11.8. 管理接口的安全性
11.8.1. 默认的用户安全性配置
介绍
在 EAP 6 里，所有的管理接口都默认是有设置安全性的。这个安全性采取两种形式：
- 本地接口通过本地客户和服务器间的 SASL 合约设置安全性。这个安全机制基于客户访问本地文件系统的能力。这是因为访问本地文件系统会允许客户添加用户或修改配置以阻挠其他安全机制。如果对文件系统的物理访问可以实现，那么其他安全机制就是多余的。这个机制以四个步骤实现：
注意
即使你通过 HTTP 连接本地主机，HTTP 访问仍会视作远程的。- 客户发送一条消息给服务器，它包含一个用本地 SASL 机制验证的请求。
- 服务器生成一个一次性的令牌，将其写入到唯一的文件里，然后发送具有完整文件路径的消息给客户。
- 客户从文件里读取令牌并发送给服务器，检验它是否具有对文件系统的本地访问权限。
- 服务器验证令牌并删除这个文件。
- 远程客户，包括本地 HTTP 客户，使用基于区的安全性。带有使用管理接口远程配置 JBoss EAP 6 权限的默认区是
ManagementRealm。我们提供了一个脚本，允许你添加用户到这个区（或者你创建的区）。请参考《JBoss EAP 6 安装指南》的 Getting Started 章节。对于每个用户、用户名、hased 密码、以及区都存储在文件里。- 受管域
EAP_HOME/domain/configuration/mgmt-users.properties- 独立服务器
EAP_HOME/standalone/configuration/mgmt-users.properties
即使mgmt-users.properties的内容都是以掩码显示的，这个文件仍必须作为敏感文件对待。我们推荐将其文件权限设置为600，这样除了文件所有者，其他人都没有读或写的权限。
