1.2.4. 静默身份验证
JBoss EAP 的默认安装包含一种为本地管理 CLI 用户提供静默身份验证的方法。这使得本地用户无需用户名或密码身份验证便可访问管理 CLI。启用此功能是为了方便起见,也可帮助本地用户在无需身份验证的情况下运行管理 CLI 脚本。这是一个非常有用的功能,因为本地配置的访问通常也让用户能够添加自己的用户详细信息或者以其他方式禁用安全检查。
在需要进行更大的安全控制时,可以禁用为本地用户提供静默身份验证的便利性。这可以通过移除 配置文件的 security-realm 属性中的 local 元素来实现。这适用于单机实例和受管域。
重要
只有完全理解对 JBoss EAP 实例及其配置的影响时,才应移除本地元素。
使用 elytron 子系统时删除静默身份验证:
[standalone@localhost:9990 /] /subsystem=elytron/sasl-authentication-factory=managenet-sasl-authentication:read-resource
{
"outcome" => "success",
"result" => {
"mechanism-configurations" => [
{
"mechanism-name" => "JBOSS-LOCAL-USER",
"realm-mapper" => "local"
},
{
"mechanism-name" => "DIGEST-MD5",
"mechanism-realm-configurations" => [{"realm-name" => "ManagementRealm"}]
}
],
"sasl-server-factory" => "configured",
"security-domain" => "ManagementDomain"
}
}
/subsystem=elytron/sasl-authentication-factory=temp-sasl-authentication:list-remove(name=mechanism-configurations,index=0)
reload
在使用旧安全域时移除静默身份验证:
/core-service=management/security-realm=REALM_NAME/authentication=local:remove