在 JBoss EAP 中配置 SSL/TLS

流程

1. 配置密钥存储以存储证书。

   您可以提供到现有密钥存储的路径，例如，包含 CA 签名证书的路径，或者提供要创建的密钥存储的路径。

   /subsystem=elytron/key-store=<keystore_name>:add(path=<path_to_keystore>, credential-reference=<credential_reference>, type=<keystore_type>)

   Copy to Clipboard Toggle word wrap

   Example

   /subsystem=elytron/key-store=exampleKeyStore:add(path=exampleserver.keystore.pkcs12, relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=PKCS12)

   Copy to Clipboard Toggle word wrap

2. 如果密钥存储不包含任何证书，或者您使用上面的步骤来创建密钥存储，则必须生成证书并将证书存储在文件中。

   1. 在密钥存储中生成密钥对。

      语法

      /subsystem=elytron/key-store=<keystore_name>:generate-key-pair(alias=<keystore_alias>,algorithm=<algorithm>,key-size=<key_size>,validity=<validity_in_days>,credential-reference=<credential_reference>,distinguished-name="<distinguished_name>")

      Copy to Clipboard Toggle word wrap

      Example

      /subsystem=elytron/key-store=exampleKeyStore:generate-key-pair(alias=localhost,algorithm=RSA,key-size=2048,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")

      Copy to Clipboard Toggle word wrap

   2. 将证书存储在文件中。

      语法

      /subsystem=elytron/key-store=<keystore_name>:store()

      Copy to Clipboard Toggle word wrap

      Example

      /subsystem=elytron/key-store=exampleKeyStore:store()

      Copy to Clipboard Toggle word wrap

3. 配置引用 key-store 的 key-manager。

   语法

   /subsystem=elytron/key-manager=<key-manager_name>:add(key-store=<key-store_name>,credential-reference=<credential_reference>)

   Copy to Clipboard Toggle word wrap

   Example

   /subsystem=elytron/key-manager=exampleKeyManager:add(key-store=exampleKeyStore,credential-reference={clear-text=secret})

   Copy to Clipboard Toggle word wrap

   重要

   红帽没有指定 algorithm 属性，因为 elytron 子系统使用 KeyManagerFactory.getDefaultAlgorithm （） 来默认确定算法。但是，您可以指定 algorithm 属性。

   要指定 algorithm 属性，您需要知道您使用的 Java Development Kit (JDK)提供哪些密钥管理器算法。例如，使用 Java 安全套接字扩展(SunJSSE)的 JDK 提供了 PKIX 和 SunX509 算法。

   在命令中，您可以指定 SunX509 作为 key-manager 算法属性。

4. 配置引用 key-manager 的 server-ssl-context。

   语法

   /subsystem=elytron/server-ssl-context=<server-ssl-context_name>:add(key-manager=<key-manager_name>, protocols=<list_of_protocols>)

   Copy to Clipboard Toggle word wrap

   Example

   /subsystem=elytron/server-ssl-context=examplehttpsSSC:add(key-manager=exampleKeyManager, protocols=["TLSv1.2"])

   Copy to Clipboard Toggle word wrap

   重要

   您需要确定您要支持的 SSL/TLS 协议。示例命令使用 TLSv1.2。

   • 对于 TLSv1.2 及更早版本，请使用 cipher-suite-filter 参数指定允许哪些密码套件。
   • 对于 TLSv1.3，使用 cipher-suite-names 参数指定允许哪些密码套件。TLSv1.3 默认禁用。如果您没有使用 protocol 属性指定 协议，或者指定的集合包含 TLSv1.3，请配置 cipher-suite-names 启用 TLSv1.3。

   使用 use-cipher-suites-order 参数来遵循服务器密码套件顺序。use-cipher-suites-order 属性默认设置为 true。这与旧的 security 子系统行为不同，它默认为遵循客户端密码套件顺序。

5. 更新管理界面，以使用配置的 server-ssl-context。

   语法

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=<server-ssl-context_name>)
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

   Copy to Clipboard Toggle word wrap

   Example

   /core-service=management/management-interface=http-interface:write-attribute(name=ssl-context, value=examplehttpsSSC)
   /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)

   Copy to Clipboard Toggle word wrap

6. 重新加载服务器。

   reload

   Copy to Clipboard Toggle word wrap

   如果您使用自签名证书启用 SSL/TLS，管理 CLI 会提示您接受服务器提供的证书。这是您通过配置密钥存储的证书。

   输出示例

   Unable to connect due to unrecognised server certificate
   Subject    - CN=localhost
   Issuer     - CN=localhost
   Valid From - Mon Jan 30 23:47:21 IST 2023
   Valid To   - Tue Jan 30 23:47:21 IST 2024
   MD5 : a1:00:84:78:a6:46:a4:78:4d:44:c8:6d:ba:1f:30:6a
   SHA1 : a4:e5:c1:34:ad:e0:91:18:6f:f6:57:09:91:ae:17:8d:70:f0:1a:7d
   
   
   Accept certificate? [N]o, [T]emporarily, [P]ermanently :

   Copy to Clipboard Toggle word wrap

   输入 T 或 P 以继续连接。

验证

1. 将显示的证书 JBoss EAP 与浏览器与服务器日志中的证书进行比较。

   服务器日志示例

   17:50:24,086 WARN  [org.wildfly.extension.elytron] (default task-1) WFLYELY01085: Generated self-signed certificate at /home/user1/Downloads/wildflies/wildfly-27.0.1.Final/standalone/configuration/application.keystore. Please note that self-signed certificates are not secure and should only be used for testing purposes. Do not use this self-signed certificate in production.
   SHA-1 fingerprint of the generated key is 11:2f:e7:8c:18:b7:2c:c1:b0:5a:ad:ea:83:e0:32:59:ba:73:91:e2
   SHA-256 fingerprint of the generated key is b2:a4:ed:b0:5c:c2:a1:4c:ca:39:03:e8:3a:11:e4:c5:c4:81:9d:46:97:7c:e6:6f:0c:45:f6:5d:64:3f:0d:64

   Copy to Clipboard Toggle word wrap

   向浏览器显示的证书示例

   SHA-256 Fingerprint	B2 A4 ED B0 5C C2 A1 4C CA 39 03 E8 3A 11 E4 C5
   C4 81 9D 46 97 7C E6 6F 0C 45 F6 5D 64 3F 0D 64
   SHA-1 Fingerprint	11 2F E7 8C 18 B7 2C C1 B0 5A AD EA 83 E0 32 59
   BA 73 91 E2

   Copy to Clipboard Toggle word wrap

2. 如果指纹匹配，如示例中，您可以继续进入该页面。

验证

1. 进入 https://localhost:8443。

   如果您使用了自签名证书，浏览器会显示一个警告，表示服务器出示的证书未知。

2. 检查证书，并验证浏览器中显示的指纹是否与密钥存储中的证书的指纹匹配。您可以使用以下命令查看生成的证书：

   语法

   /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

   Copy to Clipboard Toggle word wrap

   Example

   /subsystem=elytron/key-store=key-store-4cba6678-c464-4dcc-90ff-9295312ac395:read-alias(alias="localhost")

   Copy to Clipboard Toggle word wrap

   您可以从向导的输出中获取密钥存储名称，例如 "key-store 为 key-store-4cba6678-c464-4dcc-90ff-9295312ac395"。

   输出示例

   ...
   "sha-1-digest" => "48:e3:6f:16:d1:af:4b:31:8f:9b:0b:7f:33:94:58:af:69:85:c
   0:ea",
   "sha-256-digest" => "8f:3e:6b:b5:56:e0:d1:97:81:bc:f1:8d:c8:66:75:06:db:7d
   :4d:b6:b1:d3:34:dd:f5:6c:85:ca:c7:2b:5b:c7",
   ...

   Copy to Clipboard Toggle word wrap

流程

1. 配置密钥存储以存储证书。

   您可以提供到现有密钥存储的路径，例如，包含 CA 签名证书的路径，或者提供要创建的密钥存储的路径。

   /subsystem=elytron/key-store=<keystore_name>:add(path=<path_to_keystore>, credential-reference=<credential_reference>, type=<keystore_type>)

   Copy to Clipboard Toggle word wrap

   Example

   /subsystem=elytron/key-store=exampleKeyStore:add(path=exampleserver.keystore.pkcs12, relative-to=jboss.server.config.dir,credential-reference={clear-text=secret},type=PKCS12)

   Copy to Clipboard Toggle word wrap

2. 如果密钥存储不包含任何证书，或者您使用上面的步骤来创建密钥存储，则必须生成证书并将证书存储在文件中。

   1. 在密钥存储中生成密钥对。

      语法

      /subsystem=elytron/key-store=<keystore_name>:generate-key-pair(alias=<keystore_alias>,algorithm=<algorithm>,key-size=<key_size>,validity=<validity_in_days>,credential-reference=<credential_reference>,distinguished-name="<distinguished_name>")

      Copy to Clipboard Toggle word wrap

      Example

      /subsystem=elytron/key-store=exampleKeyStore:generate-key-pair(alias=localhost,algorithm=RSA,key-size=2048,validity=365,credential-reference={clear-text=secret},distinguished-name="CN=localhost")

      Copy to Clipboard Toggle word wrap

   2. 将证书存储在文件中。

      语法

      /subsystem=elytron/key-store=<keystore_name>:store()

      Copy to Clipboard Toggle word wrap

      Example

      /subsystem=elytron/key-store=exampleKeyStore:store()

      Copy to Clipboard Toggle word wrap

3. 配置引用 key-store 的 key-manager。

   语法

   /subsystem=elytron/key-manager=<key-manager_name>:add(key-store=<key-store_name>,credential-reference=<credential_reference>)

   Copy to Clipboard Toggle word wrap

   Example

   /subsystem=elytron/key-manager=exampleKeyManager:add(key-store=exampleKeyStore,credential-reference={clear-text=secret})

   Copy to Clipboard Toggle word wrap

   重要

   红帽没有指定 algorithm 属性，因为 elytron 子系统使用 KeyManagerFactory.getDefaultAlgorithm （） 来默认确定算法。但是，您可以指定 algorithm 属性。

   要指定 algorithm 属性，您需要知道您使用的 Java Development Kit (JDK)提供哪些密钥管理器算法。例如，使用 Java 安全套接字扩展(SunJSSE)的 JDK 提供了 PKIX 和 SunX509 算法。

   在命令中，您可以指定 SunX509 作为 key-manager 算法属性。

4. 配置引用 key-manager 的 server-ssl-context。

   语法

   /subsystem=elytron/server-ssl-context=<server-ssl-context_name>:add(key-manager=<key-manager_name>, protocols=<list_of_protocols>)

   Copy to Clipboard Toggle word wrap

   Example

   /subsystem=elytron/server-ssl-context=examplehttpsSSC:add(key-manager=exampleKeyManager, protocols=["TLSv1.2"])

   Copy to Clipboard Toggle word wrap

   重要

   您需要确定您要支持的 SSL/TLS 协议。示例命令使用 TLSv1.2。

   • 对于 TLSv1.2 及更早版本，请使用 cipher-suite-filter 参数指定允许哪些密码套件。
   • 对于 TLSv1.3，使用 cipher-suite-names 参数指定允许哪些密码套件。TLSv1.3 默认禁用。如果您没有使用 protocol 属性指定 协议，或者指定的集合包含 TLSv1.3，请配置 cipher-suite-names 启用 TLSv1.3。

   使用 use-cipher-suites-order 参数来遵循服务器密码套件顺序。use-cipher-suites-order 属性默认设置为 true。这与旧的 security 子系统行为不同，它默认为遵循客户端密码套件顺序。

5. 更新 Undertow，以使用配置的 server-ssl-context。

   语法

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=<server-ssl-context_name>)

   Copy to Clipboard Toggle word wrap

   Example

   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=ssl-context, value=examplehttpsSSC)

   Copy to Clipboard Toggle word wrap

6. 重新加载服务器。

   reload

   Copy to Clipboard Toggle word wrap

验证

1. 进入 https://localhost:8443。

   如果您使用了自签名证书，浏览器会显示一个警告，表示服务器出示的证书未知。

2. 检查证书，并验证浏览器中显示的指纹是否与密钥存储中的证书的指纹匹配。您可以使用以下命令查看生成的证书：

   语法

   /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

   Copy to Clipboard Toggle word wrap

   Example

   /subsystem=elytron/key-store=exampleKeyStore:read-alias(alias=localhost)

   Copy to Clipboard Toggle word wrap

   输出示例

   ...
   "sha-1-digest" => "cc:f1:82:59:c7:0d:f6:91:bc:3e:69:0a:38:fb:48:be:ec:7f:d
   4:bd",
   "sha-256-digest" => "c0:f3:f9:8b:3c:f1:72:17:64:54:35:a6:bb:82:7e:51:b0:78
   :30:cb:68:ef:04:0e:f5:2b:9d:62:ca:a7:f6:35",
   ...

   Copy to Clipboard Toggle word wrap

流程

1. 使用 mvn 命令设置 Maven 项目。该命令创建项目的目录结构以及 pom.xml 配置文件。

   $ mvn archetype:generate \
   -DgroupId=com.example.client \
   -DartifactId=client-ssl-context \
   -DarchetypeGroupId=org.apache.maven.archetypes \
   -DarchetypeArtifactId=maven-archetype-quickstart \
   -DinteractiveMode=false

   Copy to Clipboard Toggle word wrap

2. 导航到应用程序根目录。

   $ cd client-ssl-context

   Copy to Clipboard Toggle word wrap

3. 将生成的 pom.xml 文件的内容替换为以下文本：

   <?xml version="1.0" encoding="UTF-8"?>
   
   <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
     xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
     <modelVersion>4.0.0</modelVersion>
   
     <groupId>com.example.client</groupId>
     <artifactId>client-ssl-context</artifactId>
     <version>1.0-SNAPSHOT</version>
   
     <name>client-ssl-context</name>
   
     <properties>
       <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
       <maven.compiler.source>11</maven.compiler.source>
       <maven.compiler.target>11</maven.compiler.target>
     </properties>
   
     <repositories>
       <repository>
         <id>jboss-public-maven-repository</id>
         <name>JBoss Public Maven Repository</name>
         <url>https://repository.jboss.org/nexus/content/groups/public/</url>
         <releases>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </releases>
         <snapshots>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </snapshots>
         <layout>default</layout>
       </repository>
       <repository>
         <id>redhat-ga-maven-repository</id>
         <name>Red Hat GA Maven Repository</name>
         <url>https://maven.repository.redhat.com/ga/</url>
         <releases>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </releases>
         <snapshots>
           <enabled>true</enabled>
           <updatePolicy>never</updatePolicy>
         </snapshots>
         <layout>default</layout>
       </repository>
     </repositories>
   
     <dependencies>
       <dependency>                                         

   1

   
         <groupId>org.wildfly.security</groupId>
         <artifactId>wildfly-elytron-client</artifactId>
         <version>2.0.0.Final-redhat-00001</version>
       </dependency>
       <dependency>                                         

   2

   
         <groupId>org.wildfly.client</groupId>
         <artifactId>wildfly-client-config</artifactId>
         <version>1.0.1.Final-redhat-00001</version>
       </dependency>
     </dependencies>
   
     <build>
       <plugins>
         <plugin>
           <groupId>org.codehaus.mojo</groupId>
           <artifactId>exec-maven-plugin</artifactId>
           <version>1.4.0</version>
           <configuration>
             <mainClass>com.example.client.App</mainClass>
           </configuration>
         </plugin>
       </plugins>
     </build>
   </project>

   Copy to Clipboard Toggle word wrap

   1

   wildfly-elytron-client 的依赖项。

   2

   wildfly-client-config 的依赖项。

4. 删除 src/test 目录。

   $ rm -rf src/test/

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个用于存储 Java 文件的目录。

   $ mkdir -p <application_home>/src/main/java/com/example/client

   Copy to Clipboard Toggle word wrap

2. 前往新目录。

   $ cd <application_home>/src/main/java/com/example/client

   Copy to Clipboard Toggle word wrap

3. 使用以下内容创建 Java 文件 App.java ：

   package com.example.client;
   
   import java.io.IOException;
   import java.net.URI;
   import java.net.http.HttpClient;
   import java.net.http.HttpRequest;
   import java.net.http.HttpResponse;
   import java.net.http.HttpResponse.BodyHandlers;
   import java.security.NoSuchAlgorithmException;
   import java.security.Security;
   import java.util.Properties;
   import javax.net.ssl.SSLContext;
   import org.wildfly.security.auth.client.WildFlyElytronClientDefaultSSLContextProvider;
   
   public class App  {
   
     public static void main( String[] args )  {
     String url = "https://localhost:8443/";                                                                                   

   1

   
     try {
       Security.insertProviderAt(new WildFlyElytronClientDefaultSSLContextProvider("src/wildfly-config-two-way-tls.xml"), 1);  

   2

   
       HttpClient httpClient = HttpClient.newBuilder().sslContext(SSLContext.getDefault()).build();
       HttpRequest request = HttpRequest.newBuilder()
                   .uri(URI.create(url))
                   .GET()
                   .build();
       HttpResponse<Void> httpRresponse = httpClient.send(request, BodyHandlers.discarding());
       String sslContext = SSLContext.getDefault().getProvider().getName();                                                    

   3

   
       System.out.println ("\nSSL Default SSLContext is: " + sslContext);
   
     } catch (NoSuchAlgorithmException | IOException | InterruptedException e) {
         e.printStackTrace();
       }
   
     System.exit(0);
     }
   }

   Copy to Clipboard Toggle word wrap

   1

   定义 JBoss EAP 主页 URL。

   2

   注册安全供应商。1 定义此提供程序的优先级.要静态注册提供程序，您可以在 java.security 文件中添加提供程序：security.provider .1=org.wildfly.security.auth.client.WildFlyElytronClientDefaultSSLContextProvider < PATH> / <TO>/wildfly-config-two-way-tls.xml

   3

   获取默认的 SSL 上下文。

4. 在 < application_home> /src 目录中创建名为 "wildfly-config-two-way-tls.xml" 的客户端配置文件。

   <?xml version="1.0" encoding="UTF-8"?>
   
   <configuration>
       <authentication-client xmlns="urn:elytron:client:1.7">
           <key-stores>
               <key-store name="truststore" type="PKCS12">
                   <file name="${path_to_client_truststore}/client.truststore.p12"/>
                   <key-store-clear-password password="secret"/>
               </key-store>
               <key-store name="keystore" type="PKCS12">
                   <file name="${path_to_client_keystore}/exampleclient.keystore.pkcs12"/>
                   <key-store-clear-password password="secret"/>
               </key-store>
           </key-stores>
           <ssl-contexts>
               <ssl-context name="client-context">
                   <trust-store key-store-name="truststore"/>
                   <key-store-ssl-certificate key-store-name="keystore" alias="exampleclientkeystore">
                       <key-store-clear-password password="secret"/>
                   </key-store-ssl-certificate>
               </ssl-context>
           </ssl-contexts>
           <ssl-context-rules>
               <rule use-ssl-context="client-context"/>
           </ssl-context-rules>
       </authentication-client>
   </configuration>

   Copy to Clipboard Toggle word wrap

   将 holder 值替换为实际路径：

   • ${path_to_client_truststore}
   • ${path_to_client_keystore}

验证

1. 进入 < application_home> 目录。

2. 运行应用程序。

   $ mvn compile exec:java

   Copy to Clipboard Toggle word wrap

   输出示例

   INFO: ELY00001: WildFly Elytron version 2.0.0.Final-redhat-00001
   
   SSL Default SSLContext is: WildFlyElytronClientDefaultSSLContextProvider

   Copy to Clipboard Toggle word wrap