保护 JBoss EAP 中的凭证存储

先决条件

• 您对在其下运行 JBoss EAP 的用户帐户至少提供了对包含 KeyStoreCredentialStore 目录的读/写权限。

流程

• 使用以下管理 CLI 命令，创建一个 KeyStoreCredentialStore：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:add(path="<path_to_store_file>", relative-to=<base_path_to_store_file>, credential-reference={clear-text=<store_password>}, create=true)

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:add(path="exampleKeyStoreCredentialStore.jceks", relative-to=jboss.server.data.dir, credential-reference={clear-text=password}, create=true)
  {"outcome" => "success"}

• 在每个主机控制器中创建一个 credential-store，并向每一个 credential-store 添加凭证。
• 将填充的 credential-store 从一个主机控制器拷贝到所有其他主机控制器。
• 将 credential-store 文件保存在网络文件系统(NFS)中，然后对您创建的所有 credential-store 资源使用该文件。

先决条件

• JBoss EAP 正在运行。
• 您为在其下运行 JBoss EAP 的用户帐户至少提供了对包含 secret-key-credential-store 的目录的读/写权限。

流程

• 使用以下命令，使用管理 CLI 来创建一个 secret-key-credential-store ：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:add(path="<path_to_the_credential_store>", relative-to=<path_to_store_file>)

  Example

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:add(path=examplePropertiesCredentialStore.cs, relative-to=jboss.server.config.dir)
  {"outcome" => "success"}

先决条件

• 您已创建了一个 credential-store。

  有关创建 credential-store 的详情，请参考 为独立服务器创建一个 credential-store 。

流程

• 将新的 PasswordCredential 添加到 credential-store 中：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:add-alias(alias=<alias>, secret-value=<secret-value>)

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:add-alias(alias=passwordCredentialAlias, secret-value=StrongPassword)
  {"outcome" => "success"}

验证

• 发出以下命令来验证 PasswordCredential 是否已添加到 credential-store 中：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => ["passwordcredentialalias"]
  }

先决条件

• 您已创建了一个 credential-store。

  有关创建 credential-store 的详情，请参考 为独立服务器创建一个 credential-store 。

流程

• 使用以下管理 CLI 命令，在 credential-store 中生成一个 SecretKeyCredential：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:generate-secret-key(alias=<alias>, key-size=<128_or_192>)

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:generate-secret-key(alias=secretKeyCredentialAlias)

验证

• 发出以下命令以验证您的 SecretKeyCredential 是否存储在 credential-store 中：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias"
      ]
  }

先决条件

• 您已创建了一个 secret-key-credential-store。

  有关创建 secret-key-credential-store 的详情，请参考 为独立服务器创建一个 secret-key-credential-store 。

流程

• 使用以下管理 CLI 命令在 secret-key-credential-store 中生成一个 SecretKeyCredential：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_the_properties_credential_store>:generate-secret-key(alias=<alias>, key-size=<128_or_192>)

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:generate-secret-key(alias=secretKeyCredentialAlias)
  {"outcome" => "success"}

验证

• 发出以下命令以验证 Elytron 创建了 SecretKeyCredential:

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_the_properties_credential_store>:read-aliases()

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => [
          "secretkeycredentialalias",
          "key"
      ]
  }

先决条件

• 您已创建了一个 secret-key-credential-store。

  有关创建 secret-key-credential-store 的详情，请参考 为独立服务器创建一个 secret-key-credential-store 。

• 您已导出了一个 SecretKeyCredential。

  有关导出 SecretKeyCredential 的详情，请参考从 secret-key-credential-store中导出 SecretKeyCredential。

流程

• 使用以下管理 CLI 命令列出存储在 credential-store 中的凭证：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  示例

  {
      "outcome" => "success",
      "result" => [
          "passwordcredentialalias",
          "secretkeycredentialalias"
      ]
  }

先决条件

• 您已在 credentials-store 中生成了一个 SecretKeyCredential。

  有关在 credential-store 中生成 SecretKeyCredential 的信息，请参阅在 credential-store中生成 SecretKeyCredential。

流程

• 使用以下管理 CLI 命令，从 credential-store 中导出 SecretKeyCredential：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:export-secret-key(alias=<alias>)

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:export-secret-key(alias=secretKeyCredentialAlias)
  {
      "outcome" => "success",
      "result" => {"key" => "RUxZAUui+8JkoDCE6mFyA3cCIbSAZaXq5wgYejj1scYgdDqWiw=="}
  }

先决条件

• 您已在 secret-key-credential-store 中生成了一个 SecretKeyCredential，或者已将其导入到其中。

  有关在 secret-key-credential-store 中生成一个 SecretKeyCredential 的信息，请在 secret-key-credential-store中生成一个 Secret KeyCredential。

  有关将 SecretKeyCredential 导入到 secret-key-credential-store 中的信息，请参阅将 SecretKeyCredential 导入到 secret-key-credential-store 中。

流程

• 使用以下管理 CLI 命令从 secret-key-credential-store 中导出一个 SecretKeyCredential：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:export-secret-key(alias=<alias>)

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:export-secret-key(alias=secretkeycredentialalias)
  {
      "outcome" => "success",
      "result" => {"key" => "RUxZAUtxXcYvz0aukZu+odOynIr0ByLhC72iwzlJsi+ZPmONgA=="}
  }

流程

• 使用以下管理 CLI 命令，从 credential-store 中删除一个凭证：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:remove-alias(alias=<alias>, entry-type=<credential_type>)

  删除 PasswordCredential 的示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:remove-alias(alias=passwordCredentialAlias)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'passwordCredentialAlias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("credential-store" => "exampleKeyStoreCredentialStore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

  删除 SecretKeyCredential 的示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:remove-alias(alias=secretKeyCredentialAlias, entry-type=SecretKeyCredential)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'secretKeyCredentialAl
  ias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("credential-store" => "exampleKeyStoreCredentialStore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

验证

• 发出以下命令来验证 Elytron 是否删除了凭证：

  语法

  /subsystem=elytron/credential-store=<name_of_credential_store>:read-aliases()

  示例

  /subsystem=elytron/credential-store=exampleKeyStoreCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => []
  }

  您删除的凭证不会被列出。

流程

• 使用以下命令，从 secret-key-credential-store 中删除一个 SecretKeyCredential：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:remove-alias(alias=<alias>)

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:remove-alias(alias=secretKeyCredentialAlias)
  {
      "outcome" => "success",
      "response-headers" => {"warnings" => [{
          "warning" => "Update dependent resources as alias 'secretKeyCredentialAlias' does not exist anymore",
          "level" => "WARNING",
          "operation" => {
              "address" => [
                  ("subsystem" => "elytron"),
                  ("secret-key-credential-store" => "examplePropertiesCredentialSt
  ore")
              ],
              "operation" => "remove-alias"
          }
      }]}
  }

验证

• 发出以下命令来验证 Elytron 是否删除了凭证：

  语法

  /subsystem=elytron/secret-key-credential-store=<name_of_credential_store>:read-aliases()

  示例

  /subsystem=elytron/secret-key-credential-store=examplePropertiesCredentialStore:read-aliases()
  {
      "outcome" => "success",
      "result" => []
  }

  您删除的凭证不会被列出。

流程

• 使用以下命令，使用 WildFly Elytron 工具创建一个 credential-store ：

  语法

  $ EAP_HOME/bin/elytron-tool.sh credential-store --create --location "<path_to_store_file>" --password <store_password>

  示例

  $ EAP_HOME/bin/elytron-tool.sh credential-store --create --location "../cred_stores/example-credential-store.jceks" --password storePassword
  Credential Store has been successfully created

  如果您不想将存储密码包含在命令中，请省略该参数，然后在提示符下手动输入密码。您还可以使用由 WildFly Elytron 工具生成的已屏蔽密码。有关生成屏蔽密码的详情，请参考 使用 WildFly Elytron 工具生成屏蔽的加密字符串。

先决条件

• 确保您的环境已配置为使用 Bouncy Castle。

流程

• 使用以下命令，使用 WildFly Elytron 工具创建 PropertiesCredentialStore：

  语法

  $ EAP_HOME/bin/elytron-tool.sh credential-store --create --location "<path_to_store_file>" --type PropertiesCredentialStore

  示例

  $ bin/elytron-tool.sh credential-store --create --location=standalone/configuration/properties-credential-store.cs --type PropertiesCredentialStore
  Credential Store has been successfully created

先决条件

• 您已使用 WildFly Elytron 工具创建了凭据存储。

  如需更多信息，请参阅 使用 WildFly Elytron 工具创建一个 credential-store 。

流程

• 使用以下管理 CLI 命令，将凭证存储添加到正在运行的 JBoss EAP 服务器中：

  语法

  /subsystem=elytron/credential-store=<store_name>:add(location="<path_to_store_file>",credential-reference={clear-text=<store_password>})

  Example

  /subsystem=elytron/credential-store=my_store:add(location="../cred_stores/example-credential-store.jceks",credential-reference={clear-text=storePassword})

流程

• 要生成屏蔽的字符串，请使用以下命令，并为 salt 和iteration 数提供值：

  $ EAP_HOME/bin/elytron-tool.sh mask --salt <salt> --iteration <iteration_count> --secret <password>

  例如：

  $ EAP_HOME/bin/elytron-tool.sh mask --salt 12345678 --iteration 123 --secret supersecretstorepassword
  
  MASK-8VzWsSNwBaR676g8ujiIDdFKwSjOBHCHgnKf17nun3v;12345678;123

  如果您不想在命令中提供 secret，可以省略该参数，系统将提示您使用标准输入输入 secret。

• 用于 Java Cryptography 扩展(JCE)和 Java Cryptography 架构(JCA)的 BouncyCastle FIPS 供应商。
• Java 安全套接字扩展(JSSE)的 BouncyCastle FIPS 供应商。