggle word wrap

   另外，如果您创建了多个供应商，您可以使用另一个供应商 loader 和 other-providers 指定额外的供应商。这可让您为新类型的凭证进行其他额外实施。这些指定的其他提供程序可在自定义凭据存储的 初始化 方法中自动访问，作为 Provider[] 参数。例如：

   /subsystem=elytron/credential-store=my_store:add(providers=myCustomLoader,other-providers=myCustomLoader2,type=CustomKeyStorePasswordStore,location="cred_stores/my_store.jceks",relative-to=jboss.server.data.dir,credential-reference={clear-text=supersecretstorepassword},create=true)

   Copy to Clipboard Toggle word wrap

1. 确保您的环境 已配置为使用 BouncyCastle 提供商。

2. 定义 BCFKS 密钥存储.如果此密钥存储已存在，请继续下一步。

   $ keytool -genkeypair -alias ALIAS -keyalg RSA -keysize 2048 -keypass PASSWORD -keystore KEYSTORE -storetype BCFKS -storepass PASSWORD

   Copy to Clipboard Toggle word wrap
   重要

   密钥存储的 keypass 和 storepass 必须相同，才能在 elytron 子系统中定义 FIPS 凭据。

3. 为凭据存储生成 secret 密钥。

   $ keytool -genseckey -alias KEY_ALIAS -keyalg AES -keysize 128 -keystore KEYSTORE -storetype BCFKS -storepass PASSWORD -keypass PASSWORD

   Copy to Clipboard Toggle word wrap

4. 使用以下命令，使用 WildFly Elytron 工具定义凭证存储：

   $ EAP_HOME/bin/elytron-tool.sh credential-store -c -a ALIAS -x ALIAS_PASSWORD -p PASSWORD -l KEYSTORE -u "keyStoreType=BCFKS;external=true;keyAlias=KEY_ALIAS;externalPath=CREDENTIAL_STORE"

   Copy to Clipboard Toggle word wrap