2.4. 配置 SSL 上下文以使用 SSL/TLS 保护 JBoss EAP 管理接口

先决条件

• JBoss EAP 正在运行。

• 您已为客户端证书配置了服务器信任存储和信任管理器。

  如需更多信息，请参阅为客户端证书配置信任存储和信任管理器。

• 您已配置了服务器证书。

  如需更多信息，请参阅为 SSL/TLS 配置服务器证书

验证

• 验证管理控制台是否受到保护。

  1. 使用 CLI 验证：

     语法

     $ curl --verbose --location --cacert <server_certificate> --cert <client_keystore>:<password> --cert-type P12 https://localhost:9993

     Copy to Clipboard Toggle word wrap

     Example

     $ curl --verbose --location --cacert server.cer --cert EAP_HOME/standalone/configuration/exampleclient.keystore.pkcs12:secret --cert-type P12 https://localhost:9993
     ...
     < HTTP/1.1 200 OK
     ...

     Copy to Clipboard Toggle word wrap

  2. 使用浏览器进行验证。

     1. 将客户端证书导入到您的浏览器中。生成客户端证书过程中创建的示例证书 称为 exampleclient.keystore.pkcs12，以及用于导入它的示例密码是 secret。

        有关将证书导入到浏览器的信息，请参阅浏览器的文档。

     2. 在浏览器中打开 https://localhost:9993。

        浏览器提示您显示与服务器相关的证书。

     3. 选择您导入到浏览器的证书。例如： exampleclient.keystore.pkcs12。

        如果您使用自签名证书，浏览器会显示一个警告，表示服务器出示的证书未知。

     4. 检查证书，并验证浏览器中显示的指纹是否与密钥存储中的证书的指纹匹配。您可以使用以下命令在密钥存储中查看证书：

        语法

        /subsystem=elytron/key-store=<server_keystore_name>:read-alias(alias=<alias>)

        Copy to Clipboard Toggle word wrap

        Example

        /subsystem=elytron/key-store=exampleServerKeyStore:read-alias(alias=localhost)
        ...
        "sha-1-digest" => "5e:3e:ad:c8:df:d7:f6:63:38:05:e2:a3:a7:31:07:82:c8:c8:94:47",
        "sha-256-digest" => "11:b6:8f:00:42:e1:7f:6c:16:ef:db:08:5e:13:d9:b8:16:6e:a0:3c:2e:d4:e5:fd:cb:53:90:88:d2:9c:b1:99",

        Copy to Clipboard Toggle word wrap

  接受服务器证书后，会提示您输入登录凭证。您可以使用现有 JBoss EAP 用户的用户凭证登录。

• 验证管理 CLI 是否受到保护。

  • 使用以下内容创建文件 wildfly-config.xml ：

    Example

    <?xml version="1.0" encoding="UTF-8"?>
    
    <configuration>
        <authentication-client xmlns="urn:elytron:client:1.7">
            <key-stores>
                <key-store name="truststore" type="PKCS12">
                    <file name="${path_to_client_truststore}/client.truststore.p12"/>
                    <key-store-clear-password password="secret" />
                </key-store>
                <key-store name="keystore" type="PKCS12">
                    <file name="${path_to_client_truststore}/exampleclient.keystore.pkcs12"/>
                    <key-store-clear-password password="secret" />
                </key-store>
            </key-stores>
            <ssl-contexts>
                <ssl-context name="client-context">
                    <trust-store key-store-name="truststore"/>
                    <key-store-ssl-certificate key-store-name="keystore">
                        <key-store-clear-password password="secret" />
                    </key-store-ssl-certificate>
                    <providers>
                        <global/>
                    </providers>
                </ssl-context>
            </ssl-contexts>
            <ssl-context-rules>
                <rule use-ssl-context="client-context" />
            </ssl-context-rules>
        </authentication-client>
    </configuration>

    Copy to Clipboard Toggle word wrap

    注意

    您可以在 key-store-clear-password 元素中使用屏蔽的密码来代替明文处理。

  • 通过提供客户端证书来访问管理 CLI。

    $ ./jboss-cli.sh --controller=remote+https://127.0.0.1:9993 -Dwildfly.config.url=/path/to/wildfly-config.xml --connect

    Copy to Clipboard Toggle word wrap