手順

1. Red Hat カスタマーポータルの「Software Downloads」セクションから RH-SSO をダウンロードします。

2. 基本的な RH-SSO のスタンドアロンサーバーをインストールして設定します。インストールおよび設定は、『Red Hat Single Sign On Getting Started Guide』の「Install and Boot」の章に記載された手順に従ってください。実稼働環境の設定については、Red Hat Single Sign On の『Server Administration Guide』を参照してください。

   注記

   同じシステム上で RH-SSO と Red Hat Decision Manager サーバーの両方を実行する場合には、以下の手段のいずれかによりポートの競合を避けてください。

   • 以下のように、RHSSO_HOME/standalone/configuration/standalone.xml ファイルを更新して、ポートのオフセットを 100 に設定する。

     <socket-binding-group name="standard-sockets" default-interface="public" port-offset="${jboss.socket.binding.port-offset:100}">

   • 環境変数を使用してサーバーを実行する。

     bin/standalone.sh -Djboss.socket.binding.port-offset=100

3. RH-SSO サーバーを起動し、RHSSO_HOME/bin から RH-SSO を設定します。

   ./standalone.sh

   RH-SSO サーバーが起動したら、Web ブラウザーで http://localhost:8180/auth/admin にアクセスし、RH-SSO のインストール時に作成した管理者の認証情報を使用してログインします。初回のログイン時に、新規ユーザー登録フォームで初期ユーザーを設定することができます。

4. RH-SSO 管理コンソールで、Realm Settings メニューアイテムをクリックします。

5. Realm Settings ページで Add Realm をクリックします。

   Add realm ページが表示されます。

6. Add realm ページで、レルムの名前を指定して Create をクリックします。

7. Clients メニューアイテムをクリックし、Create をクリックします。

   Add Client ページが表示されます。

8. Add Client ページで、以下のようにレルム用の新規クライアント作成に必要な情報を指定します。

   • Client ID: kie
   • Client protocol: openid-connect
   • Root URL: http://localhost:8080/decision-central

9. Save をクリックして変更を保存します。

   作成した新規クライアントの Access Type は、デフォルトでは public に設定されています。この設定を confidential に変更します。

   この時点で、RH-SSO サーバーに Red Hat Decision Manager アプリケーションのレルムおよびクライアントが設定され、localhost:8180 で HTTP 接続をリッスンした状態で実行されます。このレルムは Red Hat Decision Manager アプリケーションに異なるユーザー、ロール、セッションを提供します。

手順

1. Red Hat JBoss EAP 6.4.X または 7.0 をインストールします。

   バージョン 6 の場合は、『Red Hat JBoss Enterprise Application Platform インストールガイド』の「インストールの説明」の章を参照してください。

   バージョン 7 の場合は、『Red Hat JBoss Enterprise Application Platform インストールガイド』の「JBoss EAP のインストール」の章を参照してください。

2. 新規にインストールした Red Hat JBoss EAP ホームに Red Hat Decision Manager をインストールします。

   standalone.xml ファイルに変更を加えて RH-SSO アダプターを設定してから Red Hat Decision Manager を展開すると、RH-SSO アダプターの設定が上書きされて失われる可能性があります。

3. Red Hat カスタマーポータル から Red Hat JBoss EAP アダプターをダウンロードします。
4. アダプターを展開してインストールします。インストールの説明は、『Red Hat Single Sign On Securing Applications and Services Guide』の「JBoss EAP Adapter」セクションを参照してください。

5. バージョン 7 の場合は、EAP_HOME/standalone/configuration に移動して standalone.xml および standalone-full.xml ファイルを開きます。各ファイルから <single-sign-on/> 要素を削除します。

   Red Hat JBoss EAP 6 の場合は、このステップを実行する必要はありません。

手順

1. Red Hat JBoss EAP システムの EAP_HOME/standalone/configuration ディレクトリーに移動し、standalone.xml ファイルを編集して RH-SSO サブシステム設定を追加します。以下に例を示します。

   <subsystem xmlns="urn:jboss:domain:keycloak:1.1">
    <secure-deployment name="decision-central.war">
      <realm>demo</realm>
      <realm-public-key>MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCrVrCuTtArbgaZzL1hvh0xtL5mc7o0NqPVnYXkLvgcwiC3BjLGw1tGEGoJaXDuSaRllobm53JBhjx33UNv+5z/UMG4kytBWxheNVKnL6GgqlNabMaFfPLPCF8kAgKnsi79NMo+n6KnSY8YeUmec/p2vjO2NjsSAVcWEQMVhJ31LwIDAQAB</realm-public-key>
      <auth-server-url>http://localhost:8180/auth</auth-server-url>
      <ssl-required>external</ssl-required>
      <enable-basic-auth>true</enable-basic-auth>
      <resource>kie</resource>
      <credential name="secret">759514d0-dbb1-46ba-b7e7-ff76e63c6891</credential>
      <principal-attribute>preferred_username</principal-attribute>
    </secure-deployment>
   </subsystem>

   この例で、

   • secure-deployment name は、アプリケーションの WAR ファイルの名前です。
   • realm は、使用するアプリケーション用に作成したレルムの名前です。
   • realm-public-key は、作成したレルムの公開鍵です。この鍵は、RH-SSO 管理コンソールで作成したレルムの Realm settings ページの Keys タブで確認することができます。realm-public-key の値を指定しない場合は、サーバーが自動的に取得します。
   • auth-server-url は、RH-SSO 認証サーバーの URL です。
   • enable-basic-auth は、クライアントがトークンベースと基本認証アプローチの両方を使用して要求を実行できるように、基本認証メカニズムを有効にする設定です。
   • resource は、作成したクライアントの名前です。
   • credential name は、作成したクライアントの秘密鍵です。この鍵は、RH-SSO 管理コンソールの Clients ページの Credentials タブで確認することができます。

   • principal-attribute は、ユーザーのログイン名です。この値を指定しないと、ユーザー名ではなくユーザー ID がアプリケーションに表示されます。

     注記

     RH-SSO サーバーは、ユーザー名を小文字に変換します。そのため、RH-SSO と統合した後には、Red Hat Decision Manager ではユーザー名が小文字で表示されます。ビジネスプロセスでユーザー名が大文字でハードコード化されている場合には、アプリケーションが大文字のユーザー名を識別できない場合があります。

2. EAP_HOME/bin/ に移動し、以下のコマンドを入力して Red Hat JBoss EAP サーバーを起動します。

   ./standalone.sh

1. RH-SSO 管理コンソールにログインして、ユーザーを追加するレルムを開きます。

2. Manage セクションで Users メニューアイテムをクリックします。

   Users という名前の空のユーザー一覧のページが表示されます。

3. 空のユーザー一覧で Add User ボタンをクリックして、新規ユーザーの作成を開始します。

   Add user ページが表示されます。

4. Add user ページでユーザー情報を指定して、Save をクリックします。
5. Credentials タブで新規パスワードを設定します。

6. admin または analyst ロールなど、Red Hat Decision Manager へのアクセスが許可されるロールの 1 つを新規ユーザーに割り当てます。

   Roles セクションの Realm Roles タブで、このロールをレルムロールとして定義します。

7. Users ページの Role Mappings タブをクリックしてロールを割り当てます。

手順

1. アプリケーションデプロイメント記述子ファイル (WEB-INF/web.xml) を開き、以下の変更を加えます。

   • 以下の行を削除して、org.uberfire.ext.security.server.BasicAuthSecurityFilter クラスのサーブレットフィルターとマッピングを削除します。

     <filter>
       <filter-name>HTTP Basic Auth Filter</filter-name>
       <filter-class>org.uberfire.ext.security.server.BasicAuthSecurityFilter</filter-class>
       <init-param>
         <param-name>realmName</param-name>
         <param-value>KIE Workbench Realm</param-value>
       </init-param>
     </filter>
     
     <filter-mapping>
       <filter-name>HTTP Basic Auth Filter</filter-name>
       <url-pattern>/rest/*</url-pattern>
       <url-pattern>/maven2/*</url-pattern>
       <url-pattern>/ws/*</url-pattern>
     </filter-mapping>

   • 以下の行を追加して、フィルターマッピングから削除した url-patterns の security-constraint を追加します。

     <security-constraint>
       <web-resource-collection>
         <web-resource-name>remote-services</web-resource-name>
         <url-pattern>/rest/*</url-pattern>
         <url-pattern>/maven2/*</url-pattern>
         <url-pattern>/ws/*</url-pattern>
       </web-resource-collection>
       <auth-constraint>
         <role-name>rest-all</role-name>
       </auth-constraint>
     </security-constraint>

2. 変更を保存します。

手順

1. http://localhost:8080/auth/admin から RH-SSO 管理コンソール に移動します。
2. Clients をクリックします。

3. 以下の設定で新規クライアントを作成します。

   • Client ID は kie-git に設定します。
   • Access Type は confidential に設定します。
   • Standard Flow Enabled オプションを無効化します。
   • Direct Access Grants Enabled オプションを有効化します。
   
4. Save をクリックします。
5. クライアント設定画面上部にある Installation タブをクリックして、Format Option に Keycloak OIDC JSON を選択します。
6. Download をクリックします。

7. ダウンロードした JSON ファイルを、サーバーのファイルシステム内でアクセス可能なディレクトリーに移動するか、アプリケーションクラスパスに追加します。

   詳しい情報は、Keycloak の『Securing Applications and Services Guide』の「JAAS plugin」の章を参照してください。

手順

1. 以下のライブラリーが WEB-INF/lib ディレクトリーにあることを確認します。

   uberfire-security-management-api-<latest_artifact_version>.jar
   uberfire-security-management-backend-<latest_artifact_version>.jar
   uberfire-security-management-keycloak-<latest_artifact_version>.jar
   keycloak-core-<latest_artifact_version>.jar
   keycloak-common-<latest_artifact_version>.jar

2. サードパーティーセキュリティー JAR ファイルを削除します。以下に例を示します。

   uberfire-security-management-wildfly-<latest_artifact_version>.jar
   uberfire-security-management-tomcat-<latest_artifact_version>.jar

3. WEB-INF/classes/security-management.properties ファイルの内容全体を、以下の内容に置き換えます。

   org.uberfire.ext.security.management.api.userManagementServices=KCCredentialsUserManagementService
   org.uberfire.ext.security.management.keycloak.authServer=http://localhost:8081/auth
   org.uberfire.ext.security.management.keycloak.realm=demo
   org.uberfire.ext.security.management.keycloak.user=admin
   org.uberfire.ext.security.management.keycloak.password=admin
   org.uberfire.ext.security.management.keycloak.clientId=kie
   org.uberfire.ext.security.management.keycloak.clientSecret=759514d0-dbb1-46ba-b7e7-ff76e63c6891

   注記

   WEB-INF/classes/security-management.properties ファイルが存在しない場合は、そのファイルを作成します。

4. /META-INF/jboss-deployment-structure.xml ファイルにおいて、以下の依存関係および除外を編集します。

   <dependencies>
       <module name="org.jboss.resteasy.resteasy-jackson-provider" services="import"/>
   </dependencies>
   <exclusions>
       <module name="org.jboss.resteasy.resteasy-jackson2-provider"/>
   </exclusions>

手順

1. RH-SSO 管理コンソールで作成したセキュリティーレルムを開きます。

2. Clients メニューアイテムをクリックし、Create をクリックします。

   Add Client ページが表示されます。

3. Add Client ページで、以下のようにレルム用の新規クライアント作成に必要な情報を指定します。

   • Client ID: kie-execution-server
   • Root URL: http://localhost:8080/kie-server
   • Client protocol: openid-connect

4. Save をクリックして変更を保存します。

   新規クライアントの Access Type は、デフォルトでは public に設定されています。この設定を confidential に変更して、もう一度 Save をクリックします。

5. Credentials タブに移動して秘密鍵をコピーします。秘密鍵は、次のセクションで kie-execution-server クライアントを設定するのに必要です。

手順

1. Red Hat JBoss EAP システムの EAP_HOME/standalone/configuration に移動し、standalone.xml ファイルを編集して RH-SSO サブシステム設定を追加します。以下に例を示します。

   <subsystem xmlns="urn:jboss:domain:keycloak:1.1">
     <secure-deployment name="kie-execution-server.war">
        <realm>demo</realm>
        <realm-public-key>MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCrVrCuTtArbgaZzL1hvh0xtL5mc7o0NqPVnYXkLvgcwiC3BjLGw1tGEGoJaXDuSaRllobm53JBhjx33UNv+5z/UMG4kytBWxheNVKnL6GgqlNabMaFfPLPCF8kAgKnsi79NMo+n6KnSY8YeUmec/p2vjO2NjsSAVcWEQMVhJ31LwIDAQAB</realm-public-key>
        <auth-server-url>http://localhost:8180/auth</auth-server-url>
        <ssl-required>external</ssl-required>
        <resource>kie-execution-server</resource>
        <enable-basic-auth>true</enable-basic-auth>
        <credential name="secret">03c2b267-7f64-4647-8566-572be673f5fa</credential>
        <principal-attribute>preferred_username</principal-attribute>
     </secure-deployment>
   </subsystem>
   
   <system-properties>
     <property name="org.kie.server.sync.deploy" value="false"/>
   </system-properties>

   この例で、

   • secure-deployment name は、アプリケーションの WAR ファイルの名前です。
   • realm は、使用するアプリケーション用に作成したレルムの名前です。
   • realm-public-key は、作成したレルムの公開鍵です。この鍵は、RH-SSO 管理コンソールで作成したレルムの Realm settings ページの Keys タブで確認することができます。この公開鍵の値を指定しない場合は、サーバーが自動的に取得します。
   • auth-server-url は、RH-SSO 認証サーバーの URL です。
   • resource は、作成したサーバークライアントの名前です。
   • enable-basic-auth は、クライアントがトークンベースと基本認証アプローチの両方を使用して要求を実行できるように、基本認証メカニズムを有効にする設定です。
   • credential name は、作成したサーバークライアントの秘密鍵です。この鍵は、RH-SSO 管理コンソールの Clients ページの Credentials タブで確認することができます。
   • principal-attribute は、ユーザーのログイン名です。この値を指定しないと、ユーザー名ではなくユーザー ID がアプリケーションに表示されます。
2. standalone.xml ファイルに加えた設定変更を保存します。

3. 以下のコマンドを使用し、Red Hat JBoss EAP サーバーを再起動して Decision Server を実行します。

   EXEC_SERVER_HOME/bin/standalone.sh -Dorg.kie.server.id=<ID> -Dorg.kie.server.user=<USER> -Dorg.kie.server.pwd=<PWD> -Dorg.kie.server.location=<LOCATION_URL> -Dorg.kie.server.controller=<CONTROLLER_URL> -Dorg.kie.server.controller.user=<CONTROLLER_USER> -Dorg.kie.server.controller.pwd=<CONTOLLER_PASSWORD>

   以下に例を示します。

   EXEC_SERVER_HOME/bin/standalone.sh -Dorg.kie.server.id=kieserver1 -Dorg.kie.server.user=kieserver -Dorg.kie.server.pwd=password -Dorg.kie.server.location=http://localhost:8080/kie-execution-server/services/rest/server -Dorg.kie.server.controller=http://localhost:8080/decision-central/rest/controller -Dorg.kie.server.controller.user=kiecontroller -Dorg.kie.server.controller.pwd=password

4. Decision Server を実行したら、サーバーの状態を確認することができます。以下のコマンドの kieserver は kie-server ロールのユーザー名で、パスワードは password です。

   curl http://kieserver:password@localhost:8080/kie-execution-server/services/rest/server/

手順

1. トークンを使用して Decision Server を管理するように Red Hat Decision Manager を設定するには、org.kie.server.token プロパティーを設定します。
2. org.kie.server.user および org.kie.server.pwd プロパティーは設定しないでください。これで、Red Hat Decision Manager は Authorization: Bearer $TOKEN 認証方法を使用します。

手順

1. トークンベースの認証を用いて REST API を使用する場合は、org.kie.server.controller.token プロパティーを設定します。
2. org.kie.server.controller.user および org.kie.server.controller.pwd プロパティーは設定しないでください。

手順

1. RH-SSO 管理コンソールで Clients メニューアイテムをクリックし、Create をクリックして新規クライアントを作成します。

   Add Client ページが表示されます。

2. Add Client ページで、以下のようにレルム用の新規クライアント作成に必要な情報を指定します。

   • Client ID: kie-remote
   • Client protocol: openid-connect
3. Save をクリックして変更を保存します。

4. Realm Settings でトークンの設定を変更します。

   1. RH-SSO 管理コンソールで、Realm Settings メニューアイテムをクリックします。
   2. Tokens タブをクリックします。

   3. Access Token Lifespan の値を 15 分に変更します。

      このように設定することで、トークンを取得してから失効するまでに十分な余裕をもってサービスを呼び出すことができます。

   4. Save をクリックして変更を保存します。

5. リモートクライアントの公開クライアントを作成したら、以下のコマンドを使用して、RH-SSO サーバーのトークンエンドポイントに対して HTTP 要求を行いトークンを取得することができます。

   RESULT=`curl --data "grant_type=password&client_id=kie-remote&username=admin&password=password" http://localhost:8180/auth/realms/demo/protocol/openid-connect/token`

   上記のコマンドは、RH-SSO ユーザーで実行してください。詳しい情報は「新規ユーザーの追加」を参照してください。

6. RH-SSO サーバーから取得したトークンを表示するには、以下のコマンドを使用します。

   TOKEN=`echo $RESULT | sed 's/.*access_token":"//g' | sed 's/".*//g'`