第 4 章 凭证的安全存储

先决条件

• 您至少提供对运行 JBoss EAP 的用户帐户的 KeyStoreCredentialStore 的目录的读/写权限。

流程

• 使用以下管理 CLI 命令，创建一个 KeyStoreCredentialStore：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:add(path="<path_to_store_file>", relative-to=<base_path_to_store_file>, credential-reference={clear-text=<store_password>}, create=true)

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:add(path="exampleKeyStoreCredentialStore.jceks", relative-to=jboss.server.data.dir, credential-reference={clear-text=password}, create=true)
  {"outcome" => "success"}

• 在每个主机控制器中创建 KeyStoreCredentialStore，并为每个 KeyStoreStore 添加凭证。
• 将填充的 KeyStoreStore 从一个主机操作系统复制到所有其他主机控制器。
• 将 KeyStoreCredentialStore 文件保存到网络文件系统(NFS)中，然后将该文件用于您创建的所有 KeyStoreCredentialStore 资源。

先决条件

• 您至少提供对运行 JBoss EAP 的用户帐户的 PropertiesCredentialStore 的目录的读/写权限。

流程

• 使用以下命令，使用管理 CLI 创建 PropertiesCredentialStore：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:add(path="<path_to_the_credential_store>", relative-to=<path_to_store_file>)

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:add(path=examplePropertiesCredentialStore.cs, relative-to=jboss.server.config.dir)
  {"outcome" => "success"}

先决条件

• 您已创建了 KeyStoreStore。

  有关创建 KeyStore 的详情，请参阅为独立服务器创建 KeyStoreCredentialStore/credential-store。

流程

• 将新的 PasswordCredential 添加到 KeyStoreCredentialStore：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:add-alias(alias=<alias>, secret-value=<secret-value>)

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:add-alias(alias=passwordCredentialAlias, secret-value=StrongPassword)
  {"outcome" => "success"}

验证

• 发出以下命令以验证 PasswordCredential 是否已添加到 KeyStoreCredentialStore 中：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => ["passwordcredentialalias"]
  }

先决条件

• 您已创建了 KeyStoreStore。

  有关创建 KeyStore 的详情，请参阅为独立服务器创建 KeyStoreCredentialStore/credential-store。

验证

• 发出以下命令，以验证 Elytron 将您的 SecretKeyCredential 存储在 KeyStoreCredentialStore 中：

  语法

  /subsystem=elytron/credential-store=<credential_store>:read-aliases()

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias"
      ]
  }

先决条件

• 您已创建了 PropertiesCredentialStore。

  有关创建 PropertiesCredentialStore 的详情，请参考为单机服务器创建 PropertiesCredentialStore/secret-key-credential-store。

流程

• 使用以下管理 CLI 命令，在 PropertiesCredentialStore 中生成 SecretKeyCredential：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_the_properties_credential_store>:generate-secret-key(alias=<alias>, key-size=<128_or_192>)

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:generate-secret-key(alias=secretKeyCredentialAlias)
  {"outcome" => "success"}

验证

• 发出以下命令以验证 Elytron 创建了 SecretKeyCredential:

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_the_properties_credential_store>:read-aliases()

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias",
          "key"
      ]
  }

先决条件

• 您已创建了 PropertiesCredentialStore。

  有关创建 PropertiesCredentialStore 的详情，请参考为单机服务器创建 PropertiesCredentialStore/secret-key-credential-store。

• 您已导出了一个 SecretKeyCredential。

  有关导出 SecretKeyCredential 的信息，请参阅从 PropertiesCredentialStore/secret-key-credential-store 中导出 SecretKey Credential。

流程

• 使用以下管理 CLI 命令，列出存储在 KeyStoreStore 中的凭证：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "passwordcredentialalias",
          "secretkeycredentialalias"
      ]
  }

流程

• 使用以下管理 CLI 命令，列出存储在 PropertiesCredentialStore 中的凭证：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:read-aliases()

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias",
          "key"
      ]
  }

先决条件

• 您已生成了一个 SecretKeyCredential 作为 KeyStore。

  有关在 KeyStoreCredential 中生成 SecretKeyCredential 的信息，请参阅在 KeyStoreCredentialStore/credential-store 中生成 SecretKeyCredential。

流程

• 使用以下管理 CLI 命令，从 KeyStoreCredential 导出 SecretKeyCredential：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:export-secret-key(alias=<alias>)

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:export-secret-key(alias=secretKeyCredentialAlias)
  {
      "outcome" => "success",
      "result" => {"key" => "RUxZAUui+8JkoDCE6mFyA3cCIbSAZaXq5wgYejj1scYgdDqWiw=="}
  }

先决条件

• 您在 PropertiesCredentialStore 中生成了一个 SecretKeyCredential，或将其导入。

  有关在 PropertiesCredentialStore 中生成 SecretKeyCredential 的信息，请参阅在 PropertiesCredentialStore/secret-key-credential-store 中生成 SecretKey Credential。

  有关将 SecretKeyCredential 导入到 PropertiesCredentialStore 的信息，请参阅导入 SecretKeyCredential to PropertiesCredentialStore/secret-key-credential-store

流程

• 使用以下管理 CLI 命令，从 PropertiesCredentialStore 导出 SecretKeyCredential：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:export-secret-key(alias=<alias>)

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:export-secret-key(alias=secretkeycredentialalias)
  {
      "outcome" => "success",
      "result" => {"key" => "RUxZAUtxXcYvz0aukZu+odOynIr0ByLhC72iwzlJsi+ZPmONgA=="}
  }

流程

• 使用以下管理 CLI 命令，从 KeyStoreStore 中删除凭证：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:remove-alias(alias=<alias>, entry-type=<credential_type>)

  删除密码凭证示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:remove-alias(alias=passwordCredentialAlias)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'passwordCredentialAlias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("credential-store" => "exampleKeyStoreCredentialStore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

  删除 SecretKeyCredential 示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:remove-alias(alias=secretKeyCredentialAlias, entry-type=SecretKeyCredential)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'secretKeyCredentialAl
  ias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("credential-store" => "exampleKeyStoreCredentialStore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

验证

• 发出以下命令以验证 Elytron 删除了凭证：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => []
  }

  您删除的凭证不会被列出。

流程

• 使用以下命令，从 PropertiesCredentialStore 中删除 SecretKeyCredential：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:remove-alias(alias=<alias>)

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:remove-alias(alias=secretKeyCredentialAlias)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'secretKeyCredentialAlias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("secret-key-credential-store" => "examplePropertiesCredentialSt
  ore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

验证

• 发出以下命令以验证 Elytron 删除了凭证：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:read-aliases()

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => []
  }

  您删除的凭证不会被列出。

先决条件

• 确保您的环境已配置为使用 Bouncy Castle。

  如需更多信息，请参阅配置您的环境以使用 Bouncy Castle Provider。

流程

• 使用以下命令，使用 WildFly Elytron 工具创建 PropertiesCredentialStore：

  语法

  $ EAP_HOME/bin/elytron-tool.sh credential-store --create --location "<path_to_store_file>" --type PropertiesCredentialStore

  示例

  $ bin/elytron-tool.sh credential-store --create --location=standalone/configuration/properties-credential-store.cs --type PropertiesCredentialStore
  Credential Store has been successfully created

先决条件

• 您已使用 WildFly Elytron 工具创建了凭据存储。

  如需更多信息，请参阅使用 WildFly Elytron 工具创建 KeyStoreCredentialStore/credential-store。

流程

• 使用以下管理 CLI 命令，将凭证存储添加到正在运行的 JBoss EAP 服务器中：

  /subsystem=elytron/credential-store=<store_name>:add(location="<path_to_store_file>",credential-reference={clear-text=<store_password>})

  例如：

  /subsystem=elytron/credential-store=my_store:add(location="../cred_stores/example-credential-store.jceks",credential-reference={clear-text=storePassword})

流程

• 要生成屏蔽的字符串，请使用以下命令，并为 salt 和迭代计数提供值：

  $ EAP_HOME/bin/elytron-tool.sh mask --salt <salt> --iteration <iteration_count> --secret <password>

  例如：

  $ EAP_HOME/bin/elytron-tool.sh mask --salt 12345678 --iteration 123 --secret supersecretstorepassword
  
  MASK-8VzWsSNwBaR676g8ujiIDdFKwSjOBHCHgnKf17nun3v;12345678;123

  如果您不想在 命令中提供 secret，可以省略该参数，系统将提示您使用标准输入输入 secret。

先决条件

• 确保您的环境已配置为使用 BouncyCastle 供应商。

  如需更多信息，请参阅配置 您的环境以使用 BouncyCastle Provider 。

先决条件

• 您至少提供对运行 JBoss EAP 的用户帐户的 PropertiesCredentialStore 的目录的读/写权限。

流程

• 使用以下命令，使用管理 CLI 创建 PropertiesCredentialStore：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:add(path="<path_to_the_credential_store>", relative-to=<path_to_store_file>)

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:add(path=examplePropertiesCredentialStore.cs, relative-to=jboss.server.config.dir)
  {"outcome" => "success"}

先决条件

• 您已在一些凭证存储中生成了 secret 密钥。

  有关在 KeyStoreCredentialStore 中创建 secret 密钥的信息，请参阅在 KeyStoreCredentialStore/credential-store 中生成 SecretKeyCredential

  有关在 PropertiesCredentialStore 中创建 secret 密钥的信息，请参阅在 PropertiesCredentialStore /secret-key-credential-store 中生成 SecretKeyCredential

先决条件

• 您已创建了加密的表达式。

  有关创建加密表达式的详情，请参考在 Elytron 中创建加密表达式。

流程

• 创建一个 KeyStoreCredentialStore，它使用加密表达式作为 明文 ：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:add(path=<path_to_the_credential_store>, create=true, modifiable=true, credential-reference={clear-text=<encrypted_expression>})

  示例

  /subsystem=elytron/credential-store=secureKeyStoreCredentialStore:add(path="secureKeyStoreCredentialStore.jceks", relative-to=jboss.server.data.dir, create=true, modifiable=true, credential-reference={clear-text=${ENC::exampleResolver:RUxZAUMQgtpG7oFlHR2j1Gkn3GKIHff+HR8GcMX1QXHvx2uGurI=}})
  {"outcome" => "success"}

• 第一个加密表达式为 KeyStoreCredentialStore 的安全。
• 另一个加密表达式保护敏感字符串。
• 要解码敏感字符串，您需要解密加密的表达式。

流程

• 使用以下命令将密码 vault 转换为凭证存储：

  $ EAP_HOME/bin/elytron-tool.sh vault --keystore "<path_to_vault_file>" --keystore-password <vault_password> --enc-dir "<path_to_vault_directory>" --salt <salt> --iteration <iteration_count> --alias <vault_alias>

  例如，您也可以使用 --location 参数指定新凭证存储的文件名和位置：

  $ EAP_HOME/bin/elytron-tool.sh vault --keystore ../vaults/vault.keystore --keystore-password vault22 --enc-dir ../vaults/ --salt 1234abcd --iteration 120 --alias my_vault --location ../cred_stores/my_vault_converted.cred_store