手順3.1 デフォルトセキュリティーレルムからのサイレント認証の削除

• 管理 CLI でのサイレント認証の削除

  必要に応じて、管理レルムとアプリケーションレルムから local 要素を削除します。
  1. 管理レルムから local 要素を削除します。

     • スタンドアロンの場合

       /core-service=management/security-realm=ManagementRealm/authentication=local:remove

     • 管理対象ドメインの場合

       /host=HOST_NAME/core-service=management/security-realm=ManagementRealm/authentication=local:remove

  2. アプリケーションレルムから local 要素を削除します。

     • スタンドアロンの場合

       /core-service=management/security-realm=ApplicationRealm/authentication=local:remove

     • 管理対象ドメインの場合

       /host=HOST_NAME/core-service=management/security-realm=ApplicationRealm/authentication=local:remove

手順4.1 設定ファイルの編集

1. 設定ファイルを開きます。

   編集のために設定ファイルを開きます。このファイルは、管理対象ドメインを使用しているか、スタンドアロンサーバーを使用しているかに応じて、２ つの場所のいずれかに存在します。これは、サーバーまたはドメインを起動するために使用される実行可能ファイルではありません。

   • 管理対象ドメイン

     EAP_HOME/bin/domain.conf

   • スタンドアロンサーバー

     EAP_HOME/bin/standalone.conf

2. ファイルの最後に Java オプションを追加します。

   以下の行をファイルの最後に追加します。-Djava.security.policy 値を変更してセキュリティーポリシーの場所を指定できます。改行をせずに １ 行で指定する必要があります。デバッグレベルを指定して -Djava.security.debug を変更し、さらに多くの情報または少ない情報をログに記録できます。最も冗長なのは failure,access,policy です。

   JAVA_OPTS="$JAVA_OPTS -Djava.security.manager -Djboss.home.dir=$PWD/.. -Djava.security.policy==$PWD/server.policy -Djava.security.debug=failure"
   
   

3. ドメインサーバーを起動します。

   ドメインまたはサーバーを通常どおり起動します。

手順4.2 新しい Java Security Manager ポリシーの設定

1. policytool を起動します。

   policytool ツールを次のいずれかの方法で起動します。

   • Red Hat Enterprise Linux

     GUI またはコマンドプロンプトで、/usr/bin/policytool を実行します。

   • Microsoft Windows Server

     スタート メニューまたは Java インストールの bin\ から、policytool.exe を実行します。場所は異なることがあります。

2. ポリシーを新規作成します。

   ポリシーを新規作成するには、Add Policy Entry を選択します。必要なパラメーターを追加し、Done をクリックします。

3. 既存のポリシーの編集

   既存のポリシーのリストからポリシーを選択し、Edit Policy Entry ボタンを選択します。必要に応じて、パラメーターを編集します。

4. 既存のポリシーを削除します。

   既存のポリシーのリストからポリシーを選択し、Delete Policy Entry ボタンを選択します。

手順4.3 一般的なデバッグの有効化

• この手順を実行すると、セキュリティー関連デバッグ情報の一般的な機密レベルを有効にすることができます。

  次の行をサーバー設定ファイルに追加します。

  • 管理対象ドメインで JBoss Enterprise Application Platform インスタンスが実行されている場合、以下の行は Linux では bin/domain.conf ファイル、Windows では bin/domain.conf.bat ファイルに追加されます。
  • JBoss Enterprise Application Platform インスタンスがスタンドアロンサーバーとして実行されている場合、以下の行は Linux では bin/standalone.conf ファイル、Windows では bin\standalone.conf.bat ファイルに追加されます。

手順5.1 JBoss Watch List へのサブスクライブ

1. 次のリンクをクリックして、JBoss Watch メーリングリストのページへ移動します: JBoss Watch Mailing List。
2. Subscribing to Jboss-watch-list にメールアドレスを入力します。
3. 名前を入力し、パスワードを選択することも可能です。名前とパスワードの指定は任意ですが推奨されます。
4. Subscribe ボタンを押してサブスクリプションプロセスを開始します。
5. メーリングリストのアーカイブは JBoss Watch Mailing List Archives で閲覧できます。

手順5.2 zip 形式で JBoss 製品へパッチを適用する

1. JBoss watch メーリングリストにサブスクライブするか、JBoss watch メーリングリストのアーカイブを閲覧して、セキュリティーパッチに関する情報を入手します。

   注記

   JBoss watch メーリングリストではセキュリティーパッチのお知らせのみが通知されます。
2. エラータを読んでセキュリティーパッチに関する情報を取得し、使用環境の JBoss 製品に適用されることを確認します。
3. セキュリティーパッチが使用環境の JBoss 製品に適用される場合は、リンク先の Red Hat カスタマーポータルからパッチをダウンロードします。
4. カスタマーポータルのダウンロード可能な zip ファイルには、セキュリティーの問題やバグの修正に必要なファイルがすべて含まれています。ご使用の JBoss 製品がある場所にこのパッチ zip ファイルをダウンロードします。
5. JBoss 製品がインストールされている場所でパッチファイルを展開します。パッチ適用済みのバージョンは既存ファイルを上書きします。

手順5.3 RPM 形式で JBoss 製品へパッチを適用する

1. JBoss watch メーリングリストにサブスクライブするか、JBoss watch メーリングリストのアーカイブを閲覧して、セキュリティーパッチに関する情報を入手します。
2. エラータを読んでセキュリティーパッチに関する情報を取得し、使用環境の JBoss 製品に適用されることを確認します。
3. セキュリティーパッチが使用環境の JBoss 製品に適用される場合は、リンク先よりエラータに含まれている更新済みの RPM パッケージをダウンロードします。
4. パッチをインストールするには、以下のコマンドまたは同様のコマンドを実行します。

   yum update

手順6.1 セキュリティードメインの認証設定

1. セキュリティードメインの詳細ビューを開きます。

   管理コンソールの右上にある Profiles ラベルをクリックします。管理対象ドメインで、Profile ビューの左上にある Profile 選択ボックスから変更するプロファイルを選択します。左側の Security メニュー項目をクリックし、展開されたメニューで Security Domains をクリックします。編集するセキュリティードメインの View リンクをクリックします。

2. 認証サブシステム設定に移動します。

   ビューの最上部の Authentication ラベルをクリックします (まだ設定されていない場合)。
   設定領域が Login Modules と Details の 2 つの領域に分割されます。ログインモジュールは、設定の基本単位です。セキュリティードメインには複数のログインモジュールを含めることができ、各ログインモジュールには複数の属性とオプションを含めることができます。

3. 認証モジュールを追加します。

   Add ボタンをクリックして JAAS 認証モジュールを追加します。モジュールの詳細を記入します。Code がモジュールのクラス名です。Flags は、モジュールが同じセキュリティードメイン内で他の認証モジュールにどのように関係するかを制御します。
   フラグの説明

   Java Enterprise Edition 6 の仕様では、セキュリティーモジュールの次の説明が提供されます。次のリストは、http://docs.oracle.com/javase/6/docs/technotes/guides/security/jaas/JAASRefGuide.html#AppendixA に記載されています。詳細については、このドキュメントを参照してください。

   フラグ	詳細
   required	LoginModule は成功する必要があります。成功または失敗すると、LoginModule リストで認証が引き続き続行されます。
   requisite	LoginModule は成功する必要があります。成功すると、LoginModule リストで認証が続行されます。失敗すると、制御がアプリケーションにすぐに戻ります (認証は LoginModule リストで続行されません)。
   sufficient	LoginModule は成功する必要はありません。成功した場合は、制御がアプリケーションにすぐに戻ります (認証は LoginModule リストで続行されません)。失敗すると、認証は LoginModule リストで続行されます。
   optional	LoginModule は成功する必要がありません。成功または失敗した場合、認証は LoginModule リストで続行されます。

   モジュールを追加したら、画面の Details セクションで Edit をクリックすることにより、Code または Flags を変更できます。Attributes タブが選択されていることを確認します。

4. モジュールオプションを追加、編集、または削除します (任意)。

   モジュールにオプションを追加する必要がある場合は、Login Modules リストのエントリーをクリックし、ページの Details セクションの Module Options タブを選択します。Add ボタンをクリックし、オプションのキーと値を提供します。すでに存在するオプションを編集するには、キーをクリックするか、変更します。Remove ボタンを使用してオプションを削除します。

手順6.2 セキュリティードメインの承認設定

1. セキュリティードメインの詳細ビューを開きます。

   管理コンソールの右上にある Profiles ラベルをクリックします。管理対象ドメインで、Profile ビューの左上にある Profile 選択ボックスから変更するプロファイルを選択します。左側の Security メニュー項目をクリックし、展開されたメニューで Security Domains をクリックします。編集するセキュリティードメインの View リンクをクリックします。

2. 承認サブシステム設定に移動します。

   ビューの最上部にある Authorization ラベルをクリックします (選択されていない場合)。
   設定領域が Policies と Details の 2 つの領域に分割されます。ログインモジュールは、設定の基本単位です。セキュリティードメインには複数の承認ポリシーを含めることができ、各ログインモジュールには複数の属性とオプションを含めることができます。

3. ポリシーを追加します。

   Add ボタンをクリックして JAAS 承認ポリシーモジュールを追加します。モジュールの詳細を記入します。Code がモジュールのクラス名です。Flags は、モジュールが同じセキュリティードメイン内で他の承認ポリシーモジュールにどのように関係するかを制御します。
   フラグの説明

   Java Enterprise Edition 6 の仕様では、セキュリティーモジュールの次の説明が提供されます。次のリストは、http://docs.oracle.com/javase/6/docs/technotes/guides/security/jaas/JAASRefGuide.html#AppendixA に記載されています。詳細については、このドキュメントを参照してください。

   フラグ	詳細
   required	LoginModule は成功する必要があります。成功または失敗すると、LoginModule リストで承認が引き続き続行されます。
   requisite	LoginModule は成功する必要があります。成功すると、LoginModule リストで承認が続行されます。失敗すると、制御がアプリケーションにすぐに戻ります (承認は LoginModule リストで続行されません)。
   sufficient	LoginModule は成功する必要はありません。成功した場合は、制御がアプリケーションにすぐに戻ります (承認は LoginModule リストで続行されません)。失敗すると、承認は LoginModule リストで続行されます。
   optional	LoginModule は成功する必要がありません。成功または失敗した場合、承認は LoginModule リストで続行されます。

   モジュールを追加したら、画面の Details セクションで Edit をクリックすることにより、Code または Flags を変更できます。Attributes タブが選択されていることを確認します。

4. モジュールオプションを追加、編集、または削除します (任意)。

   モジュールにオプションを追加する必要がある場合は、Login Modules リストのエントリーをクリックし、ページの Details セクションの Module Options タブを選択します。Add ボタンをクリックし、オプションのキーと値を提供します。すでに存在するオプションを編集するには、キーをクリックするか、変更します。Remove ボタンを使用してオプションを削除します。

手順6.3 セキュリティードメインのセキュリティー監査の設定

1. セキュリティードメインの詳細ビューを開きます。

   管理コンソールの右上にある Profiles ラベルをクリックします。スタンドアロンサーバーでは、タブに Profile ラベルがあります。管理対象ドメインでは、Profile ビューの左上にある Profile 選択ボックスから変更するプロファイルを選択します。左側の Security メニュー項目をクリックし、展開されたメニューで Security Domains をクリックします。編集するセキュリティードメインの View リンクをクリックします。

2. 監査サブシステム設定に移動します。

   ビューの最上部の Audit ラベルをクリックします (まだ設定されていない場合)。
   設定領域が Provider Modules と Details の 2 つの領域に分割されます。プロバイダーモジュールは、設定の基本単位です。セキュリティードメインには複数のプロバイダーモジュールを含めることができ、各ログインモジュールには属性とオプションを含めることができます。

3. プロバイダーモジュールを追加します。

   Add ボタンをクリックしてプロアクティブモジュールを追加します。Code セクションに、プロバイダーモジュールのクラス名を入力します。
   モジュールを追加したら、画面の Details セクションで Edit をクリックすることにより、Code を変更できます。Attributes タブが選択されていることを確認します。

4. モジュールの挙動を確認します。

   監査モジュールの目的は、セキュリティーサブシステムのイベントを監視する方法を提供することです。ログファイルの記述、メールによる通知、またはその他の監査メカニズムによって監視を行うことが可能です。
   たとえば、JBoss Enterprise Application Server にはデフォルトで LogAuditProvider モジュールが含まれています。この監査モジュールを前述の手順に従って有効にすると、EAP_HOME ディレクトリ内の log サブフォルダーにある audit.log ファイルにセキュリティー通知を書き込みます。
   前述の手順が LogAuditProvider のコンテキスト内で動作するか確認するには、通知が発生するようなアクションを実行した後、監査ログファイルをチェックします。
   含まれるセキュリティー監査プロバイダーモジュールの完全一覧は 「含まれるセキュリティー監査プロバイダーモジュール」 を参照してください。

5. モジュールオプションを追加、編集、または削除します (任意)。

   モジュールにオプションを追加する必要がある場合は、Modules リストのエントリーをクリックし、ページの Details セクションの Module Options タブを選択します。Add ボタンをクリックし、オプションのキーと値を提供します。すでに存在するオプションを編集するには、Remove ラベルをクリックして削除するか、Add ボタンをクリックして正しいオプションで再び追加します。

手順6.4 セキュリティードメインでのセキュリティーマッピングの設定

1. セキュリティードメインの詳細ビューを開きます。

   管理コンソールの右上にある Profiles ラベルをクリックします。スタンドアロンサーバーでは、タブに Profile ラベルがあります。管理対象ドメインでは、Profile ビューの左上にある Profile 選択ボックスから変更するプロファイルを選択します。左側の Security メニュー項目をクリックし、展開されたメニューで Security Domains をクリックします。編集するセキュリティードメインの View リンクをクリックします。

2. マッピングサブシステム設定に移動します。

   ビューの最上部の Mapping ラベルをクリックします (まだ設定されていない場合)。
   設定領域が Modules と Details の 2 つの領域に分割されます。マッピングモジュールは、設定の基本単位です。セキュリティードメインには複数のマッピングモジュールを含めることができ、各ログインモジュールには複数の属性とオプションを含めることができます。

3. モジュールを追加します。

   Add ボタンをクリックしてセキュリティーマッピングモジュールを追加します。モジュールの詳細を記入します。Code がモジュールのクラス名です。Type フィールドは、このモジュールが実行するマッピングのタイプを示します。許可される値は principal、role、attribute、または credential です。
   モジュールを追加したら、画面の Details セクションで Edit をクリックすることにより、Code または Type を変更できます。Attributes タブが選択されていることを確認します。

4. モジュールオプションを追加、編集、または削除します (任意)。

   モジュールにオプションを追加する必要がある場合は、Modules リストのエントリーをクリックし、ページの Details セクションの Module Options タブを選択します。Add ボタンをクリックし、オプションのキーと値を提供します。すでに存在するオプションを編集するには、Remove ラベルキーをクリックして削除するか、新しい値で再び追加します。Remove ボタンを使用してオプションを削除します。

手順7.1 JBoss Web Server が HTTPS を使用するよう設定

1. 新しい HTTPS コネクターを追加します。

   プロファイルを適切に変更し、以下の管理 CLI コマンドを実行します。これにより、HTTPS という名前のセキュアコネクターが新規作成されます。これは https スキーム、https ソケットバインディング (デフォルト値は 8443) を使用し、セキュアに設定されます。

   例7.1 管理 CLI コマンド

   /profile=default/subsystem=web/connector=HTTPS/:add(socket-binding=https,scheme=https,protocol=HTTP/1.1,secure=true)
   

2. SSL 暗号化証明書およびキーを設定します。

   例の値を独自の値に置き換え、以下の CLI コマンドを実行して SSL 証明書を設定します。この例では、キーストアはサーバー設定ディレクトリ (管理対象ドメインでは EAP_HOME/domain/configuration/) へコピーされることを想定しています。

   例7.2 管理 CLI コマンド

   /profile=default/subsystem=web/connector=HTTPS/ssl=configuration:add(name=https,certificate-key-file=${jboss.server.config.dir}/keystore.jks,password=SECRET, key-alias=KEY_ALIAS)
   

   コネクターの SSL プロパティーに設定できるパラメーターの完全な一覧については、「SSL コネクターリファレンス」を参照してください。

3. アプリケーションをデプロイします。

   設定したプロファイルを使用するサーバーグループにアプリケーションをデプロイします。スタンドアロンサーバーを使用する場合、アプリケーションをサーバーにデプロイします。アプリケーションに対する HTTP 要求は新しい SSL 暗号化接続を使用します。

手順7.2 SSL 暗号化キーおよび証明書の生成

1. パブリックキーおよびプライベートキーとともにキーストアを生成します。

   以下のコマンドを実行し、jboss というエイリアスを持つ server.keystore という名前のキーストアをカレントディレクトリに生成します。

   keytool -genkey -alias jboss -keyalg RSA -keystore server.keystore -storepass mykeystorepass --dname "CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,S=NC,C=US"

   この keytool コマンドで使用されるパラメーターの説明は次のとおりです。

   パラメーター	説明
   -genkey	keytool コマンドは公開鍵と秘密鍵が含まれるキーペアを生成します。
   -alias	キーストアのエイリアス。この値は任意ですが、エイリアス jboss はデフォルトで JBoss Web サーバーによって使用されます。
   -keyalg	キーペア生成のアルゴリズム。この例では RSA になります。
   -keystore	キーストアファイルの名前と場所。デフォルトの場所はカレントディレクトリです。選択する名前は任意です。この例では、ファイルの名前は server.keystore になります。
   -storepass	このパスワードは、キーの読み取りを可能にするためキーストアに対して認証を行うために使用されます。パスワードは 6 文字以上である必要があり、キーストアがアクセスされた時に提供しなければなりません。この例では、mykeystorepass が使用されています。このパラメーターを省略すると、コマンドの実行時に入力するよう要求されます。
   -keypass	実際の鍵のパスワードです。 注記 実装の制限により、ストアと同じパスワードを使用する必要があります。
   --dname	キーの識別名を記述する引用符で囲まれた文字列 (例: "CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,C=US")。以下のコンポーネントが連結された文字列になります。 CN - 共通名またはホスト名。ホスト名が jsmith.mycompany.com の場合、CN は jsmith になります。 OU - 組織単位 (例: Engineering)。 O - 組織名 (例: mycompany.com)。 L - 地域 (例: Raleigh または London)。 S - 州 (例: NC)。このパラメーターの使用は任意です。 C - 2 文字の国コード (例: US または UK)。

   上記のコマンドを実行すると、次の情報が要求されます。

   • コマンドラインで -storepass パラメーターを使用しなかった場合、キーストアのパスワードを入力するよう要求されます。次に要求されたら新しいパスワードを再入力します。
   • コマンドラインで -keypass パラメーターを使用しなかった場合、キーのパスワードを入力するよう要求されます。Enter を押し、キーストアのパスワードと同じ値を設定します。
   コマンドが終了すると、ファイル server.keystore にエイリアス jboss を持つ単一のキーが含まれるようになります。

2. キーを検証します。

   以下のコマンドを使用して、キーが正常に動作することを検証します。

   keytool -list -keystore server.keystore

   キーストアのパスワードを入力するよう求められます。キーストアの内容 (この場合は jboss という名前の単一キー) が表示されます。jboss キーの種類が keyEntry であることに注意してください。これは、キーストアにこのキーのパブリックおよびプライベートエントリが含まれることを示します。

3. 証明書署名要求を生成します。

   次のコマンドを実行し、手順 1 で作成したキーストアより公開鍵を使用して証明書署名要求を生成します。

   keytool -certreq -keyalg RSA -alias jboss -keystore server.keystore -file certreq.csr

   キーストアに対する認証を行うために、パスワードを入力するよう求められます。keytool コマンドにより、現在の作業ディレクトリに certreq.csr という名前の証明書署名要求が新規作成されます。

4. 新しく生成された証明書署名要求をテストします。

   以下のコマンドを使用して証明書の内容をテストします。

   openssl req -in certreq.csr -noout -text

   証明書の詳細が表示されます。

5. オプション: 証明書署名要求を認証局 (CA) に送信します。

   認証局 (CA) は、証明書を認証できます。この結果、証明書は、サードパーティークライアントが信用できると見なされます。CA により、署名済み証明書が提供されます。また、オプションで 1 つまたは複数の中間証明書が提供されます。

6. オプション: キーストアからの自己署名証明書のエクスポート

   テストまたは内部使用のためにのみ証明書が必要な場合は、自己署名証明書を使用できます。次のように、手順 1 で作成したキーストアからエクスポートします。

   keytool -export -alias jboss -keystore server.keystore -file server.crt

   キーストアに対して認証するためパスワードの入力が求められます。server.crt という名前の自己署名証明書が現在の作業ディレクトリに作成されます。

7. 署名済み証明書を中間証明書とともにインポートします。

   CA で指示された順序で各証明書をインポートします。各証明書をインポートするには、intermediate.ca または server.crt を実際のファイル名に置き換えます。証明書が別のファイルとして提供されない場合は、各証明書に対して個別のファイルを作成し、その内容をファイルに貼り付けます。

   注記

   署名済み証明書および証明書キーは機密情報です。サーバー間での転送方法に注意してください。

   keytool -import -keystore server.keystore -alias intermediateCA -file intermediate.ca

   keytool -import -alias jboss -keystore server.keystore -file server.crt

8. 証明書が正常にインポートされたことをテストします。

   以下のコマンドを実行し、要求された場合にキーストアパスワードを入力します。キーストアの内容が表示され、証明書がリストの一部になります。

   keytool -list -keystore server.keystore

1. Management CLI を実行します。

   jboss-cli.sh または jboss-cli.bat コマンドを開始し、サーバーに接続します。

2. セキュリティーレルムを新規作成します。

   次のコマンドを実行し、ドメインコントローラーまたはスタンドアロンサーバー上で MyDomainRealm という名前の新しいセキュリティーレルムを作成します。

   /host=master/core-service=management/security-realm=MyDomainRealm:add()

3. 新しいロールの情報を保存するプロパティーファイルへの参照を作成します。

   次のコマンドを実行し、新しいロールに関連するプロパティーが含まれる myfile.properties という名前のファイルのポインターを作成します。

   注記

   新規作成されたプロパティーファイルは、含まれる add-user.sh および add-user.bat スクリプトによって管理されません。そのため、外部から管理する必要があります。

   /host=master/core-service=management/security-realm=MyDomainRealm/authentication=properties:add(path=myfile.properties)

1. add-user.sh または add-user.bat コマンドを実行します。

   コマンドラインインターフェース (CLI) を開きます。EAP_HOME/bin/ ディレクトリへ移動します。Red Hat Enterprise Linux や他の UNIX 系のオペレーティングシステムを稼働している場合は add-user.sh を実行します。Microsoft Windows Server を稼働している場合は add-user.bat を実行します。

2. 管理ユーザーかアプリケーションユーザーのどちらを追加するか選択します。

   この手順では b を入力し、アプリケーションユーザーを追加します。

3. ユーザーが追加されるレルムを選択します。

   デフォルトでは、ApplicationRealm のみが選択可能です。カスタムレルムが追加されている場合はその名前を入力します。

4. 入力を促されたらユーザー名、パスワード、ロールを入力します。

   入力を促されたら希望のユーザー名、パスワード、任意のロールを入力します。yes を入力して選択を確認するか、no を入力して変更をキャンセルします。変更はセキュリティーレルムの各プロパティーファイルに書き込まれます。

手順10.1 ワーカーノードの設定

1. ネットワークインターフェースの設定

   デフォルトでは、ネットワークインターフェースがすべて 127.0.0.1 に設定されます。スタンドアロンサーバーまたはサーバーグループ内の 1 つまたは複数のサーバーをホストする各物理ホストでは、インターフェースが他のサーバーが見つけることができるパブリック IP アドレスを使用するよう設定する必要があります。
   JBoss Enterprise Application Platform ホストの IP アドレスを変更するには、ホストをシャットダウンし、設定ファイルを直接編集する必要があります。これは、管理コンソールと管理 CLI を駆動する管理 API は固定管理アドレスに依存するためです。
   クラスター内の各サーバーの IP アドレスをマスターのパブリック IP アドレスに変更するには、次の手順を実行します。
   1. サーバーを完全にシャットダウンします。
   2. EAP_HOME/domain/configuration/ 内にある管理対象ドメイン用の host.xml または EAP_HOME/standalone/configuration/ 内にあるスタンドアロンサーバー用の standalone-ha.xml を編集します。
   3. <interfaces> 要素を見つけます。management、public、および unsecured の 3 つのインターフェースが設定されます。これらそれぞれに対して、値 127.0.0.1 をホストの外部 IP アドレスに変更します。
   4. 管理対象ドメインに参加し、マスターでないホストの場合は、<host 要素を見つけます。この要素には > 閉じ記号がないことに注意してください。これはこの要素が属性を含むためです。名前属性の値を master から一意の名前 (スレーブごとに異なる名前) 変更します。この名前は、スレーブがクラスター対して身元を示すためにも使用されるため、注意してください。
   5. 管理対象ドメインを参加する必要がある新しく設定されたホストの場合は、<domain-controller> 要素を見つけます。<local /> 要素をコメントアウトまたは削除し、次の行を追加して、IP アドレス (X.X.X.X) をドメインコントローラーのアドレスに変更します。この手順は、スタンドアロンサーバーには適用されません。

      <remote host="X.X.X.X" port="${jboss.domain.master.port:9999}" security-realm="ManagementRealm"/>
      

   6. ファイルを保存し、終了します。

2. 各スレーブサーバーの認証を設定します。

   各スレーブサーバーでは、ドメインコントローラーまたはスタンドアロンマスターの ManagementRealm で作成されたユーザー名とパスワードが必要です。ドメインコントローラーまたはスタンドアロンマスターで、EAP_HOME/add-user.sh コマンドを実行します。同じユーザー名を持つユーザーをスレーブとして ManagementRealm に追加します。このユーザーが外部 JBoss AS インスタンスに対して認証する必要があるかどうか尋ねられた場合は、yes と回答します。パスワード changeme を使用した、slave1 という名前のスレーブに対するコマンドの入力および出力の例は以下のとおりです。

   user:bin user$ ./add-user.sh
   
   What type of user do you wish to add? 
    a) Management User (mgmt-users.properties) 
    b) Application User (application-users.properties)
   (a): a
   
   Enter the details of the new user to add.
   Realm (ManagementRealm) : 
   Username : slave1
   Password : changeme
   Re-enter Password : changeme
   About to add user 'slave1' for realm 'ManagementRealm'
   Is this correct yes/no? yes
   Added user 'slave1' to file '/home/user/jboss-eap-6.0/standalone/configuration/mgmt-users.properties'
   Added user 'slave1' to file '/home/user/jboss-eap-6.0/domain/configuration/mgmt-users.properties'
   Is this new user going to be used for one AS process to connect to another AS process e.g. slave domain controller?
   yes/no? yes
   To represent the user add the following to the server-identities definition <secret value="Y2hhbmdlbWU=" />
   

3. add-user.sh の出力から Base64 でエンコードされた <secret> 要素をコピーします。

   認証に Base64 でエンコードされたパスワード値を指定したい場合、add-user.sh の出力の最終行より <secret> 要素値をコピーします。次の手順でこの値が必要になります。

4. 新しい認証を使用するようスレーブホストのセキュリティーレルムを変更します。

   1. スレーブホストの host.xml または standalone-ha.xml ファイルを再度開きます。
   2. <security-realms> 要素を探します。ここにセキュリティーレルムを設定します。
   3. 以下の方法の 1 つを用いて秘密の値を指定できます。

      • 設定ファイルに Base64 でエンコードされたパスワード値を指定します。

        1. 以下の XML コードを <security-realm name="ManagementRealm"> 行のすぐ下に追加します。

           <server-identities>
               <secret value="Y2hhbmdlbWU="/>
           </server-identities>
                           
           
           
           

        2. "Y2hhbmdlbWU=" を前の手順で add-user.sh の出力より返された秘密の値に置き換えます。

      • ホストを設定し、ボールトよりパスワードを取得します。

        1. vault.sh スクリプトを使用してマスクされたパスワードを生成します。次のような文字列が生成されます: VAULT::secret::password::ODVmYmJjNGMtZDU2ZC00YmNlLWE4ODMtZjQ1NWNmNDU4ZDc1TElORV9CUkVBS3ZhdWx0。
           ボールトに関する詳細は、「機密性の高い文字列のパスワード vault」の項にある 「クリアテキストファイルでの機密性が高い文字列のセキュア化について」 を参照してください。
        2. 以下の XML コードを <security-realm name="ManagementRealm"> 行のすぐ下に追加します。

           <server-identities>
               <secret value="${VAULT::secret::password::ODVmYmJjNGMtZDU2ZC00YmNlLWE4ODMtZjQ1NWNmNDU4ZDc1TElORV9CUkVBS3ZhdWx0}"/>
           </server-identities>
                           
           
           
           

           必ず秘密の値を前の手順で生成したマスクされたパスワードに置き換えるようにしてください。

           注記

           ボールトでパスワードを作成する場合、Base64 エンコードではなくプレーンテキストで指定する必要があります。

      • システムプロパティーとしてパスワードを指定します。

        1. 以下の XML コードを <security-realm name="ManagementRealm"> 行のすぐ下に追加します。

           <server-identities>
               <secret value=${server.identity.password}/>
           </server-identities>
                           
           
           
           

        2. システムプロパティーとしてパスワードを指定する場合、次の方法のいずれかを用いてホストを設定できます。
           • 次の例のように、プレーンテキストのパスワードをコマンドライン引数として入力し、サーバーを起動します。

             -Dserver.identity.password=changeme

             注記

             パスワードはプレーンテキストで入力する必要があります。ps -ef コマンドを実行するユーザーはこのパスワードを見ることができます。
           • パスワードをプロパティーファイルに格納し、プロパティーファイルの URL をコマンドライン引数として渡します。
             1. キーと値のペアをプロパティーファイルに追加します。例は次の通りです。

                server.identity.password=changeme
                

             2. コマンドライン引数を用いてサーバーを起動します。

                --properties=URL_TO_PROPERTIES_FILE

                .
   4. ファイルを保存し、終了します。

5. サーバーを再起動します。

   ホスト名をユーザー名として使用し、暗号化された文字列をパスワードとして使用してスレーブがマスターに対して認証されます。

1. JBoss Enterprise Application Platform を停止します。

   オペレーティングシステムに適切な方法で割り込みを送信して JBoss Enterprise Application Platform を停止します。JBoss Enterprise Application Platform をフォアグラウンドアプリケーションとして実行している場合、通常は Ctrl+C を押してこれを行います。

2. バインドアドレスを指定して JBoss Enterprise Application Platform を再起動します。

   -b コマンドラインスイッチを使用して特定のインターフェースで JBoss Enterprise Application Platform を起動します。

   例11.1 パブリックインターフェースを指定します。

   EAP_HOME/bin/domain.sh -b 10.1.1.1

   例11.2 管理インターフェースを指定します。

   EAP_HOME/bin/domain.sh -bmanagement=10.1.1.1

   例11.3 各インターフェースに異なるアドレスを指定します。

   EAP_HOME/bin/domain.sh -bmanagement=127.0.0.1 -b 10.1.1.1

   例11.4 すべてのネットワークインターフェースにパブリックインターフェースをバインドします。

   EAP_HOME/bin/domain.sh -b 0.0.0.0

手順11.1 ネットワークファイアウォールと JBoss Enterprise Application Platform 6 が共に動作するよう管理

1. 管理コンソールにログインします。

   管理コンソールにログインします。デフォルトでは、http://localhost:9990/console/ で実行されます。

2. ソケットバインディンググループが使用するソケットバインディングを決定します。

   管理コンソールの右上にある Profiles ラベルをクリックします。画面の左側に一連のメニューが表示されます。下部のメニュー見出しは General Configuration です。この見出しの下の Socket Binding Groups 項目をクリックします。Socket Binding Declarations 画面が表示されます。最初に、standard-sockets グループが表示されます。異なるグループは、右側のコンボボックスで選択することにより選択できます。

   注記

   スタンドアロンサーバーを使用する場合は、1 つのソケットバインディンググループのみが存在します。
   ソケット名とポートのリストが表示されます (1 ページあたり 6 つの値)。テーブルの矢印ナビゲーションを使用してページを移動できます。

3. 開く必要があるポートを決定します。

   お使いの環境の特別なポートの機能とニーズによっては、一部のポートがファイアウォールを介してアクセスできる必要があります。ソケットバインディングの目的がわからない場合は、「JBoss Enterprise Application Platform 6 により使用されるネットワークポート」を参照して、デフォルトのソケットバインディングとその目的のリストを確認してください。

4. JBoss Enterprise Application Platform 6 にトラフィックを転送するようファイアウォールを設定します。

   以下の手順を実行して、必要なポートでトラフィックを許可するようネットワークファイアウォールを設定します。
   1. root ユーザーとしてファイアウォールマシンにログインし、コマンドプロンプトにアクセスします。
   2. system-config-firewall コマンドを実行してファイアウォール設定ユーティリティーを起動します。ファイアウォールシステムにログインした方法に応じて、GUI またはコマンドラインユーティリティーが起動します。このタスクでは、SSH 経由でコマンドラインインターフェースを使用してログインしていることを前提とします。
   3. キーボードで TAB キーを使用して Customize ボタンに移動し、ENTER キーを押します。Trusted Services 画面が表示されます。
   4. どの値も変更せずに、TAB キーを使用して Forward ボタンに移動し、ENTER を押して次の画面に進みます。Other Ports 画面が表示されます。
   5. TAB キーを使用して <Add> ボタンに移動し、ENTER を押します。Port and Protocol 画面が表示されます。
   6. Port / Port Range フィールドに 5445 と入力し、TAB キーを使用して Protocol フィールドに移動し、tcp と入力します。TAB キーを使用して OK ボタンに移動し、ENTER を押します。
   7. TAB キーを使用して、Forward ボタンに移動し、Port Forwarding 画面にアクセスします。
   8. TAB キーを使用して <Add> ボタンに移動し、ENTER キーを押します。
   9. 以下の値を入力してポート 5445 のポート転送を設定します。
      • 送信元インターフェース: eth1
      • プロトコル: tcp
      • ポート/ポート範囲: 5445
      • 送信先 IP アドレス: 10.1.1.2
      • ポート/ポート範囲: 5445
      TAB キーを使用して OK ボタンに移動し、ENTER を押します。
   10. TAB キーを使用して Close ボタンに移動し、ENTER を押します。
   11. TAB キーを使用して OK ボタンに移動し、ENTER を押します。変更内容を適用するには、警告を読み、Yes をクリックします。

5. JBoss Enterprise Application Platform 6 ホストでファイアウォールを設定します。

   一部の組織では、JBoss Enterprise Application Platform 6 サーバー自体でファイアウォールを設定し、運用に必要ないすべてのポートを閉じます。「JBoss Enterprise Application Platform 6 により使用されるネットワークポート」 を参照して開くポートを決定し、残りのポートを閉じます。Red Hat Enterprise Linux 6 のデフォルトの設定では、22 (Secure Shell (SSH) 用) と 5353 (マルチキャスト DNS 用) 以外のすべてのポートが閉じられます。ポートを設定する場合は、間違ってロックアウトされないよう物理的にアクセスしてください。

手順13.1 Web または EJB アプリケーションへ SSO 認証を設定

1. サーバーのアイデンティティーを表すセキュリティードメインを 1 つ設定します。必要な場合はシステムプロパティーを設定します。

   最初のセキュリティードメインは、コンテナ自体をディレクトリーサービスへ認証します。ユーザーではなくコンテナ自体の認証であるため、ある種の静的ログインメカニズムを受容するログインモジュールを使用する必要があります。この例では静的プリンシパルを使用し、認証情報が含まれるキータブファイルを参照します。
   明確にするため、この例では XML コードが提供されていますが、管理コンソールまたは管理 CLI を使用してセキュリティードメインを設定するようにしてください。

   <security-domain name="host" cache-type="default">
      <authentication>
         <login-module code="Kerberos" flag="required">
            <module-option name="storeKey" value="true"/>
            <module-option name="useKeyTab" value="true"/>
            <module-option name="principal" value="host/testserver@MY_REALM"/>
            <module-option name="keyTab" value="/home/username/service.keytab"/>
            <module-option name="doNotPrompt" value="true"/>
            <module-option name="debug" value="false"/>
         </login-module>
      </authentication>
   </security-domain>		
   		
   
   
   

2. Web アプリケーションやアプリケーションをセキュアにするため、2 つ目のセキュリティードメインを設定します。必要な場合はシステムプロパティーを設定します。

   2 つ目のセキュリティードメインは、個別のユーザーを Kerberos または SPNEGO 認証サーバーへ認証するために使用されます。ユーザーの認証に最低でも 1 つのログインモジュールが必要で、ユーザーに適用するロールを検索するために別のログインモジュールが必要となります。次の XML コードは SPNEGO セキュリティードメインの例を表しています。これには、ロールを個別のユーザーにマッピングする承認モジュールが含まれます。認証サーバー上でロールを検索するモジュールを使用することもできます。

   <security-domain name="SPNEGO" cache-type="default">
      <authentication>
         <!-- Check the username and password -->
         <login-module code="SPNEGO"  flag="requisite">
            <module-option name="password-stacking" value="useFirstPass"/>
            <module-option name="serverSecurityDomain" value="host"/>
         </login-module>
         <!-- Search for roles -->
         <login-module code="UserRoles" flag="required">
            <module-option name="password-stacking" value="useFirstPass" />
            <module-option name="usersProperties" value="spnego-users.properties" />
            <module-option name="rolesProperties" value="spnego-roles.properties" />
         </login-module> 
      </authentication>
   </security-domain>		
   		
   
   
   

3. web.xml の security-constraint と login-config を指定します。

   web.xml 記述子にはセキュリティー制約とログイン設定に関する情報が含まれています。セキュリティー制約とログイン情報の値の例は次の通りです。

   <security-constraint>
      <display-name>Security Constraint on Conversation</display-name>
      <web-resource-collection>
         <web-resource-name>examplesWebApp</web-resource-name>
         <url-pattern>/*</url-pattern>
      </web-resource-collection>
      <auth-constraint>
      <role-name>RequiredRole</role-name>
      </auth-constraint>
   </security-constraint>
   
   <login-config>
      <auth-method>SPNEGO</auth-method>
      <realm-name>SPNEGO</realm-name>
   </login-config>
    
   <security-role>
      <description> role required to log in to the Application</description>
      <role-name>RequiredRole</role-name>
   </security-role>		
   		
   
   
   

4. jboss-web.xml 記述子にセキュリティードメインと他の設定を指定します。

   クライアント側のセキュリティードメイン (例の 2 番目のセキュリティードメイン) の名前をデプロイメントの jboss-web.xml 記述子に指定し、アプリケーションがこのセキュリティードメインを使用するよう指示します。
   オーセンティケーターを直接上書きすることができなくなりましたが、必要な場合は NegotiationAuthenticator をバルブとして jboss-web.xml 記述子に追加することができます。<jacc-star-role-allow> は任意で、複数のロール名を一致させるためアスタリスク (*) の使用を許可します。

   <jboss-web>
      <security-domain>java:/jaas/SPNEGO</security-domain>
      <valve>
         <class-name>org.jboss.security.negotiation.NegotiationAuthenticator</class-name>
      </valve>
      <jacc-star-role-allow>true</jacc-star-role-allow>
   </jboss-web>		
   		
   
   
   

5. アプリケーションの MANIFEST.MF に依存関係を追加し、Negotiation クラスを見つけます。

   Web アプリケーションが JBoss Negotiation クラスを見つけるには、クラス org.jboss.security.negotiation 上の依存関係をデプロイメントの META-INF/MANIFEST.MF マニフェストに追加する必要があります。適切にフォーマットされたエントリは次の通りです。

   Manifest-Version: 1.0
   Build-Jdk: 1.6.0_24
   Dependencies: org.jboss.security.negotiation
   

手順14.1 セキュリティードメインを使用するようアプリケーションを設定

1. セキュリティードメインの定義

   セキュリティードメインは、サーバーの設定ファイルまたはアプリケーションの記述子ファイルのいずれかに定義できます。

   • サーバーの設定ファイルへセキュリティードメインを設定

     セキュリティードメインは、サーバーの設定ファイルの security サブシステムに設定されます。JBoss Enterprise Application Platform インスタンスが管理対象ドメインで実行されている場合、domain/configuration/domain.xml ファイルになります。JBoss Enterprise Application Platform インスタンスがスタンドアロンサーバーとして実行されている場合は standalone/configuration/standalone.xml ファイルになります。
     other、jboss-web-policy および jboss-ejb-policy セキュリティードメインはデフォルトとして JBoss Enterprise Application Platform 6 に提供されます。次の XML の例は、サーバーの設定ファイルの security サブシステムよりコピーされました。

     <subsystem xmlns="urn:jboss:domain:security:1.2">
         <security-domains>
             <security-domain name="other" cache-type="default">
                 <authentication>
                     <login-module code="Remoting" flag="optional">
                         <module-option name="password-stacking" value="useFirstPass"/>
                     </login-module>
                     <login-module code="RealmDirect" flag="required">
                         <module-option name="password-stacking" value="useFirstPass"/>
                     </login-module>
                 </authentication>
             </security-domain>
             <security-domain name="jboss-web-policy" cache-type="default">
                 <authorization>
                     <policy-module code="Delegating" flag="required"/>
                 </authorization>
             </security-domain>
             <security-domain name="jboss-ejb-policy" cache-type="default">
                 <authorization>
                     <policy-module code="Delegating" flag="required"/>
                 </authorization>
             </security-domain>
         </security-domains>
     </subsystem>
     
     
     

     管理コンソールまたは CLI を使用して、追加のセキュリティードメインを必要に応じて設定することができます。

   • アプリケーションの記述子ファイルにセキュリティードメインを設定

     セキュリティードメインはアプリケーションの WEB-INF/web.xml ファイルにある <jboss-web> 要素の <security-domain> 子要素に指定されます。次の例は my-domain という名前のセキュリティードメインを設定します。

     <jboss-web>
         <security-domain>my-domain</security-domain>
     </jboss-web>        
             
     
     
     

     これが WEB-INF/jboss-web.xml 記述子に指定できる多くの設定の 1 つになります。

2. EJB へ必要なアノテーションを追加

   @SecurityDomain および @RolesAllowed アノテーションを使用してセキュリティーを EJB に設定します。次の EJBコードの例は、guest ロールのユーザーによる other セキュリティードメインへのアクセスを制限します。

   package example.ejb3;
   
   import java.security.Principal;
   
   import javax.annotation.Resource;
   import javax.annotation.security.RolesAllowed;
   import javax.ejb.SessionContext;
   import javax.ejb.Stateless;
   
   import org.jboss.ejb3.annotation.SecurityDomain;
   
   /**
    * Simple secured EJB using EJB security annotations
    * Allow access to "other" security domain by users in a "guest" role.
    */
   @Stateless
   @RolesAllowed({ "guest" })
   @SecurityDomain("other")
   public class SecuredEJB {
   
      // Inject the Session Context
      @Resource
      private SessionContext ctx;
   
      /**
       * Secured EJB method using security annotations
       */
      public String getSecurityInfo() {
         // Session context injected using the resource annotation
         Principal principal = ctx.getCallerPrincipal();
         return principal.toString();
      }
   }
   

   その他のコード例は、Red Hat カスタマーポータルより入手できる JBoss Enterprise Application Platform 6 Quickstarts バンドルの ejb-security クイックスタートを参照してください。

手順14.2 ロールベースセキュリティーのサーブレットへの追加

1. サーブレットと URL パターンの間にマッピングを追加します。

   web.xml の <servlet-mapping> 要素を使用して各サーブレットを URL パターンへマッピングします。次の例は DisplayOpResult と呼ばれるサーブレットを URL パターン /DisplayOpResult にマッピングします。

   <servlet-mapping>
       <servlet-name>DisplayOpResult</servlet-name>
       <url-pattern>/DisplayOpResult</url-pattern>
   </servlet-mapping>		
   			
   
   
   

2. URL パターンにセキュリティー制約を追加します。

   URL パターンをセキュリティー制約へマッピングするには、<security-constraint> を使用します。次の例は、URL パターン /DisplayOpResult のアクセスを、ロール eap_admin を持つプリンシパルのみに許可します。セキュリティードメインにロールが存在していなければなりません。

   <security-constraint>
   	<display-name>Restrict access to role eap_admin</display-name>
   	<web-resource-collection>
   		<web-resource-name>Restrict access to role eap_admin</web-resource-name>
   		<url-pattern>/DisplayOpResult/*</url-pattern>
   	</web-resource-collection>
   	<auth-constraint>
   		<role-name>eap_admin</role-name>
   	</auth-constraint>	
   	<security-role>
   		<role-name>eap_admin</role-name>
   	</security-role>
   </security-constraint>		
   			
   
   
   

3. WAR の jboss-web.xml にセキュリティードメインを指定します。

   セキュリティードメインにサーブレットを接続するため、WAR の jboss-web.xml にセキュリティードメインを追加します。セキュリティードメインにはセキュリティー制約に対してプリンシパルを認証および承認する方法が設定されています。次の例は acme_domain というセキュリティードメインを使用します。

   <jboss-web>
   	...
   	<security-domain>acme_domain</security-domain>
   	...
   </jboss-web>