1.10. Elytron 与 Remoting subsystem 集成

流程

1. 为连接器创建 socket-binding。以下命令定义了在端口 11199 上侦听的 oneWayBinding 绑定。

   /socket-binding-group=standard-sockets/socket-binding=oneWayBinding:add(port=11199)

2. 创建引用 SASL 身份验证工厂、之前创建的套接字绑定和 SSL 上下文的连接器。

   /subsystem=remoting/connector=oneWayConnector:add(sasl-authentication-factory=SASL_FACTORY,socket-binding=oneWayBinding,ssl-context=SSL_CONTEXT)

   重要

   如果您同时定义了 security-realm 和 ssl-context，JBoss EAP 将使用 ssl-context 提供的 SSL/TLS 配置。

3. 配置客户端以信任服务器证书。Elytron Client Side One Way Example 提供了一个常规的示例客户端。这个示例使用客户端 trust-store 来配置 ssl-context。

流程

1. 为连接器创建 socket-binding。以下命令定义了侦听端口 11199 的 twoWayBinding 绑定。

   /socket-binding-group=standard-sockets/socket-binding=twoWayBinding:add(port=11199)

2. 创建引用 SASL 身份验证工厂、之前创建的套接字绑定和 SSL 上下文的连接器。

   /subsystem=remoting/connector=twoWayConnector:add(sasl-authentication-factory=SASL_FACTORY,socket-binding=twoWayBinding,ssl-context=SSL_CONTEXT)

   重要

   如果您同时定义了 security-realm 和 ssl-context，JBoss EAP 将使用 ssl-context 提供的 SSL/TLS 配置。

3. 将您的客户端配置为信任服务器证书，并将其证书提供给服务器。

   您需要将客户端配置为向服务器提供可信客户端证书，以完成双向 SSL/TLS 身份验证。例如，如果使用浏览器，您需要将可信证书导入到浏览器的信任存储中。Elytronon Client Side Two way Example 包括了一个常规的示例客户端。这个示例使用客户端 trust-store 和 key-store 来配置 ssl-context。

流程

1. 检查 https-listener 是否已配置为使用旧安全域进行 SSL 配置。

   /subsystem=undertow/server=default-server/https-listener=https:read-attribute(name=security-realm)
   {
       "outcome" => "success",
       "result" => "ApplicationRealm"
   }

   以上命令显示 https-listener 被配置为将 ApplicationRealm 传统安全 realm 用于其 SSL 配置。Undertow 无法同时引用传统的安全域和 Elytron 中的 ssl-context，因此您必须删除对旧安全域的引用。

   注意

   如果结果 未定义，则不需要在下一步中删除对安全域的引用。

2. 删除对旧安全域的引用，并更新 https-listener 以使用 Elytron 中的 ssl-context。

   注意

   https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=SERVER_SSL_CONTEXT)
   run-batch

3. 创建 HTTP 连接器来引用 HTTPS 侦听器和 SASL 身份验证工厂。

   /subsystem=remoting/http-connector=ssl-http-connector:add(connector-ref=https,sasl-authentication-factory=SASL_FACTORY)

4. 重新加载服务器。

   reload

5. 配置客户端以信任服务器证书。例如，如果使用浏览器，您需要将可信证书导入到浏览器的信任存储中。

流程

1. 检查 https-listener 是否已配置为使用旧安全域进行 SSL 配置。

   /subsystem=undertow/server=default-server/https-listener=https:read-attribute(name=security-realm)
   {
       "outcome" => "success",
       "result" => "ApplicationRealm"
   }

   以上命令显示 https-listener 被配置为将 ApplicationRealm 传统安全 realm 用于其 SSL 配置。Undertow 无法同时引用传统的安全域和 Elytron 中的 ssl-context，因此您必须删除对旧安全域的引用。

   注意

   如果结果 未定义，则不需要在下一步中删除对安全域的引用。

2. 删除对旧安全域的引用，并更新 https-listener 以使用 Elytron 中的 ssl-context。

   注意

   https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=SERVER_SSL_CONTEXT)
   run-batch

3. 创建 HTTP 连接器来引用 HTTPS 侦听器和 SASL 身份验证工厂。

   /subsystem=remoting/http-connector=ssl-http-connector:add(connector-ref=https,sasl-authentication-factory=SASL_FACTORY)

4. 重新加载服务器。

   reload

5. 将您的客户端配置为信任服务器证书，并将其证书提供给服务器。

   通过将客户端配置为向服务器提供可信客户端证书，完成双向 SSL/TLS 身份验证。例如，如果使用浏览器，您需要将可信证书导入到浏览器的信任存储中。