1.2. 如何保护管理接口

流程

1. 配置 密钥存储。

   /subsystem=elytron/key-store=httpsKS:add(path=keystore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)

   注意

   以上命令使用 relative-to 来引用密钥存储文件的位置。或者，您也可以指定 路径中的 密钥存储的完整路径，省略 relative-to。

   如果密钥存储文件尚不存在，则可以使用下列命令来生成示例密钥对：

   /subsystem=elytron/key-store=httpsKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
   
   /subsystem=elytron/key-store=httpsKS:store()

2. 创建 key-manager 和 server-ssl-context。

   /subsystem=elytron/key-manager=httpsKM:add(key-store=httpsKS,credential-reference={clear-text=secret})
   
   /subsystem=elytron/server-ssl-context=httpsSSC:add(key-manager=httpsKM,protocols=["TLSv1.2"])

   重要

   红帽没有指定上一命令中的 algorithm 属性，因为 Elytron 子系统使用 KeyManagerFactory.getDefaultAlgorithm（） 来确定算法。但是，您可以指定 algorithm 属性。要指定 algorithm 属性，您需要知道您使用的 JDK 提供了哪些关键管理器算法。例如，使用 SunJSSE 的 JDK 提供了 PKIX 和 SunX509 算法。

   在上一命令中，您可以指定 SunX509 作为密钥管理器算法属性。

   您还需要确定您要支持的 HTTPS 协议。上面的示例命令使用 TLSv1.2。

   您可以使用 cipher-suite-filter 指定密码套件，使用-cipher-suites-order 参数来遵循服务器密码套件顺序。use-cipher-suites-order 属性默认设置为 true。这与旧的 security 子系统行为不同，它默认为遵循客户端密码套件顺序。

3. 在管理界面中启用 HTTPS。

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=httpsSSC)
   
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

4. 重新加载 JBoss EAP 实例。

   reload

流程

1. 访问管理控制台。有关更多信息，请参阅 JBoss EAP 配置指南中的管理控制台部分。
2. 进入到 Runtime，单击适当的服务器名称。
3. 点服务器名称旁边的 View。
4. 点 HTTP Manageme…​ 以打开 HTTP Management Interface 配置页面。

5. 点启用 SSL 以启动向导。

   向导可以帮助您在以下场景中启用 SSL：

   • 您需要创建证书存储并生成自签名证书。
   • 您需要从 Let 的加密证书颁发机构获取证书。
   • 您已将证书存储在文件系统中，但没有密钥存储配置。
   • 您已经拥有使用有效证书存储的密钥存储配置。

流程

1. 生成客户端证书：

   $ keytool -genkeypair -alias client -keyalg RSA -keysize 1024 -validity 365 -keystore client.keystore.jks -dname "CN=client" -keypass secret -storepass secret

2. 导出客户端证书：

   $ keytool -exportcert  -keystore client.keystore.jks -alias client -keypass secret -storepass secret -file /path/to/client.cer

流程

1. 获取或生成密钥存储。

   在 JBoss EAP 中启用单向 SSL/TLS 之前，您必须获取或生成您计划使用的密钥存储、信任存储和证书。若要生成一组密钥存储、truststores 和证书的示例，可使用以下命令：

   1. 配置 密钥存储。

      /subsystem=elytron/key-store=twoWayKS:add(path=server.keystore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)
      
      /subsystem=elytron/key-store=twoWayKS:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")
      
      /subsystem=elytron/key-store=twoWayKS:store()

      注意

      以上命令使用 relative-to 来引用密钥存储文件的位置。或者，您也可以指定 路径中的 密钥存储的完整路径，省略 relative-to。

   2. 导出您的服务器证书。

      /subsystem=elytron/key-store=twoWayKS:export-certificate(alias=localhost,path=/path/to/server.cer,pem=true)

   3. 为服务器信任 存储 创建一个密钥存储，并将客户端证书导入到服务器信任存储中。

      注意

      以下示例没有信任链的验证证书。如果您使用可信证书，则在没有问题的情况下可以验证客户端证书。

      /subsystem=elytron/key-store=twoWayTS:add(path=server.truststore.jks,relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=JKS)
      
      /subsystem=elytron/key-store=twoWayTS:import-certificate(alias=client,path=/path/to/client.cer,credential-reference={clear-text=secret},trust-cacerts=true,validate=false)
      
      /subsystem=elytron/key-store=twoWayTS:store()

2. 为服务器密钥存储和 truststore 配置 key-manager、trust-manager 和 server-ssl-context。

   /subsystem=elytron/key-manager=twoWayKM:add(key-store=twoWayKS,credential-reference={clear-text=secret})
   
   /subsystem=elytron/trust-manager=twoWayTM:add(key-store=twoWayTS)
   
   /subsystem=elytron/server-ssl-context=twoWaySSC:add(key-manager=twoWayKM,protocols=["TLSv1.2"],trust-manager=twoWayTM,want-client-auth=true,need-client-auth=true)

   重要

   红帽没有在前面的命令中指定 algorithm 属性，因为 Elytron 子系统使用 KeyManagerFactory.getDefaultAlgorithm（） 和 TrustManagerFactory.getDefaultAlgorithm（） 来确定算法。但是，您可以指定 algorithm 属性。要指定 algorithm 属性，您需要知道您使用的 JDK 提供了哪些关键管理器算法。例如，使用 SunJSSE 的 JDK 提供了 PKIX 和 SunX509 算法。

   在上一命令中，您可以指定 SunX509 作为密钥管理器算法属性，将 PKIX 指定为信任管理器算法属性。

   您还需要确定您要支持的 HTTPS 协议。上面的示例命令使用 TLSv1.2。

   您可以使用 cipher-suite-filter 指定密码套件，使用-cipher-suites-order 参数来遵循服务器密码套件顺序。use-cipher-suites-order 属性默认设置为 true。这与旧的 security 子系统行为不同，它默认为遵循客户端密码套件顺序。

3. 在管理界面中启用 HTTPS。

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=twoWaySSC)
   
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

4. 重新加载 JBoss EAP 实例。

   reload

   注意

   要完成双向 SSL/TLS 身份验证，您需要将服务器证书导入到客户端信任存储中，并将您的客户端配置为显示客户端证书。

5. 将您的客户端配置为使用客户端证书。

   您需要将客户端配置为向服务器提供可信客户端证书，以完成双向 SSL/TLS 身份验证。例如，如果使用浏览器，您需要将可信证书导入到浏览器的信任存储中。

   这会导致强制双向 SSL/TLS 身份验证，而不将原始身份验证改为服务器管理。

   如果要更改原始身份验证方法，请参阅 JBoss EAP 的 How to Configure Identity Management 中的 Configure Authentication with Certificates 部分。

流程

1. 创建用于存储用户名和密码的属性文件。

   可以稍后向文件中添加用户名和密码，但现在您需要创建一个名为 https-mgmt-users.properties 的空文件，并将它保存到该位置。以下示例显示使用 touch 命令，但也可以使用其他机制，如文本编辑器。

   示例：使用 touch 命令创建一个空文件

   $ touch EAP_HOME/standalone/configuration/https-mgmt-users.properties

2. 接下来，使用以下管理 CLI 命令创建名为 ManagementRealmHTTPS 的新安全域：

   /core-service=management/security-realm=ManagementRealmHTTPS:add
   
   /core-service=management/security-realm=ManagementRealmHTTPS/authentication=properties:add(path=https-mgmt-users.properties,relative-to=jboss.server.config.dir)

3. 将用户添加到属性文件中。

   此时，您已创建一个新的安全域，并将其配置为使用属性文件进行身份验证。现在，您必须使用 add-user 脚本将用户添加到属性文件，该文件位于 EAP_HOME/bin/ 目录中。在运行 add-user 脚本时，您必须分别使用 -up 和 -r 选项指定属性文件和安全域。在那里，add-user 脚本将以互动方式提示您输入用户名和密码信息，以便存储在 https-mgmt-users.properties 文件中。

   $ EAP_HOME/bin/add-user.sh -up EAP_HOME/standalone/configuration/https-mgmt-users.properties -r ManagementRealmHTTPS
   ...
   Enter the details of the new user to add.
   Using realm 'ManagementRealmHTTPS' as specified on the command line.
   ...
   Username : httpUser
   Password requirements are listed below. To modify these restrictions edit the add-user.properties configuration file.
    - The password must not be one of the following restricted values {root, admin, administrator}
    - The password must contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)
    - The password must be different from the username
   ...
   Password :
   Re-enter Password :
   About to add user 'httpUser' for realm 'ManagementRealmHTTPS'
   ...
   Is this correct yes/no? yes
   ..
   Added user 'httpUser' to file 'EAP_HOME/configuration/https-mgmt-users.properties'
   ...
   Is this new user going to be used for one AS process to connect to another AS process?
   e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.
   yes/no? no

   重要

   在配置使用属性文件存储用户名和密码的安全域时，建议每个域都使用一个不与其他域共享的不同属性文件。

流程

1. 使用以下管理 CLI 命令，将管理接口配置为使用密钥存储：

   对于参数文件，密码和别名值必需是来自创建一个密钥存储来保护管理接口安全步骤。

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:add(keystore-path=identity.jks,keystore-relative-to=jboss.server.config.dir,keystore-password=password1, alias=appserver)

   注意

   要更新密钥存储密码，请使用以下 CLI 命令：

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:write-attribute(name=keystore-password,value=newpassword)

2. 重新载入服务器的配置：

   reload

   重新载入服务器配置后，日志应包含以下内容，只有在文本前显示启动的服务数量：

   13:50:54,160 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0061: Http management interface listening on https://127.0.0.1:9993/management
   13:50:54,162 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0052: Admin console listening on https://127.0.0.1:9993

1. 创建由适当用户拥有的目录，以存放 NSS 数据库。

   创建 NSS 数据库目录的命令示例

   $ mkdir -p /usr/share/jboss-as/nssdb
   $ chown jboss /usr/share/jboss-as/nssdb
   $ modutil -create -dbdir /usr/share/jboss-as/nssdb

   注意
   • DBM 文件格式，RHEL 7 及更早版本的默认数据库格式已被弃用。NSS 现在默认使用 SQL。
   • jboss 用户只是一个示例。使用操作系统上的活跃用户替换它来运行 JBoss EAP。

2. 创建 NSS 配置文件： /usr/share/jboss-as/nss_pkcsll_fips.cfg。

   它必须指定：

   • 一个名称
   • NSS 库所在的目录

   • 上一步中创建的 NSS 数据库的目录

     示例： nss_pkcsll_fips.cfg

     name = nss-fips
     nssLibraryDirectory=/usr/lib64
     nssSecmodDirectory=/usr/share/jboss-as/nssdb
     nssDbMode = readOnly
     nssModule = fips

     注意

     如果您没有运行 64 位版本的 Red Hat Enterprise Linux 6，那么 nss1028Directory 设为 /usr/lib，而不是 /usr/lib64。

3. 编辑 Java 安全配置文件。此配置文件会影响整个 JVM，并可使用以下任一方式进行定义。

   • JDK 中提供了默认配置文件 java.security。如果没有指定其他安全配置文件，则使用此文件。有关此文件的位置，请查看 JDK 供应商的文档。

   • 定义自定义 Java 安全配置文件，并使用 -Djava.security.properties=/path/to/java.security.properties 来引用。以这种方式引用时，它会覆盖默认安全文件中的设置。在需要不同安全设置的同一主机上运行的多个 JVM 时，此选项很有用。

     在您的 Java 安全配置文件中添加以下行：

     示例： java.security

     security.provider.1=sun.security.pkcs11.SunPKCS11 /usr/share/jboss-as/nss_pkcsll_fips.cfg

     注意

     上述行中指定的 nss_pkcsll_fips.cfg 配置文件是上一步中创建的文件。

     您还需要从以下位置更新配置文件中的以下链接：

     security.provider.5=com.sun.net.ssl.internal.ssl.Provider

     至

     security.provider.5=com.sun.net.ssl.internal.ssl.Provider SunPKCS11-nss-fips

     重要

     此文件中的任何其他 security.provider.X 行（如 security.provider.2）都必须增加其 X 的值，以确保此 provider 具有优先权。

4. 在您在上一步中创建的 NSS 数据库目录上运行 modutil 命令以启用 FIPS 模式。

   modutil -fips true -dbdir /usr/share/jboss-as/nssdb

   注意

   此时您可能会收到一个安全库错误，要求您为某些 NSS 共享对象重新生成库签名。

5. 在 FIPS 令牌中设置密码。

   令牌的名称必须是 NSS FIPS 140-2 Certificate DB。

   modutil -changepw "NSS FIPS 140-2 Certificate DB" -dbdir /usr/share/jboss-as/nssdb

   重要

   用于 FIPS 令牌的密码必须是 FIPS 兼容密码。如果密码不够强，您可能会收到错误： ERROR: Unable to change password on token "NSS FIPS 140-2 Certificate DB"。

6. 使用 NSS 工具创建证书。

   示例命令

   $ certutil -S -k rsa -n undertow -t "u,u,u" -x -s "CN=localhost, OU=MYOU, O=MYORG, L=MYCITY, ST=MYSTATE, C=MY" -d /usr/share/jboss-as/nssdb

7. 运行以下命令，验证 JVM 是否可以从 PKCS11 密钥存储读取私钥：

   $ keytool -list -storetype pkcs11

1. 添加 FIPS 140-2 兼容加密密钥 存储、key-manager 和 ssl-context。

   /subsystem=elytron/key-store=fipsKS:add(type=PKCS11,provider-name="SunPKCS11-nss-fips",credential-reference={clear-text="P@ssword123"})
   
   /subsystem=elytron/key-manager=fipsKM:add(key-store=fipsKS,algorithm="SunX509",provider-name=SunPKCS11-nss-fips,credential-reference={clear-text="P@ssword123"})
   
   /subsystem=elytron/server-ssl-context=fipsSSC:add(key-manager=fipsKM,protocols=["TLSv1.1"])

2. 更新 undertow 子系统，以使用新的 ssl-context。

   注意

   https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context,value=fipsSSC)
   run-batch
   
   reload

1. 配置 Undertow 以使用 SSL/TLS。

   注意

   以下命令必须在批处理模式下运行，或者在添加 ssl 服务器身份后重新加载服务器。下例中使用了批处理模式。

   batch
   
   /core-service=management/security-realm=HTTPSRealm:add
   
   /core-service=management/security-realm=HTTPSRealm/server-identity=ssl:add(keystore-provider=PKCS11, keystore-password="strongP@ssword1")
   
   /subsystem=undertow/server=default-server/https-listener=https:add(socket-binding=https, security-realm=HTTPSRealm, enabled-protocols="TLSv1.1")
   
   run-batch

   为应用设置 SSL/TLS部分介绍了将 Undertow 配置为 SSL/TLS 的基本信息。

2. 配置 Undertow 使用的加密套件。

   配置了 SSL/TLS 后，您需要将 https 侦听程序和安全域配置为启用了特定的密码套件：

   所需的加密套件

   SSL_RSA_WITH_3DES_EDE_CBC_SHA, SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_anon_WITH_AES_128_CBC_SHA, TLS_ECDH_anon_WITH_AES_256_CBC_SHA

   关于为 https 侦听程序启用加密套件的基础知识，请参阅关于加密套件。在 https 监听器上启用密码套件：

   在 Https Listener 上启用 Cipher Suites 的命令示例

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=enabled-cipher-suites,value="SSL_RSA_WITH_3DES_EDE_CBC_SHA,SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_RSA_WITH_AES_128_CBC_SHA,TLS_ECDH_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_anon_WITH_AES_128_CBC_SHA,TLS_ECDH_anon_WITH_AES_256_CBC_SHA")

3. 在安全域中启用密码套件。

   在 Security Realm 上启用 Cipher Suites 的命令示例

   /core-service=management/security-realm=HTTPSRealm/server-identity=ssl:write-attribute(name=enabled-cipher-suites, value=[SSL_RSA_WITH_3DES_EDE_CBC_SHA, SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA, TLS_ECDH_anon_WITH_AES_128_CBC_SHA, TLS_ECDH_anon_WITH_AES_256_CBC_SHA])

1. 使用以下内容为管理 CLI 创建 XML 配置文件：

   示例： cli-wildfly-config.xml

   <configuration>
     <authentication-client xmlns="urn:elytron:client:1.2">
       <key-stores>
         <key-store name="truststore" type="BCFKS">
           <file name="${truststore.location}" />
           <key-store-clear-password password="${password}" />
         </key-store>
         <key-store name="keystore" type="BCFKS">
           <file name="${keystore.location}" />
           <key-store-clear-password password="${password}" />
         </key-store>
       </key-stores>
       <ssl-contexts>
         <ssl-context name="client-cli-context">
           <key-store-ssl-certificate algorithm="PKIX" key-store-name="keystore">
             <key-store-clear-password password="${password"} />
           </key-store-ssl-certificate>
           <trust-store key-store-name="truststore"/>
           <trust-manager algorithm="PKIX">
           </trust-manager>
           <cipher-suite selector="TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CCM,TLS_RSA_WITH_AES_128_CCM"/>
           <protocol names="TLSv1.2"/>
         </ssl-context>
       </ssl-contexts>
       <ssl-context-rules>
         <rule use-ssl-context="client-cli-context"/>
       </ssl-context-rules>
     </authentication-client>
   </configuration>

2. 启动管理 CLI 时，使用 -Dwildfly.config.url 属性将配置文件传递给管理 CLI 脚本。例如：

   $ jboss-cli.sh -Dwildfly.config.url=cli-wildfly-config.xml

1. 添加 FIPS 140-2 兼容加密密钥 存储、key-manager 和 ssl-context。在定义密钥存储时，类型必须是 BCFKS。

   /subsystem=elytron/key-store=fipsKS:add(path=KEYSTORE,relative-to=jboss.server.config.dir,credential-reference={clear-text=STORE_PASSWORD},type="BCFKS")
   
   /subsystem=elytron/key-manager=fipsKM:add(key-store=fipsKS,algorithm="PKIX",credential-reference={clear-text=PASSWORD})
   
   /subsystem=elytron/server-ssl-context=fipsSSC:add(key-manager=fipsKM,protocols=["TLSv1.2"],cipher-suite-filter="TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA256, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CCM,TLS_RSA_WITH_AES_128_CCM")

2. 更新 undertow 子系统，以使用新的 ssl-context。

   注意

   https-listener 需要始终配置了 security-realm 或 ssl-context。在两个配置之间更改时，命令必须作为一个批处理来执行，如下所示。

   batch
   /subsystem=undertow/server=default-server/https-listener=https:undefine-attribute(name=security-realm)
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context,value=fipsSSC)
   run-batch
   
   reload