如何配置服务器安全性

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Other Settings，再点击 View。
3. 选择 SSL → Security Domain 并使用 Add 按钮配置新的安全域。

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Security Realms，再点击 View。
3. 从 Security Realm 选项卡中选择适当的安全域类型，然后单击 Add 以配置新的安全域。

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Mappers / Decoders，再点击 View。
3. 点 Role Decoder，选择适当的角色解码器类型，然后点 Add 配置新角色解码器。

流程

1. 在 elytron 子系统中，使用管理 CLI 添加 source-address-role-decoder。对于 source-address-role-decoder，您必须为用户指定一个 IP 地址和至少一个角色。

   将 source-address-role-decoder 添加到 mappers 元素：

   /subsystem=elytron/source-address-role-decoder=decoder1:add(source-address="10.10.10.10", roles=["Administrator"])

   示例中显示了一个配置的 source-address-role-decoder，名为 decoder1。当客户端尝试连接到服务器时，elytron 子系统使用 source-address-role-decoder 检查客户端的 IP 地址是否与 pattern 属性或 source-address 属性中指定的 IP 地址匹配。在上例中，source-address-role-decoder 会检查客户端的 IP 地址是否为 10.10.10.10。如果客户端的 IP 地址为 10.10.10.10，则 elytron 使用 roles 属性将 Administrator 角色分配给用户。

   注意

   您可以配置 source-address-role-decoder，将特定的角色分配给需要从不同网络建立连接的用户。

2. 在 security-domain 中，引用 role-decoder 属性中的已配置 source- address- role-decoder。这可确保 Elytron 安全域在做出授权决策时使用 source-address-role-decoder。

   在 role-decoder 属性中引用配置的 source-address-role-decoder、解码r1 的示例：

   /subsystem=elytron/security-domain=domainName:add(role-decoder=decoder1,default-realm=realmName,realms=[{realm=realmName}])

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Mappers / Decoders，再点击 View。
3. 单击 Role Mapper，选择适当的角色映射程序类型，然后单击 Add 以配置新角色映射程序。

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Mappers / Decoders，再点击 View。
3. 点 Principal Decoder，选择适当的主体解码器类型，然后点 Add 来配置新的主体解码器。

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Other Settings，再点击 View。
3. 点 Authentication → Authentication Configuration，再点 Add 来配置新的身份验证配置。

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Other Settings，再点击 View。
3. 点 Authentication → Authentication Context，然后点击 Add 来配置新的身份验证上下文。

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Factories / Transformers，再单击 View。
3. 单击 HTTP Factories、SASL 或 Other factorsies，选择相应的工厂类型，然后单击 Add 来配置新的工厂。

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Other Settings，再点击 View。
3. 点 Stores → Key Store，再点 Add 来配置一个新的密钥存储。

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Security(Elytron) → Other Settings，再点击 View。
3. 点 SSL → Key Manager 并点 Add 来配置新的密钥管理器。

流程

1. 配置 密钥存储。

   /subsystem=elytron/key-store=httpsKS:add(path=keystore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)

   注意

   以上命令使用 relative-to 来引用密钥存储文件的位置。或者，您也可以指定 路径中的 密钥存储的完整路径，省略 relative-to。

   如果密钥存储文件尚不存在，则可以使用下列命令来生成示例密钥对：

   /subsystem=elytron/key-store=httpsKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
   
   /subsystem=elytron/key-store=httpsKS:store()

2. 创建 key-manager 和 server-ssl-context。

   /subsystem=elytron/key-manager=httpsKM:add(key-store=httpsKS,credential-reference={clear-text=secret})
   
   /subsystem=elytron/server-ssl-context=httpsSSC:add(key-manager=httpsKM,protocols=["TLSv1.2"])

   重要

   红帽没有指定上一命令中的 algorithm 属性，因为 Elytron 子系统使用 KeyManagerFactory.getDefaultAlgorithm（） 来确定算法。但是，您可以指定 algorithm 属性。要指定 algorithm 属性，您需要知道您使用的 JDK 提供了哪些关键管理器算法。例如，使用 SunJSSE 的 JDK 提供了 PKIX 和 SunX509 算法。

   在上一命令中，您可以指定 SunX509 作为密钥管理器算法属性。

   您还需要确定您要支持的 HTTPS 协议。上面的示例命令使用 TLSv1.2。

   您可以使用 cipher-suite-filter 指定密码套件，使用-cipher-suites-order 参数来遵循服务器密码套件顺序。use-cipher-suites-order 属性默认设置为 true。这与旧的 security 子系统行为不同，它默认为遵循客户端密码套件顺序。

3. 在管理界面中启用 HTTPS。

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=httpsSSC)
   
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

4. 重新加载 JBoss EAP 实例。

   reload

流程

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 进入到 Runtime，单击适当的服务器名称。
3. 点服务器名称旁边的 View。
4. 点 HTTP Manageme…​ 以打开 HTTP Management Interface 配置页面。

5. 点启用 SSL 以启动向导。

   向导可以帮助您在以下场景中启用 SSL：

   • 您需要创建证书存储并生成自签名证书。
   • 您需要从 Let 的加密证书颁发机构获取证书。
   • 您已将证书存储在文件系统中，但没有密钥存储配置。
   • 您已经拥有使用有效证书存储的密钥存储配置。

流程

1. 生成客户端证书：

   $ keytool -genkeypair -alias client -keyalg RSA -keysize 1024 -validity 365 -keystore client.keystore.jks -dname "CN=client" -keypass secret -storepass secret

2. 导出客户端证书：

   $ keytool -exportcert  -keystore client.keystore.jks -alias client -keypass secret -storepass secret -file /path/to/client.cer

流程

1. 获取或生成密钥存储。

   在 JBoss EAP 中启用单向 SSL/TLS 之前，您必须获取或生成您计划使用的密钥存储、信任存储和证书。若要生成一组密钥存储、truststores 和证书的示例，可使用以下命令：

   1. 配置 密钥存储。

      /subsystem=elytron/key-store=twoWayKS:add(path=server.keystore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)
      
      /subsystem=elytron/key-store=twoWayKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
      
      /subsystem=elytron/key-store=twoWayKS:store()

      注意

      以上命令使用 relative-to 来引用密钥存储文件的位置。或者，您也可以指定 路径中的 密钥存储的完整路径，省略 relative-to。

   2. 导出您的服务器证书。

      /subsystem=elytron/key-store=twoWayKS:export-certificate(alias=localhost,path=/path/to/server.cer,pem=true)

   3. 为服务器信任 存储 创建一个密钥存储，并将客户端证书导入到服务器信任存储中。

      注意

      以下示例没有信任链的验证证书。如果您使用可信证书，则在没有问题的情况下可以验证客户端证书。

      /subsystem=elytron/key-store=twoWayTS:add(path=server.truststore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)
      
      /subsystem=elytron/key-store=twoWayTS:import-certificate(alias=client,path=/path/to/client.cer,credential-reference={clear-text=secret},trust-cacerts=true,validate=false)
      
      /subsystem=elytron/key-store=twoWayTS:store()

2. 为服务器密钥存储和 truststore 配置 key-manager、trust-manager 和 server-ssl-context。

   /subsystem=elytron/key-manager=twoWayKM:add(key-store=twoWayKS,credential-reference={clear-text=secret})
   
   /subsystem=elytron/trust-manager=twoWayTM:add(key-store=twoWayTS)
   
   /subsystem=elytron/server-ssl-context=twoWaySSC:add(key-manager=twoWayKM,protocols=["TLSv1.2"],trust-manager=twoWayTM,want-client-auth=true,need-client-auth=true)

   重要

   红帽没有在前面的命令中指定 algorithm 属性，因为 Elytron 子系统使用 KeyManagerFactory.getDefaultAlgorithm（） 和 TrustManagerFactory.getDefaultAlgorithm（） 来确定算法。但是，您可以指定 algorithm 属性。要指定 algorithm 属性，您需要知道您使用的 JDK 提供了哪些关键管理器算法。例如，使用 SunJSSE 的 JDK 提供了 PKIX 和 SunX509 算法。

   在上一命令中，您可以指定 SunX509 作为密钥管理器算法属性，将 PKIX 指定为信任管理器算法属性。

   您还需要确定您要支持的 HTTPS 协议。上面的示例命令使用 TLSv1.2。

   您可以使用 cipher-suite-filter 指定密码套件，使用-cipher-suites-order 参数来遵循服务器密码套件顺序。use-cipher-suites-order 属性默认设置为 true。这与旧的 security 子系统行为不同，它默认为遵循客户端密码套件顺序。

3. 在管理界面中启用 HTTPS。

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=twoWaySSC)
   
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

4. 重新加载 JBoss EAP 实例。

   reload

   注意

   要完成双向 SSL/TLS 身份验证，您需要将服务器证书导入到客户端信任存储中，并将您的客户端配置为显示客户端证书。

5. 将您的客户端配置为使用客户端证书。

   您需要将客户端配置为向服务器提供可信客户端证书，以完成双向 SSL/TLS 身份验证。例如，如果使用浏览器，您需要将可信证书导入到浏览器的信任存储中。

   这会导致强制双向 SSL/TLS 身份验证，而不将原始身份验证改为服务器管理。

   如果要更改原始身份验证方法，请参阅 JBoss EAP 的 How to Configure Identity Management 中的 Configure Authentication with Certificates 部分。

流程

1. 创建用于存储用户名和密码的属性文件。

   可以稍后向文件中添加用户名和密码，但现在您需要创建一个名为 https-mgmt-users.properties 的空文件，并将它保存到该位置。以下示例显示使用 touch 命令，但也可以使用其他机制，如文本编辑器。

   示例：使用 touch 命令创建一个空文件

   $ touch EAP_HOME/standalone/configuration/https-mgmt-users.properties

2. 接下来，使用以下管理 CLI 命令创建名为 ManagementRealmHTTPS 的新安全域：

   /core-service=management/security-realm=ManagementRealmHTTPS:add
   
   /core-service=management/security-realm=ManagementRealmHTTPS/authentication=properties:add(path=https-mgmt-users.properties,relative-to=jboss.server.config.dir)

3. 将用户添加到属性文件中。

   此时，您已创建一个新的安全域，并将其配置为使用属性文件进行身份验证。现在，您必须使用 add-user 脚本将用户添加到属性文件，该文件位于 EAP_HOME/bin/ 目录中。在运行 add-user 脚本时，您必须分别使用 -up 和 -r 选项指定属性文件和安全域。在那里，add-user 脚本将以互动方式提示您输入用户名和密码信息，以便存储在 https-mgmt-users.properties 文件中。

   $ EAP_HOME/bin/add-user.sh -up EAP_HOME/standalone/configuration/https-mgmt-users.properties -r ManagementRealmHTTPS
   ...
   Enter the details of the new user to add.
   Using realm 'ManagementRealmHTTPS' as specified on the command line.
   ...
   Username : httpUser
   Password requirements are listed below. To modify these restrictions edit the add-user.properties configuration file.
    - The password must not be one of the following restricted values {root, admin, administrator}
    - The password must contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)
    - The password must be different from the username
   ...
   Password :
   Re-enter Password :
   About to add user 'httpUser' for realm 'ManagementRealmHTTPS'
   ...
   Is this correct yes/no? yes
   ..
   Added user 'httpUser' to file 'EAP_HOME/configuration/https-mgmt-users.properties'
   ...
   Is this new user going to be used for one AS process to connect to another AS process?
   e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.
   yes/no? no

   重要

   在配置使用属性文件存储用户名和密码的安全域时，建议每个域都使用一个不与其他域共享的不同属性文件。

流程

1. 使用以下管理 CLI 命令，将管理接口配置为使用密钥存储：

   对于参数文件，密码和别名值必需是来自创建一个密钥存储来保护管理接口安全步骤。

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:add(keystore-path=identity.jks,keystore-relative-to=jboss.server.config.dir,keystore-password=password1, alias=appserver)

   注意

   要更新密钥存储密码，请使用以下 CLI 命令：

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:write-attribute(name=keystore-password,value=newpassword)

2. 重新载入服务器的配置：

   reload

   重新载入服务器配置后，日志应包含以下内容，只有在文本前显示启动的服务数量：

   13:50:54,160 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0061: Http management interface listening on https://127.0.0.1:9993/management
   13:50:54,162 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0052: Admin console listening on https://127.0.0.1:9993

1. 创建由适当用户拥有的目录，以存放 NSS 数据库。

   创建 NSS 数据库目录的命令示例

   $ mkdir -p /usr/share/jboss-as/nssdb
   $ chown jboss /usr/share/jboss-as/nssdb
   $ modutil -create -dbdir /usr/share/jboss-as/nssdb

   注意
   • DBM 文件格式，RHEL 7 及更早版本的默认数据库格式已被弃用。NSS 现在默认使用 SQL。
   • jboss 用户只是一个示例。使用操作系统上的活跃用户替换它来运行 JBoss EAP。

2. 创建 NSS 配置文件： /usr/share/jboss-as/nss_pkcsll_fips.cfg。

   它必须指定：

   • 一个名称
   • NSS 库所在的目录

   • 上一步中创建的 NSS 数据库的目录

     示例： nss_pkcsll_fips.cfg

     name = nss-fips
     nssLibraryDirectory=/usr/lib64
     nssSecmodDirectory=/usr/share/jboss-as/nssdb
     nssDbMode = readOnly
     nssModule = fips

     注意

     如果您没有运行 64 位版本的 Red Hat Enterprise Linux 6，那么 nss1028Directory 设为 /usr/lib，而不是 /usr/lib64。

3. 编辑 Java 安全配置文件。此配置文件会影响整个 JVM，并可使用以下任一方式进行定义。

   • JDK 中提供了默认配置文件 java.security。如果没有指定其他安全配置文件，则使用此文件。有关此文件的位置，请查看 JDK 供应商的文档。

   • 定义自定义 Java 安全配置文件，并使用 -Djava.security.properties=/path/to/java.security.properties 来引用。以这种方式引用时，它会覆盖默认安全文件中的设置。在需要不同安全设置的同一主机上运行的多个 JVM 时，此选项很有用。

     在您的 Java 安全配置文件中添加以下行：

     示例： java.security

     security.provider.1=sun.security.pkcs11.SunPKCS11 /usr/share/jboss-as/nss_pkcsll_fips.cfg

     注意

     上述行中指定的 nss_pkcsll_fips.cfg 配置文件是上一步中创建的文件。

     您还需要从以下位置更新配置文件中的以下链接：

     security.provider.5=com.sun.net.ssl.internal.ssl.Provider

     至

     security.provider.5=com.sun.net.ssl.internal.ssl.Provider SunPKCS11-nss-fips

     重要

     此文件中的任何其他 security.provider.X 行（如 security.provider.2）都必须增加其 X 的值，以确保此 provider 具有优先权。

4. 在您在上一步中创建的 NSS 数据库目录上运行 modutil 命令以启用 FIPS 模式。

   modutil -fips true -dbdir /usr/share/jboss-as/nssdb

   注意

   此时您可能会收到一个安全库错误，要求您为某些 NSS 共享对象重新生成库签名。

5. 在 FIPS 令牌中设置密码。

   令牌的名称必须是 NSS FIPS 140-2 Certificate DB。

   modutil -changepw "NSS FIPS 140-2 Certificate DB" -dbdir /usr/share/jboss-as/nssdb

   重要

   用于 FIPS 令牌的密码必须是 FIPS 兼容密码。如果密码不够强，您可能会收到错误： ERROR: Unable to change password on token "NSS FIPS 140-2 Certificate DB"。

6. 使用 NSS 工具创建证书。

   示例命令

   $ certutil -S -k rsa -n undertow -t "u,u,u" -x -s "CN=localhost, OU=MYOU, O=MYORG, L=MYCITY, ST=MYSTATE, C=MY" -d /usr/share/jboss-as/nssdb

7. 运行以下命令，验证 JVM 是否可以从 PKCS11 密钥存储读取私钥：

   $ keytool -list -storetype pkcs11

1. 添加 FIPS 140-2 兼容加密密钥 存储、key-manager 和 ssl-context。

   /subsystem=elytron/key-store=fipsKS:add(type=PKCS11,provider-name="SunPKCS11-nss-fips",credential-reference={clear-text="P@ssword123"})
   
   /subsystem=elytron/key-manager=fipsKM:add(key-store=fipsKS,algorithm="SunX509",provider-name=SunPKCS11-nss-fips,credential-reference={clear-text="P@ssword123"})
   
   /subsystem=elytron/server-ssl-context=fipsSSC:add(key-manager=fipsKM,protocols=["TLSv1.1"])

2. 更新 undertow 子系统，以使用新的 ssl-context。

   注意

   https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context,value=fipsSSC)
   run-batch
   
   reload

1. 配置 Undertow 以使用 SSL/TLS。

   注意

   以下命令必须在批处理模式下运行，或者在添加 ssl 服务器身份后重新加载服务器。下例中使用了批处理模式。

   batch
   
   /core-service=management/security-realm=HTTPSRealm:add
   
   /core-service=management/security-realm=HTTPSRealm/server-identity=ssl:add(keystore-provider=PKCS11, keystore-password="strongP@ssword1")
   
   /subsystem=undertow/server=default-server/https-listener=https:add(socket-binding=https, security-realm=HTTPSRealm, enabled-protocols="TLSv1.1")
   
   run-batch

   为应用设置 SSL/TLS部分介绍了将 Undertow 配置为 SSL/TLS 的基本信息。

2. 配置 Undertow 使用的加密套件。

   配置了 SSL/TLS 后，您需要将 https 侦听程序和安全域配置为启用了特定的密码套件：

   所需的加密套件

   SSL_RSA_WITH_3DES_EDE_CBC_SHA, SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_anon_WITH_AES_128_CBC_SHA, TLS_ECDH_anon_WITH_AES_256_CBC_SHA

   关于为 https 侦听程序启用加密套件的基础知识，请参阅关于加密套件。在 https 监听器上启用密码套件：

   在 Https Listener 上启用 Cipher Suites 的命令示例

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=enabled-cipher-suites,value="SSL_RSA_WITH_3DES_EDE_CBC_SHA,SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_RSA_WITH_AES_128_CBC_SHA,TLS_ECDH_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_anon_WITH_AES_128_CBC_SHA,TLS_ECDH_anon_WITH_AES_256_CBC_SHA")

3. 在安全域中启用密码套件。

   在 Security Realm 上启用 Cipher Suites 的命令示例

   /core-service=management/security-realm=HTTPSRealm/server-identity=ssl:write-attribute(name=enabled-cipher-suites, value=[SSL_RSA_WITH_3DES_EDE_CBC_SHA, SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_anon_WITH_AES_128_CBC_SHA, TLS_ECDH_anon_WITH_AES_256_CBC_SHA])

1. 使用以下内容为管理 CLI 创建 XML 配置文件：

   示例： cli-wildfly-config.xml

   <configuration>
     <authentication-client xmlns="urn:elytron:client:1.2">
       <key-stores>
         <key-store name="truststore" type="BCFKS">
           <file name="${truststore.location}" />
           <key-store-clear-password password="${password}" />
         </key-store>
         <key-store name="keystore" type="BCFKS">
           <file name="${keystore.location}" />
           <key-store-clear-password password="${password}" />
         </key-store>
       </key-stores>
       <ssl-contexts>
         <ssl-context name="client-cli-context">
           <key-store-ssl-certificate algorithm="PKIX" key-store-name="keystore">
             <key-store-clear-password password="${password"} />
           </key-store-ssl-certificate>
           <trust-store key-store-name="truststore"/>
           <trust-manager algorithm="PKIX">
           </trust-manager>
           <cipher-suite selector="TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CCM,TLS_RSA_WITH_AES_128_CCM"/>
           <protocol names="TLSv1.2"/>
         </ssl-context>
       </ssl-contexts>
       <ssl-context-rules>
         <rule use-ssl-context="client-cli-context"/>
       </ssl-context-rules>
     </authentication-client>
   </configuration>

2. 启动管理 CLI 时，使用 -Dwildfly.config.url 属性将配置文件传递给管理 CLI 脚本。例如：

   $ jboss-cli.sh -Dwildfly.config.url=cli-wildfly-config.xml

1. 添加 FIPS 140-2 兼容加密密钥 存储、key-manager 和 ssl-context。在定义密钥存储时，类型必须是 BCFKS。

   /subsystem=elytron/key-store=fipsKS:add(path=KEYSTORE,relative-to=jboss.server.config.dir,credential-reference={clear-text=STORE_PASSWORD},type="BCFKS")
   
   /subsystem=elytron/key-manager=fipsKM:add(key-store=fipsKS,algorithm="PKIX",credential-reference={clear-text=PASSWORD})
   
   /subsystem=elytron/server-ssl-context=fipsSSC:add(key-manager=fipsKM,protocols=["TLSv1.2"],cipher-suite-filter="TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA256, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CCM,TLS_RSA_WITH_AES_128_CCM")

2. 更新 undertow 子系统，以使用新的 ssl-context。

   注意

   https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context,value=fipsSSC)
   run-batch
   
   reload

1. 在 JBoss EAP 中配置密钥存储。

   /subsystem=elytron/key-store=httpsKS:add(path=/path/to/keystore.jks, credential-reference={clear-text=secret}, type=JKS)

   如果密钥存储文件尚不存在，则可以使用下列命令来生成示例密钥对：

   /subsystem=elytron/key-store=httpsKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
   
   /subsystem=elytron/key-store=httpsKS:store()

2. 配置一个 key-manager，它引用您的 key-store。

   /subsystem=elytron/key-manager=httpsKM:add(key-store=httpsKS,credential-reference={clear-text=secret})

   重要

   红帽没有指定上一命令中的 algorithm 属性，因为 Elytron 子系统使用 KeyManagerFactory.getDefaultAlgorithm（） 来确定算法。但是，您可以指定 algorithm 属性。要指定 algorithm 属性，您需要知道您使用的 JDK 提供了哪些关键管理器算法。例如，使用 SunJSSE 的 JDK 提供了 PKIX 和 SunX509 算法。

   在上一命令中，您可以指定 SunX509 作为密钥管理器算法属性。

3. 配置引用您的 key-manager 的 server-ssl-context。

   /subsystem=elytron/server-ssl-context=httpsSSC:add(key-manager=httpsKM, protocols=["TLSv1.2"])

   重要

   您需要确定您要支持的 SSL/TLS 协议。上面的示例命令使用 TLSv1.2。您可以使用 cipher-suite-filter 参数指定允许哪些密码套件，使用-cipher-suites-order 参数来遵循服务器密码套件顺序。use-cipher-suites-order 属性默认设置为 true。这与旧的 security 子系统行为不同，它默认为遵循客户端密码套件顺序。

   警告

   红帽建议显式禁用 SSLv2、SSLv3 和 TLSv1.0，以便在所有受影响的软件包中明确禁用 TLSv1.1 或 TLSv1.2。

4. 检查并查看 https-listener 是否已配置为使用旧安全域进行 SSL 配置。

   /subsystem=undertow/server=default-server/https-listener=https:read-attribute(name=security-realm)
   {
       "outcome" => "success",
       "result" => "ApplicationRealm"
   }

   以上命令显示 https-listener 被配置为将 ApplicationRealm 传统安全 realm 用于其 SSL 配置。Undertow 无法同时引用传统的安全域和 Elytron 中的 ssl-context，因此您必须删除对旧安全域的引用。

   注意

   如果结果 未定义，则不需要在下一步中删除对安全域的引用。

5. 删除对旧安全域的引用，并更新 https-listener 以使用 Elytron 中的 ssl-context。

   注意

   https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=httpsSSC)
   run-batch

6. 重新加载服务器。

   reload

   现在应用程序启用了单向 SSL/TLS。

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 导航到 Configuration → Subsystems → Web(Undertow) → Server。
3. 单击要配置的服务器的名称。
4. 点 View。
5. 导航到 Listener → HTTPS Listener。

6. 选择要启用 SSL 的监听程序，然后点启用 SSL 以启动向导。

   向导可以帮助您在以下场景中启用 SSL：

   • 您需要创建证书存储并生成自签名证书。
   • 您需要从 Let 的加密证书颁发机构获取证书。
   • 您已将证书存储在文件系统中，但没有密钥存储配置。
   • 您已经拥有使用有效证书存储的密钥存储配置。

1. 获取或生成您的客户端密钥存储：

   $ keytool -genkeypair -alias client -keyalg RSA -keysize 1024 -validity 365 -keystore client.keystore.jks -dname "CN=client" -keypass secret -storepass secret

2. 导出客户端证书：

   keytool -exportcert  -keystore client.keystore.jks -alias client -keypass secret -storepass secret -file /path/to/client.cer

3. 为已部署的应用程序启用双向 SSL/TLS。

   在 JBoss EAP 中，可以使用安全命令或使用 elytron 子系统命令启用部署应用程序的双向 SSL/TLS。

   1. 使用安全命令.

      security enable-ssl-http-server 命令可用于为已部署的应用程序启用双向 SSL/TLS。

      注意

      以下示例没有信任链的验证证书。如果您使用可信证书，则在没有问题的情况下可以验证客户端证书。

      示例：向导使用

      security enable-ssl-http-server --interactive
      
      Please provide required pieces of information to enable SSL:
      Key-store file name (default default-server.keystore): server.keystore.jks
      Password (blank generated): secret
      What is your first and last name? [Unknown]: localhost
      What is the name of your organizational unit? [Unknown]:
      What is the name of your organization? [Unknown]:
      What is the name of your City or Locality? [Unknown]:
      What is the name of your State or Province? [Unknown]:
      What is the two-letter country code for this unit? [Unknown]:
      Is CN=Unknown, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown correct y/n [y]?
      Validity (in days, blank default): 365
      Alias (blank generated): localhost
      Enable SSL Mutual Authentication y/n (blank n): y
      Client certificate (path to pem file): /path/to/client.cer
      Validate certificate y/n (blank y): n
      Trust-store file name (management.truststore): server.truststore.jks
      Password (blank generated): secret
      
      SSL options:
      key store file: server.keystore.jks
      distinguished name: CN=localhost, OU=Unknown, O=Unknown, L=Unknown, ST=Unknown, C=Unknown
      password: secret
      validity: 365
      alias: localhost
      client certificate: /path/to/client.cer
      trust store file: server.trustore.jks
      trust store password: secret
      Server keystore file server.keystore.jks, certificate file server.pem and server.csr file will be generated in server configuration directory.
      Server truststore file server.trustore.jks will be generated in server configuration directory.
      Do you confirm y/n: y

      注意

      执行命令后，管理 CLI 将重新加载服务器。

      要完成双向 SSL/TLS 身份验证，您需要将服务器证书导入到客户端信任存储中，并将您的客户端配置为显示客户端证书。

   2. 使用 elytron 子系统命令.

      在 JBoss EAP 中，您还可以使用 elytron 子系统和 undertow 子系统，为已部署的应用启用双向 SSL/TLS。

      1. 获取或生成密钥存储。

         在 JBoss EAP 中启用双向 SSL/TLS 之前，您必须获取或生成您计划使用的密钥存储、信任存储和证书。

         1. 创建服务器密钥存储：

            /subsystem=elytron/key-store=twoWayKS:add(path=/PATH/TO/server.keystore.jks,credential-reference={clear-text=secret},type=JKS)
            
            /subsystem=elytron/key-store=twoWayKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
            
            /subsystem=elytron/key-store=twoWayKS:store()

            注意

            以上命令使用了到密钥存储的绝对路径。或者，您可以使用 relative-to 属性来指定基础目录变量，以及 path 指定相对路径。

            /subsystem=elytron/key-store=twoWayKS:add(path=server.keystore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)

         2. 导出服务器证书：

            /subsystem=elytron/key-store=twoWayKS:export-certificate(alias=localhost,path=/path/to/server.cer,pem=true)

      2. 为服务器信任存储创建密钥存储，并将客户端证书导入到服务器信任存储中。

         注意

         以下示例没有信任链的验证证书。如果您使用可信证书，则在没有问题的情况下可以验证客户端证书。

         /subsystem=elytron/key-store=twoWayTS:add(path=/path/to/server.truststore.jks,credential-reference={clear-text=secret},type=JKS)
         
         /subsystem=elytron/key-store=twoWayTS:import-certificate(alias=client,path=/path/to/client.cer,credential-reference={clear-text=secret},trust-cacerts=true,validate=false)
         
         /subsystem=elytron/key-store=twoWayTS:store()

      3. 配置 key-manager，它引用您的密钥存储 key-store。

         /subsystem=elytron/key-manager=twoWayKM:add(key-store=twoWayKS, credential-reference={clear-text=secret})

         重要

         红帽没有指定上一命令中的 algorithm 属性，因为 Elytron 子系统使用 KeyManagerFactory.getDefaultAlgorithm（） 来确定算法。但是，您可以指定 algorithm 属性。要指定 algorithm 属性，您需要知道您使用的 JDK 提供了哪些关键管理器算法。

         例如，使用 SunJSSE 的 JDK 提供了 PKIX 和 SunX509 算法。

         在上一命令中，您可以指定 SunX509 作为密钥管理器算法属性。

      4. 配置一个 trust-manager，它引用您的信任存储 key-store。

         /subsystem=elytron/trust-manager=twoWayTM:add(key-store=twoWayTS)

         重要

         红帽没有在上一个命令中指定 algorithm 属性，因为 Elytron 子系统使用 TrustManagerFactory.getDefaultAlgorithm（） 来确定算法。但是，您可以指定 algorithm 属性。要指定 algorithm 属性，您需要知道您使用的 JDK 提供了哪些信任管理器算法。例如，使用 SunJSSE 的 JDK 提供了 PKIX 和 SunX509 算法。

         在上一命令中，您可以指定 PKIX 作为信任管理器算法属性。

      5. 配置一个 server-ssl-context，它引用您的 key-manager、trust-manager 并启用客户端身份验证：

         /subsystem=elytron/server-ssl-context=twoWaySSC:add(key-manager=twoWayKM, protocols=["TLSv1.2"], trust-manager=twoWayTM, need-client-auth=true)

         重要

         您需要确定您要支持的 SSL/TLS 协议。上面的示例命令使用 TLSv1.2。您可以使用 cipher-suite-filter 参数指定允许哪些密码套件，使用-cipher-suites-order 参数来遵循服务器密码套件顺序。use-cipher-suites-order 属性默认设置为 true。这与旧的 security 子系统行为不同，它默认为遵循客户端密码套件顺序。

         警告

         红帽建议显式禁用 SSLv2、SSLv3 和 TLSv1.0，以便在所有受影响的软件包中明确禁用 TLSv1.1 或 TLSv1.2。

      6. 检查并查看 https-listener 是否已配置为使用旧安全域进行 SSL 配置。

         /subsystem=undertow/server=default-server/https-listener=https:read-attribute(name=security-realm)
         {
             "outcome" => "success",
             "result" => "ApplicationRealm"
         }

         以上命令显示 https-listener 被配置为将 ApplicationRealm 传统安全 realm 用于其 SSL 配置。Undertow 无法同时引用 elytron 子系统中的传统安全域和 ssl-context。因此，您必须移除对旧安全域的引用。

         注意

         如果结果 未定义，则不需要在下一步中删除对安全域的引用。

      7. 删除对旧安全域的引用，并更新 https-listener 以使用 Elytron 中的 ssl-context。

         注意

         https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

         batch
         /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
         /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=twoWaySSC)
         run-batch

      8. 重新加载服务器。

         reload

         注意

         要完成双向 SSL/TLS 身份验证，您需要将服务器证书导入到客户端信任存储中，并将您的客户端配置为显示客户端证书。

         $ keytool -importcert -keystore client.truststore.jks -storepass secret -alias localhost -trustcacerts -file /path/to/server.cer

      9. 将您的客户端配置为使用客户端证书。

         您需要将客户端配置为向服务器提供可信客户端证书，以完成双向 SSL/TLS 身份验证。例如，如果使用浏览器，您需要将可信证书导入到浏览器的信任存储中。

         此流程强制双向 SSL/TLS，但不更改应用程序的原始验证方法。

         如果要更改原始身份验证方法，请参阅 JBoss EAP 的 How to Configure Identity Management 中的 Configure Authentication with Certificates 部分。

1. 首先添加和配置 HTTPS 安全域。配置 HTTPS 安全域后，在引用安全域的 undertow 子系统中配置 https-listener ：

   batch
   
   /core-service=management/security-realm=HTTPSRealm:add
   
   /core-service=management/security-realm=HTTPSRealm/server-identity=ssl:add(keystore-path=identity.jks, keystore-relative-to=jboss.server.config.dir, keystore-password=password1, alias=appserver)
   
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=security-realm, value=HTTPSRealm)
   
   run-batch

   警告

   红帽建议显式禁用 SSLv2、SSLv3 和 TLSv1.0，以便在所有受影响的软件包中明确禁用 TLSv1.1 或 TLSv1.2。

2. 重启 JBoss EAP 实例以使更改生效。

1. 为客户端和服务器生成存储
2. 导出客户端和服务器的证书
3. 将证书导入到而非信任存储中
4. 在使用服务器的密钥存储和信任存储的服务器上定义安全域，如 CertificateRealm
5. 更新 undertow 子系统，以使用安全域并要求客户端验证

流程

1. 为连接器创建 socket-binding。以下命令定义了在端口 11199 上侦听的 oneWayBinding 绑定。

   /socket-binding-group=standard-sockets/socket-binding=oneWayBinding:add(port=11199)

2. 创建引用 SASL 身份验证工厂、之前创建的套接字绑定和 SSL 上下文的连接器。

   /subsystem=remoting/connector=oneWayConnector:add(sasl-authentication-factory=SASL_FACTORY,socket-binding=oneWayBinding,ssl-context=SSL_CONTEXT)

   重要

   如果您同时定义了 security-realm 和 ssl-context，JBoss EAP 将使用 ssl-context 提供的 SSL/TLS 配置。

3. 配置客户端以信任服务器证书。Elytron Client Side One Way Example 提供了一个常规的示例客户端。这个示例使用客户端 trust-store 来配置 ssl-context。

流程

1. 为连接器创建 socket-binding。以下命令定义了侦听端口 11199 的 twoWayBinding 绑定。

   /socket-binding-group=standard-sockets/socket-binding=twoWayBinding:add(port=11199)

2. 创建引用 SASL 身份验证工厂、之前创建的套接字绑定和 SSL 上下文的连接器。

   /subsystem=remoting/connector=twoWayConnector:add(sasl-authentication-factory=SASL_FACTORY,socket-binding=twoWayBinding,ssl-context=SSL_CONTEXT)

   重要

   如果您同时定义了 security-realm 和 ssl-context，JBoss EAP 将使用 ssl-context 提供的 SSL/TLS 配置。

3. 将您的客户端配置为信任服务器证书，并将其证书提供给服务器。

   您需要将客户端配置为向服务器提供可信客户端证书，以完成双向 SSL/TLS 身份验证。例如，如果使用浏览器，您需要将可信证书导入到浏览器的信任存储中。Elytronon Client Side Two way Example 包括了一个常规的示例客户端。这个示例使用客户端 trust-store 和 key-store 来配置 ssl-context。

流程

1. 检查 https-listener 是否已配置为使用旧安全域进行 SSL 配置。

   /subsystem=undertow/server=default-server/https-listener=https:read-attribute(name=security-realm)
   {
       "outcome" => "success",
       "result" => "ApplicationRealm"
   }

   以上命令显示 https-listener 被配置为将 ApplicationRealm 传统安全 realm 用于其 SSL 配置。Undertow 无法同时引用传统的安全域和 Elytron 中的 ssl-context，因此您必须删除对旧安全域的引用。

   注意

   如果结果 未定义，则不需要在下一步中删除对安全域的引用。

2. 删除对旧安全域的引用，并更新 https-listener 以使用 Elytron 中的 ssl-context。

   注意

   https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=SERVER_SSL_CONTEXT)
   run-batch

3. 创建 HTTP 连接器来引用 HTTPS 侦听器和 SASL 身份验证工厂。

   /subsystem=remoting/http-connector=ssl-http-connector:add(connector-ref=https,sasl-authentication-factory=SASL_FACTORY)

4. 重新加载服务器。

   reload

5. 配置客户端以信任服务器证书。例如，如果使用浏览器，您需要将可信证书导入到浏览器的信任存储中。

流程

1. 检查 https-listener 是否已配置为使用旧安全域进行 SSL 配置。

   /subsystem=undertow/server=default-server/https-listener=https:read-attribute(name=security-realm)
   {
       "outcome" => "success",
       "result" => "ApplicationRealm"
   }

   以上命令显示 https-listener 被配置为将 ApplicationRealm 传统安全 realm 用于其 SSL 配置。Undertow 无法同时引用传统的安全域和 Elytron 中的 ssl-context，因此您必须删除对旧安全域的引用。

   注意

   如果结果 未定义，则不需要在下一步中删除对安全域的引用。

2. 删除对旧安全域的引用，并更新 https-listener 以使用 Elytron 中的 ssl-context。

   注意

   https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=SERVER_SSL_CONTEXT)
   run-batch

3. 创建 HTTP 连接器来引用 HTTPS 侦听器和 SASL 身份验证工厂。

   /subsystem=remoting/http-connector=ssl-http-connector:add(connector-ref=https,sasl-authentication-factory=SASL_FACTORY)

4. 重新加载服务器。

   reload

5. 将您的客户端配置为信任服务器证书，并将其证书提供给服务器。

   通过将客户端配置为向服务器提供可信客户端证书，完成双向 SSL/TLS 身份验证。例如，如果使用浏览器，您需要将可信证书导入到浏览器的信任存储中。

1. 将含有自定义组件提供程序的 JAR 作为模块添加到 JBoss EAP 中，声明任何需要的依赖项，如 javax.api ：

   module add --name=MODULE_NAME --resources=FACTORY_JAR --dependencies=javax.api,DEPENDENCY_LIST

   重要

   使用 module 管理 CLI 命令仅作为技术预览提供和删除模块。此命令不适用于在受管域中使用，或者在远程连接到管理 CLI 时使用。在生产环境中应手动添加模块并移除模块。如需更多信息，请参阅 JBoss EAP 配置指南中的手动创建自定义模块和手动删除自定义模块部分。

   技术预览功能不包括在红帽生产服务级别协议（SLA）中，且其功能可能并不完善。因此，红帽不建议在生产环境中使用它们。这些技术预览功能可以使用户提早试用新的功能，并有机会在开发阶段提供反馈意见。

   如需有关 技术预览功能支持范围 的信息，请参阅红帽客户门户网站中的技术预览功能支持范围。

2. 当组件添加到 elytron 子系统时，java.util.ServiceLoader 将用于发现该提供程序。另外，可以通过定义 provider-loader 来提供对提供程序的引用。创建加载器的方法有两种，每个组件只能实施一个。

   • 在定义 provider-loader 时直接引用该提供程序：

     /subsystem=elytron/provider-loader=LOADER_NAME:add(class-names=[CLASS_NAME],module=MODULE_NAME)

   • 在 META-INF/services/java.security.Provider 中包含对提供程序的引用。在 org.kohsuke.metainf-services 中使用 @MetaInfServices 注解时，会自动创建此引用。当使用这个方法时，只有 provider-loader 需要使用该模块，如下所示：

     /subsystem=elytron/provider-loader=LOADER_NAME:add(module=MODULE_NAME)

3. 将自定义组件添加到 Elytron 的配置中，使用适当的元素来添加和引用任何定义的提供程序。

   /subsystem=elytron/COMPONENT_NAME=NEW_COMPONENT:add(providers=LOADER_NAME,...)

   例如，要定义信任管理器，需要使用 trust-manager 元素，如以下命令所示：

   示例：添加自定义信任管理器

   /subsystem=elytron/trust-manager=newTrustManager:add(algorithm=MyX509,providers=customProvider,key-store=sampleKeystore)

4. 定义之后，可以从其他元素引用该组件。

1. 访问管理控制台。

   有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。

2. 导航到 Runtime → Security(Elytron) → Stores，然后点击 View。
3. 点 Key Store 以打开密钥存储定义页面。
4. 点所需密钥存储名称旁边的 Aliases。

5. 点所需别名。

   您可以点带有标签的按钮来为所选别名执行以下操作：

   • 更改别名

     更改条目的别名。

   • 导出证书

     将密钥存储条目中的证书导出到文件。

   • 生成 CSR

     生成证书签名请求。

   • 删除别名

     从密钥存储中删除所选别名。

   • 详情

     查看与别名关联的证书详情。

   • Revoke

     撤销与别名关联的证书。

   • 验证续订

     确定关联的证书是到期续订。

1. 登录到管理控制台。
2. 点 Access Control 选项卡。
3. 单击 Roles 以查看所有角色，包括范围角色。

1. 登录到管理控制台。
2. 点 Access Control 选项卡。
3. 选择 Roles，点 Add (+) 按钮。
4. 选择主机范围角色或 服务器组范围角色。

5. 指定以下详情：

   • Name ：新 scoped 角色的唯一名称。
   • 基本角色 ：此角色将对其权限进行基础的角色。
   • Host 或 Server Groups ：根据添加的范围角色类型，角色限制的主机或服务器组列表。可以选择多个条目。
   • Include All: 此角色应该自动包含所有用户。默认值为 OFF。
6. 点 Add 以创建新角色。

1. 登录到管理控制台。
2. 点 Access Control 选项卡。
3. 点左侧的 Roles 菜单。
4. 点所需范围的角色来编辑，然后点 编辑。
5. 更新所需详情以更改并单击 保存按钮。

1. 登录到管理控制台。
2. 点 Access Control 选项卡。
3. 点左侧的 Roles 菜单。
4. 单击所需范围的角色，以查看包含和排除的成员。

1. 登录到管理控制台。
2. 点 Access Control 选项卡。
3. 点左侧的 Roles 菜单。
4. 点所需范围的角色，从下拉列表中点击 Remove。
5. 点 Yes 以删除角色及其所有分配。

1. 登录到管理控制台。
2. 点 Access Control 选项卡。
3. 点左侧的 Roles 菜单，再点所需范围角色。
4. 选择 Plus(+)按钮，使其包含成员或要排除成员的减号(-)按钮。

流程

1. 使用 WildFly Elytron 工具创建 KeyStoreCredentialStore 存储文件。有关此问题的更多信息，请参阅使用 WildFly Elytron 工具 存储操作。

2. 分发存储文件。例如，使用 scp 命令将它分配给每个主机控制器，或者将其存储在 NFS 中，并将其用于所有 KeyStoreCredentialStore 资源。

   注意

   为了保持一致性，对于多个资源和主机操作系统使用的 KeyStoreStore 文件，您必须以只读模式使用 KeyStoreStore。另外，请确保为您的 KeyStoreStore 文件提供绝对路径。

   语法

   /profile=<profile_name>/subsystem=elytron/credential-store=<name_of_credential_store>:add(path=<absolute_path_to_store_keystore>,credential-reference={clear-text="<store_password>"},create=false,modifiable=false)

   示例

   /profile=full-ha/subsystem=elytron/credential-store=exampleCredentialStoreDomain:add(path=/usr/local/etc/example-cred-store.cs,credential-reference={clear-text="password"},create=false,modifiable=false)

3. 可选： 如果您需要在配置集中定义 credential-store 资源，请使用存储文件来创建资源。

   语法

   /profile=<profile_name>/subsystem=elytron/credential-store=<name_of_credential_store>:add(path=<path_to_store_file>,credential-reference={clear-text="<store_password>"})

   示例

   /profile=full-ha/subsystem=elytron/credential-store=exampleCredentialStoreHA:add(path=/usr/local/etc/example-cred-store-ha.cs, credential-reference={clear-text="password"})

4. 可选： 为主机控制器创建 KeyStoreStore 资源。

   语法

   /host=<host_controller_name>/subsystem=elytron/credential-store=<name_of_credential_store>:add(path=<path_to_store_file>,credential-reference={clear-text="<store_password>"})

   示例

   /host=master/subsystem=elytron/credential-store=exampleCredentialStoreHost:add(path=/usr/local/etc/example-cred-store-host.cs, credential-reference={clear-text="password"})