使用身份存储保护应用程序和管理界面

流程

1. 在 Elytron 中创建一个加密的 filesystem-realm。

   语法

   /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:add(path=<file_path>,credential-store=<name_of_credential_store>,secret-key=<key>)

   Example

   /subsystem=elytron/filesystem-realm=exampleSecurityRealm:add(path=fs-realm-users,relative-to=jboss.server.config.dir, credential-store=examplePropertiesCredentialStore, secret-key=key)
   {"outcome" => "success"}

2. 将用户添加到域，并配置用户的角色。

   1. 添加用户。

      语法

      /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:add-identity(identity=<user_name>)

      Example

      /subsystem=elytron/filesystem-realm=exampleSecurityRealm:add-identity(identity=user1)
      {"outcome" => "success"}

   2. 设置用户的密码。

      语法

      /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:set-password(identity=<user_name>, clear={password=<password>})

      Example

      /subsystem=elytron/filesystem-realm=exampleSecurityRealm:set-password(identity=user1, clear={password="passwordUser1"})
      {"outcome" => "success"}

   3. 为用户设置角色。

      语法

      /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:add-identity-attribute(identity=<user_name>, name=<roles_attribute_name>, value=[<role_1>,<role_N>])

      Example

      /subsystem=elytron/filesystem-realm=exampleSecurityRealm:add-identity-attribute(identity=user1, name=Roles, value=["Admin","Guest"])
      {"outcome" => "success"}

3. 创建一个引用 filesystem-realm 的安全域。

   语法

   /subsystem=elytron/security-domain=<security_domain_name>:add(default-realm=<filesystem_realm_name>,permission-mapper=default-permission-mapper,realms=[{realm=<filesystem_realm_name>,role-decoder="<role_decoder_name>"}])

   Example

   /subsystem=elytron/security-domain=exampleSecurityDomain:add(default-realm=exampleSecurityRealm,permission-mapper=default-permission-mapper,realms=[{realm=exampleSecurityRealm}])
   {"outcome" => "success"}

流程

1. 创建密钥存储。

   语法

   /subsystem=elytron/key-store=<key_store_name>:add(path=<path_to_key_store_file>,credential-reference={<password>})

   Example

   /subsystem=elytron/key-store=exampleKeystore:add(path=keystore, relative-to=jboss.server.config.dir, type=JKS, credential-reference={clear-text=secret})
   {"outcome" => "success"}

2. 在密钥对存储中创建密钥对。

   语法

   /subsystem=elytron/key-store=<key_store_name>:generate-key-pair(alias=<alias>,algorithm=<key_algorithm>,key-size=<size_of_key>,validity=<validity_in_days>,distinguished-name="<distinguished_name>")

   Example

   /subsystem=elytron/key-store=exampleKeystore:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,distinguished-name="CN=localhost")
   {"outcome" => "success"}

3. 将密钥对持久化到密钥存储文件。

   语法

   /subsystem=elytron/key-store=<key_store_name>:store()

   Example

   /subsystem=elytron/key-store=exampleKeystore:store()
   {
       "outcome" => "success",
       "result" => undefined
   }

流程

1. 在 Elytron 中创建 filesystem-realm。

   语法

   /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:add(path=<file_path>,key-store=<key_store_name>,key-store-alias=<key_store_alias>)

   Example

   /subsystem=elytron/filesystem-realm=exampleSecurityRealm:add(path=fs-realm-users,relative-to=jboss.server.config.dir, key-store=exampleKeystore, key-store-alias=localhost)
   {"outcome" => "success"}

2. 将用户添加到域，并配置用户的角色。

   1. 添加用户。

      语法

      /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:add-identity(identity=<user_name>)

      Example

      /subsystem=elytron/filesystem-realm=exampleSecurityRealm:add-identity(identity=user1)
      {"outcome" => "success"}

   2. 设置用户的密码。

      语法

      /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:set-password(identity=<user_name>, clear={password=<password>})

      Example

      /subsystem=elytron/filesystem-realm=exampleSecurityRealm:set-password(identity=user1, clear={password="passwordUser1"})
      {"outcome" => "success"}

   3. 为用户设置角色。

      语法

      /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:add-identity-attribute(identity=<user_name>, name=<roles_attribute_name>, value=[<role_1>,<role_N>])

      Example

      /subsystem=elytron/filesystem-realm=exampleSecurityRealm:add-identity-attribute(identity=user1, name=Roles, value=["Admin","Guest"])
      {"outcome" => "success"}

3. 创建一个引用 filesystem-realm 的安全域。

   语法

   /subsystem=elytron/security-domain=<security_domain_name>:add(default-realm=<filesystem_realm_name>,permission-mapper=default-permission-mapper,realms=[{realm=<filesystem_realm_name>,role-decoder="<role_decoder_name>"}])

   Example

   /subsystem=elytron/security-domain=exampleSecurityDomain:add(default-realm=exampleSecurityRealm,permission-mapper=default-permission-mapper,realms=[{realm=exampleSecurityRealm}])
   {"outcome" => "success"}

流程

1. 在现有密钥存储中创建密钥对。

   语法

   /subsystem=elytron/key-store=<key_store_name>:generate-key-pair(alias=<alias>,algorithm=<key_algorithm>,key-size=<size_of_key>,validity=<validity_in_days>,distinguished-name="<distinguished_name>")

   Example

   /subsystem=elytron/key-store=exampleKeystore:generate-key-pair(alias=localhost2,algorithm=RSA,key-size=1024,validity=365,distinguished-name="CN=localhost")
   {"outcome" => "success"}

2. 将密钥对持久化到密钥存储文件。

   语法

   /subsystem=elytron/key-store=<key_store_name>:store()

   Example

   /subsystem=elytron/key-store=exampleKeystore:store()
   {
       "outcome" => "success",
       "result" => undefined
   }

3. 更新密钥存储别名以引用新密钥对。

   语法

   /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:write-attribute(name=key-store-alias, value=<key_store_alias>)

   Example

   /subsystem=elytron/filesystem-realm=exampleSecurityRealm:write-attribute(name=key-store-alias, value=localhost2)
   {
       "outcome" => "success",
       "response-headers" => {
           "operation-requires-reload" => true,
           "process-state" => "reload-required"
       }
   }

4. 重新加载服务器。

   reload

5. 使用新密钥对，用新签名更新 filesystem-realm 中的文件。

   语法

   /subsystem=elytron/filesystem-realm=<filesystem_realm_name>:update-key-pair()

   Example

   /subsystem=elytron/filesystem-realm=exampleSecurityRealm:update-key-pair()
   {"outcome" => "success"}

流程

1. 将未加密的 filesystem-realm 转换为加密的。

   语法

   $ JBOSS_HOME/bin/elytron-tool.sh filesystem-realm-encrypt --input-location <existing_filesystem_realm_name> --output-location JBOSS_HOME/standalone/configuration/<target_filesystem_realm_name> --credential-store <path_to_credential_store>/<credential_store>

   Example

   $ JBOSS_HOME/bin/elytron-tool.sh filesystem-realm-encrypt --input-location JBOSS_HOME/standalone/configuration/fs-realm-users --output-location JBOSS_HOME/standalone/configuration/fs-realm-users-enc --credential-store JBOSS_HOME/standalone/configuration/examplePropertiesCredentialStore.cs
   
   Creating encrypted realm for: JBOSS_HOME/standalone/configuration/fs-realm-users
   Found credential store and alias, using pre-existing key

   WildFly Elytron 命令 filesystem-realm-encrypt 创建一个使用 --output-location 参数指定的 filesystem-realm。它还会在 filesystem-realm 的根目录处创建一个 CLI 脚本，您可以使用它来在 elytron 子系统中添加 filesystem-realm 资源。

   提示

   使用 --summary 选项查看命令执行的摘要。

2. 使用生成的 CLI 脚本，在 elytron 子系统中添加 filesystem-realm 资源。

   语法

   $ JBOSS_HOME/bin/jboss-cli.sh --connect --file=<target_filesystem_realm_directory>/<target_filesystem_realm_name>.cli

   Example

   $ JBOSS_HOME/bin/jboss-cli.sh --connect --file=JBOSS_HOME/standalone/configuration/fs-realm-users-enc/encrypted-filesystem-realm.cli

流程

1. 创建密钥存储。

   语法

   /subsystem=elytron/key-store=<key_store_name>:add(path=<path_to_key_store_file>,credential-reference={<password>})

   Example

   /subsystem=elytron/key-store=exampleKeystore:add(path=keystore, relative-to=jboss.server.config.dir, type=JKS, credential-reference={clear-text=secret})
   {"outcome" => "success"}

2. 在密钥对存储中创建密钥对。

   语法

   /subsystem=elytron/key-store=<key_store_name>:generate-key-pair(alias=<alias>,algorithm=<key_algorithm>,key-size=<size_of_key>,validity=<validity_in_days>,distinguished-name="<distinguished_name>")

   Example

   /subsystem=elytron/key-store=exampleKeystore:generate-key-pair(alias=localhost,algorithm=RSA,key-size=1024,validity=365,distinguished-name="CN=localhost")
   {"outcome" => "success"}

3. 将密钥对持久化到密钥存储文件。

   语法

   /subsystem=elytron/key-store=<key_store_name>:store()

   Example

   /subsystem=elytron/key-store=exampleKeystore:store()
   {
       "outcome" => "success",
       "result" => undefined
   }

流程

1. 使用现有的 filesystem-realm 并使用密钥对签名具有完整性的 filesystem-realm。

   要为现有 filesystem-realm 添加完整性支持，请使用以下命令省略 --output-location 和 --realm-name 选项。如果您指定了 --output-location 和 --realm-name 选项，命令会创建一个带有完整性检查的新 filesystem-realm，而无需更新现有检查。

   语法

   $ JBOSS_HOME/bin/elytron-tool.sh filesystem-realm-integrity  --input-location <path_to_existing_filesystem_realm> --keystore <path_to_key_store_file> --password <keystore_password> --key-pair <key_pair_alias> --output-location <path_for_new_filesystem_realm> --realm-name <name_of_new_filesystem_realm>

   Example

   $ JBOSS_HOME/bin/elytron-tool.sh filesystem-realm-integrity --input-location JBOSS_HOME/standalone/configuration/fs-realm-users/ --keystore JBOSS_HOME/standalone/configuration/keystore --password secret --key-pair localhost --output-location JBOSS_HOME/standalone/configuration/fs-realm-users --realm-name exampleRealmWithIntegrity

   示例输出

   Creating filesystem realm with integrity verification for: JBOSS_HOME/standalone/configuration/fs-realm-users

   WildFly Elytron 命令 filesystem-realm-integrity 创建一个使用 --output-location 参数指定的 filesystem-realm。它还会在 filesystem-realm 的根目录处创建一个 CLI 脚本，您可以使用它来在 elytron 子系统中添加 filesystem-realm 资源。

   提示

   使用 --summary 选项查看命令执行的摘要。

2. 使用生成的 CLI 脚本，在 elytron 子系统中添加 filesystem-realm 资源。

   语法

   $ JBOSS_HOME/bin/jboss-cli.sh --connect --file=<target_filesystem_realm_directory>/<target_filesystem_realm_name>.cli

   Example

   $ JBOSS_HOME/bin/jboss-cli.sh --connect --file=JBOSS_HOME/standalone/configuration/fs-realm-users/exampleRealmWithIntegrity.cli

流程

1. 使用 mvn 命令建立一个 Maven 项目。该命令创建项目的目录结构以及 pom.xml 配置文件。

   语法

   $ mvn archetype:generate \
   -DgroupId=${group-to-which-your-application-belongs} \
   -DartifactId=${name-of-your-application} \
   -DarchetypeGroupId=org.apache.maven.archetypes \
   -DarchetypeArtifactId=maven-archetype-webapp \
   -DinteractiveMode=false

   Example

   $ mvn archetype:generate \
   -DgroupId=com.example.app \
   -DartifactId=simple-webapp-example \
   -DarchetypeGroupId=org.apache.maven.archetypes \
   -DarchetypeArtifactId=maven-archetype-webapp \
   -DinteractiveMode=false

2. 进入到应用程序根目录：

   语法

   $ cd <name-of-your-application>

   Example

   $ cd simple-webapp-example

3. 将生成的 pom.xml 文件的内容替换为以下文本：

   <?xml version="1.0" encoding="UTF-8"?>
   
   <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
     xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
     <modelVersion>4.0.0</modelVersion>
   
     <groupId>com.example.app</groupId>
     <artifactId>simple-webapp-example</artifactId>
     <version>1.0-SNAPSHOT</version>
     <packaging>war</packaging>
   
     <name>simple-webapp-example Maven Webapp</name>
     <!-- FIXME change it to the project's website -->
     <url>http://www.example.com</url>
   
       <properties>
           <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
           <maven.compiler.source>11</maven.compiler.source>
           <maven.compiler.target>11</maven.compiler.target>
           <version.maven.war.plugin>3.4.0</version.maven.war.plugin>
       </properties>
   
       <dependencies>
           <dependency>
               <groupId>jakarta.servlet</groupId>
               <artifactId>jakarta.servlet-api</artifactId>
               <version>6.0.0</version>
               <scope>provided</scope>
           </dependency>
       </dependencies>
   
       <build>
           <finalName>${project.artifactId}</finalName>
           <plugins>
               <plugin>
                   <groupId>org.apache.maven.plugins</groupId>
                   <artifactId>maven-war-plugin</artifactId>
                   <version>${version.maven.war.plugin}</version>
               </plugin>
               <plugin>
                   <groupId>org.wildfly.plugins</groupId>
                   <artifactId>wildfly-maven-plugin</artifactId>
                   <version>4.2.2.Final</version>
               </plugin>
           </plugins>
       </build>
   </project>

流程

1. 创建一个用于存储 Java 文件的目录。

   语法

   $ mkdir -p src/main/java/<path_based_on_artifactID>

   Example

   $ mkdir -p src/main/java/com/example/app

2. 前往新目录。

   语法

   $ cd src/main/java/<path_based_on_artifactID>

   Example

   $ cd src/main/java/com/example/app

3. 使用以下内容创建一个 securedServlet.java 文件：

   package com.example.app;
   
   import java.io.IOException;
   import java.io.PrintWriter;
   import java.security.Principal;
   
   import jakarta.servlet.ServletException;
   import jakarta.servlet.annotation.WebServlet;
   import jakarta.servlet.http.HttpServlet;
   import jakarta.servlet.http.HttpServletRequest;
   import jakarta.servlet.http.HttpServletResponse;
   
   /**
    * A simple secured HTTP servlet. It returns the user name of obtained
    * from the logged-in user's Principal. If there is no logged-in user,
    * it returns the text "NO AUTHENTICATED USER".
    */
   
   @WebServlet("/secured")
   public class SecuredServlet extends HttpServlet {
   
       @Override
       protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
           try (PrintWriter writer = resp.getWriter()) {
               writer.println("<html>");
               writer.println("  <head><title>Secured Servlet</title></head>");
               writer.println("  <body>");
               writer.println("    <h1>Secured Servlet</h1>");
               writer.println("    <p>");
               writer.print(" Current Principal '");
               Principal user = req.getUserPrincipal();
               writer.print(user != null ? user.getName() : "NO AUTHENTICATED USER");
               writer.print("'");
               writer.println("    </p>");
               writer.println("  </body>");
               writer.println("</html>");
           }
       }
   
   }

4. 在应用程序根目录中，使用以下命令编译应用程序：

   $ mvn package
   ...
   [INFO] ------------------------------------------------------------------------
   [INFO] BUILD SUCCESS
   [INFO] ------------------------------------------------------------------------
   [INFO] Total time: 1.015 s
   [INFO] Finished at: 2022-04-28T17:48:53+05:30
   [INFO] ------------------------------------------------------------------------

5. 部署应用。

   $ mvn wildfly:deploy