1. キーストアを作成して、管理インターフェイスのセキュリティーを確保します。

   注記

   このキーストアは、管理インターフェイスが JCEKS 形式のキーストアと互換性がないため、JKS 形式である必要があります。

   以下を実行してキーストアを生成します。パラメーターの例の値 (例: alias、keypass、keystore、storepass 、dname) を環境に適切な値に置き換えます。

   注記

   パラメーターの validity は、キーが有効な日数を指定します。730 の値は 2 年と等しくなります。

   keytool コマンドを使用してターミナルからキーストアを生成します

   $ keytool -genkeypair -alias appserver -storetype jks -keyalg RSA -keysize 2048 -keypass password1 -keystore EAP_HOME/standalone/configuration/identity.jks -storepass password1 -dname "CN=appserver,OU=Sales,O=Systems Inc,L=Raleigh,ST=NC,C=US" -validity 730 -v

2. 管理インターフェイスが HTTPS にバインドされていることを確認します。

   1. スタンドアロンサーバーを実行しています。

      管理インターフェイスが HTTPS にバインドされるようにするには、management-https 設定を追加し、management-http 設定を削除する必要があります。

      以下の CLI コマンドを使用して管理インターフェイスを HTTPS にバインドします。

      /core-service=management/management-interface=http-interface:write-attribute(name=secure-socket-binding, value=management-https)
      
      /core-service=management/management-interface=http-interface:undefine-attribute(name=socket-binding)

   2. マネージドドメインの起動

      secure-port を追加し、ポート設定を削除して、management-interface セクション内の socket 要素を変更します。

      以下のコマンドを使用して管理インターフェイスを HTTPS にバインドします。

      /host=master/core-service=management/management-interface=http-interface:write-attribute(name=secure-port,value=9993)
      
      /host=master/core-service=management/management-interface=http-interface:undefine-attribute(name=port)

3. オプション: カスタム socket-binding-group を使用します。カスタムの socket-binding-group を使用する場合は、management-https バインディングが定義されていることを確認する必要があります。デフォルトではポート 9993 にバインドされます。これを確認するには、サーバーの設定ファイルの socket-binding-group セクションを確認するか、管理 CLI を使用します。

   管理 CLI を使用して socket-binding-group 設定を読み取る例

   /socket-binding-group=standard-sockets/socket-binding=management-https:read-resource(recursive=true)
   
   {
       "outcome" => "success",
       "result" => {
           "client-mappings" => undefined,
           "fixed-port" => false,
           "interface" => "management",
           "multicast-address" => undefined,
           "multicast-port" => undefined,
           "name" => "management-https",
           "port" => expression "${jboss.management.https.port:9993}"
       }
   }

4. 新しいセキュリティーレルムを作成します。この例では、HTTPS を使用する新しいセキュリティーレルム ManagementRealmHTTPS は、EAP_HOME/standalone/configuration/ ディレクトリーにある https-mgmt-users.properties という名前のプロパティーファイルを使用して、ユーザー名とパスワードを保存します。ユーザー名とパスワードは後でファイルに追加できます。ただし、現在は、https-mgmt-users.properties という名前で空のファイルを作成し、その場所に保存する必要があります。以下の例は、touch コマンドの使用を示しています。しかし、テキストエディターなどの他のメカニズムを使用することもできます。

   touch コマンドを使用して空のファイルを作成する例

   $ touch EAP_HOME/standalone/configuration/https-mgmt-users.properties

   次に、次の CLI コマンドを入力して、ManagementRealmHTTPS という名前の新しいセキュリティーレルムを作成します。

   /core-service=management/security-realm=ManagementRealmHTTPS:add
   
   /core-service=management/security-realm=ManagementRealmHTTPS/authentication=properties:add(path=https-mgmt-users.properties,relative-to=jboss.server.config.dir)

   これで、新しいセキュリティーレルムを作成し、認証用にプロパティーファイルを使用するよう設定しました。次に、EAP_HOME/bin/ ディレクトリーの add-user スクリプトを使用して、そのプロパティーファイルにユーザーを追加する必要があります。add-user スクリプトを実行する際には、-up と -r オプションをそれぞれ使用してプロパティーファイルとセキュリティーレルムの両方を指定する必要があります。そこから、add-user スクリプトは、https-mgmt-users.properties ファイルに保存するユーザー名とパスワード情報を対話的に要求します。

   $ EAP_HOME/bin/add-user.sh -up EAP_HOME/standalone/configuration/https-mgmt-users.properties -r ManagementRealmHTTPS
   ...
   Enter the details of the new user to add.
   Using realm 'ManagementRealmHTTPS' as specified on the command line.
   ...
   Username : httpUser
   Password requirements are listed below. To modify these restrictions edit the add-user.properties configuration file.
    - The password must not be one of the following restricted values {root, admin, administrator}
    - The password must contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)
    - The password must be different from the username
   ...
   Password :
   Re-enter Password :
   About to add user 'httpUser' for realm 'ManagementRealmHTTPS'
   ...
   Is this correct yes/no? yes
   ..
   Added user 'httpUser' to file 'EAP_HOME/configuration/https-mgmt-users.properties'
   ...
   Is this new user going to be used for one AS process to connect to another AS process?
   e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.
   yes/no? no

   重要

   プロパティーファイルを使用してユーザー名とパスワードを保存するようにセキュリティーレルムを設定する場合、各レリムは別のレルムと共有されていない個別のプロパティーを使用することが推奨されます。

5. 新しいセキュリティーレルムを使用するように管理インターフェイスを設定します。

   /core-service=management/management-interface=http-interface:write-attribute(name=security-realm,value=ManagementRealmHTTPS)

6. キーストアを使用するように管理インターフェイスを設定します。

   以下の CLI コマンドを使用して、キーストアを使用するように管理インターフェイスを設定します。パラメーターファイル、パスワード、およびエイリアスについては、その値を 最初の手順 からコピーする必要があります。

   キーストアをセキュリティーレルムに追加するための CLI コマンド

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:add(keystore-path=identity.jks,keystore-relative-to=jboss.server.config.dir,keystore-password=password1, alias=appserver)

   注記

   キーストアのパスワードを更新するには、以下の CLI コマンドを使用します。

   /core-service=management/security-realm=ManagementRealmHTTPS/server-identity=ssl:write-attribute(name=keystore-password,value=newpassword)

   このときは、サーバーの設定をリロードする必要があります。

   reload

   サーバー設定のリロード後には、起動したサービスの数を示すテキストの直前に以下の内容がログに含まれるはずです。

   13:50:54,160 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0061: Http management interface listening on https://127.0.0.1:9993/management
   13:50:54,162 INFO  [org.jboss.as] (Controller Boot Thread) WFLYSRV0052: Admin console listening on https://127.0.0.1:9993

   これで、管理インターフェイスはポート 9993 をリッスンするようになります。これにより、手順が成功したことを確認できました。

   重要

   このとき、CLI は接続を切断し、ポートバインディングが変更されたため再接続できなくなります。次の手順 に進み、jboss-cli.xml を更新して CLI が再接続できるようにします。

7. jboss-cli.xml を更新します。

   管理 CLI を使用して管理アクションを実行する場合は、EAP_HOME/bin/jboss-cli.xml ファイルに次の変更を加える必要があります。

   • <default-protocol> の値を https-remoting に更新します。
   • <default-controller> において、<protocol> の値を https-remoting に更新します。

   • <default-controller> で、<port> の値を 9993 に更新します。

     jboss-cli.xml の例

     <jboss-cli xmlns="urn:jboss:cli:2.0">
         <default-protocol use-legacy-override="true">https-remoting</default-protocol>
         <!-- The default controller to connect to when 'connect' command is executed w/o arguments -->
         <default-controller>
             <protocol>https-remoting</protocol>
             <host>localhost</host>
             <port>9993</port>
         </default-controller>
     ...

     次回、管理 CLI を使用して管理インターフェイスに接続する場合は、サーバー証明書を受け入れ、ManagementRealmHTTPS セキュリティーレルムに対して認証を行う必要があります。

     サーバー証明書の受け入れと認証の例

     $ ./jboss-cli.sh -c
     Unable to connect due to unrecognised server certificate
     Subject    - CN=appserver,OU=Sales,O=Systems Inc,L=Raleigh,ST=NC,C=US
     Issuer     - CN=appserver, OU=Sales, O=Systems Inc, L=Raleigh, ST=NC, C=US
     Valid From - Tue Jun 28 13:38:48 CDT 2016
     Valid To   - Thu Jun 28 13:38:48 CDT 2018
     MD5 : 76:f4:81:8b:7e:c3:be:6d:ee:63:c1:7a:b7:b8:f0:fb
     SHA1 : ea:e3:f1:eb:53:90:69:d0:c9:69:4a:5a:a3:20:8f:76:c1:e6:66:b6
     
     Accept certificate? [N]o, [T]emporarily, [P]ermenantly : p
     Authenticating against security realm: ManagementRealmHTTPS
     Username: httpUser
     Password:
     [standalone@localhost:9993 /]

1. キーストアを生成します。

   $ keytool -genkeypair -alias HOST1_alias -keyalg RSA -keysize 1024 -validity 365 -keystore HOST1.keystore.jks -dname "CA_HOST1" -keypass secret -storepass secret
   
   $ keytool -genkeypair -alias HOST2_alias -keyalg RSA -keysize 1024 -validity 365 -keystore HOST2.keystore.jks -dname "CA_HOST2" -keypass secret -storepass secret

2. 証明書をエクスポートします。

   $ keytool -exportcert  -keystore HOST1.keystore.jks -alias HOST1_alias -keypass secret -storepass secret -file HOST1.cer
   
   $ keytool -exportcert  -keystore HOST2.keystore.jks -alias HOST2_alias -keypass secret -storepass secret -file HOST2.cer

3. 対立するトラストストアにインポートします。

   $ keytool -importcert -keystore HOST1.truststore.jks -storepass secret -alias HOST2_alias -trustcacerts -file HOST2.cer
   
   $ keytool -importcert -keystore HOST2.truststore.jks -storepass secret -alias HOST1_alias -trustcacerts -file HOST1.cer

4. CertificateRealm を定義します。

   サーバー (host.xml または standalone.xml) の設定で CertificateRealm を定義し、その先となるインターフェイスを指定します。これは、以下のコマンドで実行できます。

   /core-service=management/security-realm=CertificateRealm:add()
   
   /core-service=management/security-realm=CertificateRealm/server-identity=ssl:add(keystore-path=/path/to/HOST1.keystore.jks, keystore-password=secret,alias=HOST1_alias)
   
   /core-service=management/security-realm=CertificateRealm/authentication=truststore:add(keystore-path=/path/to/HOST1.truststore.jks,keystore-password=secret)

5. http-interface の security-realm を新しい CertificateRealm に変更します。

   /core-service=management/management-interface=http-interface:write-attribute(name=security-realm,value=CertificateRealm)

6. CLI の SSL/TLS 設定を追加します。

   重要

   双方向 SSL/TLS の追加に加え、管理インターフェイスも HTTPS にバインドされるように設定 してください。

   EAP_HOME/bin/jboss-cli.xml を設定ファイルとして使用する CLI の SSL/TLS 設定を追加します。

   キーストアとトラストストアのパスワードをプレーンテキストで保存するには、EAP_HOME/bin/jboss-cli.xml を編集し、変数に適切な値を使用して SSL/TLS 設定を追加します。

   jboss-cli.xml XML の例

   <ssl>
     <alias>HOST2_alias</alias>
     <key-store>/path/to/HOST2.keystore.jks</key-store>
     <key-store-password>secret</key-store-password>
     <trust-store>/path/to/HOST2.truststore.jks</trust-store>
     <trust-store-password>secret</trust-store-password>
     <modify-trust-store>true</modify-trust-store>
   </ssl>

   パスワード vault に保存されているキーストアおよびトラストストアパスワードを使用するには、vault 設定および適切な vault の値を EAP_HOME/bin/jboss-cli.xml に追加する必要があります。

   jboss-cli.xml XML の例

   <ssl>
     <vault>
       <vault-option name="KEYSTORE_URL" value="path-to/vault/vault.keystore"/>
       <vault-option name="KEYSTORE_PASSWORD" value="MASK-5WNXs8oEbrs"/>
       <vault-option name="KEYSTORE_ALIAS" value="vault"/>
       <vault-option name="SALT" value="12345678"/>
       <vault-option name="ITERATION_COUNT" value="50"/>
       <vault-option name="ENC_FILE_DIR" value="EAP_HOME/vault/"/>
     </vault>
     <alias>HOST2_alias</alias>
     <key-store>/path/to/HOST2.keystore.jks</key-store>
     <key-store-password>VAULT::VB::cli_pass::1</key-store-password>
     <key-password>VAULT::VB::cli_pass::1</key-password>
     <trust-store>/path/to/HOST2.truststore.jks</trust-store>
     <trust-store-password>VAULT::VB::cli_pass::1</trust-store-password>
     <modify-trust-store>true</modify-trust-store>
   </ssl>

1. 最初に HTTPS セキュリティーレルムを追加し、設定します。HTTPS セキュリティーレルムが設定されたら、セキュリティーレルムを参照する undertow サブシステムで https-listener を設定します。

   batch
   
   /core-service=management/security-realm=HTTPSRealm/:add
   
   /core-service=management/security-realm=HTTPSRealm/server-identity= \
   ssl:add(keystore-path=identity.jks, \
   keystore-relative-to=jboss.server.config.dir, \
   keystore-password=password1, alias=appserver)
   
   /subsystem=undertow/server=default-server/https-listener=https:add( \
   socket-binding=https, security-realm=HTTPSRealm)
   
   run-batch

   警告

   Red Hat では、影響するすべてのパッケージで TLSv1.1 または TLSv1.2 を利用するために SSLv2、SSLv3、および TLSv1.0 を明示的に無効化することを推奨しています。

2. 変更を反映するためにサーバーをリロードします。

   reload

1. クライアントとサーバー両方のストアを生成します。
2. クライアントとサーバー両方の証明書をエクスポートします。
3. opposing トラストストアに証明書をインポートします。
4. サーバーのキーストアおよびトラストストアを使用するサーバーで、CertificateRealm などのセキュリティーレルムを定義します。
5. セキュリティーレルムを使用し、クライアント検証が必須となるように undertow サブシステムを更新します。

1. マスタードメインコントローラー上に SSL/TLS セキュリティーレルムを作成します。

   NSS データベースを PKCS11 プロバイダーとして使用するように設定されたマスタードメインコントローラー上に SSL/TLS セキュリティーレルムを作成する必要があります。

   セキュリティーレルムの例

   <security-realm name="HTTPSRealm">
       <server-identities>
           <ssl>
               <engine enabled-protocols="TLSv1.1"/>
               <keystore provider="PKCS11" keystore-password="strongP@ssword1"/>
           </ssl>
       </server-identities>
       <authentication>
           <local default-user="\$local"/>
           <properties path="https-users.properties" relative-to="jboss.domain.config.dir"/>
       </authentication>
   </security-realm>

2. 各ホストコントローラーに SSL/TLS セキュリティーレルムを作成します。

   認証用に SSL/TLS トラストストアを使用してセキュリティーレルムを作成する必要があります。

   セキュリティーレルムの例

   <security-realm name="HTTPSRealm">
     <authentication>
       <truststore provider="PKCS11" keystore-password="strongP@ssword1"/>
     </authentication>
   </security-realm>

   注記

   各ホストでこのプロセスを繰り返す必要があります。

3. マスタードメインコントローラー上のネイティブインターフェイスを保護します。

   マスタードメインコントローラーのネイティブインターフェイスが、作成したばかりのセキュリティーレルムで保護されていることを確認する必要があります。

   ネイティブインターフェイスの例

   <management-interfaces>
     ...
     <native-interface security-realm="HTTPSRealm">
       <socket interface="management" port="${jboss.management.native.port:9999}"/>
      </native-interface>
   </management-interfaces>

4. 各ホストコントローラーで SSL/TLS レルムを使用して、マスタードメインコントローラーに接続します。

   マスタードメインコントローラーへの接続に使用されるセキュリティー領域を更新する必要があります。この変更は、サーバーが動作していないときにホストコントローラーの設定ファイル (host.xml、host-slave.xml など) で直接行う必要があります。

   ホストコントローラー設定ファイルの例

   <domain-controller>
     <remote security-realm="HTTPSRealm">
       <discovery-options>
         <static-discovery name="primary" protocol="${jboss.domain.master.protocol:remote}" host="${jboss.domain.master.address}" port="${jboss.domain.master.port:9999}"/>
       </discovery-options>
     </remote>
   </domain-controller>

5. 各サーバーがホストコントローラーに接続する方法を更新します。

   また、各サーバーがホストコントローラーに接続する方法も更新する必要があります。

   サーバー設定の例

   <server name="my-server" group="my-server-group">
     <ssl ssl-protocol="TLS" trust-manager-algorithm="SunX509" truststore-type="PKCS11" truststore-password="strongP@ssword1"/>
   </server>

6. マネージドドメインで双方向 SSL/TLS を設定します。

   双方向 SSL/TLS を有効にするには、マスタードメインコントローラーの SSL/TLS セキュリティーレルムにトラストストア認証メソッドを追加します。以下の管理 CLI コマンドを実行します。

   /host=master/core-service=management/security-realm=HTTPSRealm/authentication=truststore:add(keystore-provider="PKCS11",keystore-password="strongP@ssword1")
   
   reload --host=master

   SSL サーバーアイデンティティーを持つように各ホストコントローラーのセキュリティーレルムを更新する必要もあります。以下の管理 CLI コマンドを実行します。

   /host=host1/core-service=management/security-realm=HTTPSRealm/server-identity=ssl:add(keystore-provider=PKCS11, keystore-password="strongP@ssword1",enabled-protocols=["TLSv1.1"])
   
   reload --host=host1

   重要

   また、各ホストの証明書がドメインコントローラーのトラストストアにインポートされることを確認する必要があります。

1. セキュリティードメインを作成します。

   この例では、セキュリティードメインが UserRoles ログインモジュールで作成されますが、その他のログインモジュールも使用できます。

   /subsystem=security/security-domain=UsersLMDomain:add(cache-type=default)
   
   /subsystem=security/security-domain=UsersLMDomain/authentication=classic:add
   
   /subsystem=security/security-domain=UsersLMDomain/authentication=classic/login-module=UsersRoles:add(code=UsersRoles, flag=required,module-options=[("usersProperties"=>"users.properties"),("rolesProperties"=>"roles.properties")])

2. JAAS 認証でセキュリティーレルムを作成します。

   /core-service=management/security-realm=SecurityDomainAuthnRealm:add
   
   /core-service=management/security-realm=SecurityDomainAuthnRealm/authentication=jaas:add(name=UsersLMDomain)

3. 新しいセキュリティーレルムを使用するように http-interface 管理インターフェイスを更新します。

   /core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=SecurityDomainAuthnRealm)

4. オプション: グループメンバーシップを割り当てます。

   属性 assign-groups は、セキュリティーレルム内のグループ割り当てに、セキュリティードメインからロードされたユーザーメンバーシップ情報を使用するかどうかを決定します。true に設定すると、グループ割り当ては、RBAC (Role-Based Access Control) に使用されます。

   /core-service=management/security-realm=SecurityDomainAuthnRealm/authentication=jaas:write-attribute(name=assign-groups,value=true)

1. セキュリティードメインの詳細ビューを開く

   • 画面上部の Configuration をクリックします。
   • マネージドドメインで、左上の Profile 選択ボックスから変更するプロファイルを選択します。
   • Subsystems をクリックし、Security をクリックします。
   • 編集するセキュリティードメインをクリックし、View をクリックします。

2. 監査設定に移動します。

   画面左側の Audit をクリックします。

   設定領域は、プロバイダーモジュールと詳細の 2 つの領域に分かれています。プロバイダーモジュールは、設定の基本単位です。セキュリティードメインには、属性とオプションを含めることができる複数のプロバイダーモジュールを含めることができます。

3. プロバイダーモジュールを追加します。

   Add をクリックして、Code セクションにプロバイダーモジュールのクラス名を入力します。また、Name セクションに任意の名前を入力します。

4. モジュールが動作していることを確認します。

   監査モジュールの目標は、security サブシステムでイベントを監視する手段を提供することです。この監視は、ログファイル、電子メール通知、またはその他の測定可能な監査メカニズムに書き込む方法で実行できます。

   たとえば、JBoss EAP には、デフォルトで org.jboss.security.audit.providers.LogAuditProvider モジュールが含まれています。上記の手順に従って有効にした場合、この監査モジュールは、EAP_HOME ディレクトリー内のログサブフォルダーにある audit.log ファイルにセキュリティー通知を書き込みます。

   上記の手順が org.jboss.security.audit.providers.LogAuditProvider のコンテキストで機能したかどうかを確認するには、通知をトリガーする可能性のあるアクションを実行し、監査ログファイルを確認します。

5. オプション: モジュールオプションを追加、編集、または削除します。

   モジュールにオプションを追加するには、Modules リストでそのエントリーをクリックし、ページの Details セクションで Module Options タブを選択します。Add をクリックして、オプションのキーと値を指定します。

   すでに存在するオプションを編集するには、Remove をクリックして削除し、Add をクリックして正しいオプションで再度追加します。

adduser スクリプトでユーザーを追加するには、以下を実行します。

1. add-user.sh または add-user.bat コマンドを実行します。
2. 管理ユーザーまたはアプリケーションユーザーを追加するかどうかを選択します。
3. ユーザーを追加するレルムを選択します。デフォルトでは、利用可能なレルムは ManagementRealm と ApplicationRealm のみです。カスタムレルムが追加されると、代わりに手動で名前を入力することができます。
4. プロンプトが表示されたら、希望のユーザー名、パスワード、および任意のロールを入力します。変更は、セキュリティーレルムの各プロパティーファイルに書き込まれます。

1. パスワード vault コマンドをインタラクティブに起動します。

   オペレーティングシステムのコマンドラインインターフェイスを起動し、EAP_HOME/bin/vault.sh (Red Hat Enterprise Linux および同様のオペレーティングシステム) または EAP_HOME\bin\vault.bat (Microsoft Windows Server 上) を実行します。新しい対話セッションを開始するには、0 (ゼロ) と入力します。

2. 要求パラメーターを入力します。

   プロンプトに従って必要なパラメーターを入力します。これらの値は、パスワード vault の作成時に提供された値と一致している必要があります。

   注記

   キーストアパスワードは、マスク形式ではなく、プレーンテキスト形式で指定する必要があります。

3. 機密文字列に関するパラメーター入力を行います。

   機密文字列の保存を開始する場合は 0 (ゼロ) を入力します。プロンプトに従って必要なパラメーターを入力します。

4. マスクされた文字列についての情報を書き留めておきます。

   メッセージは標準出力に出力され、vault ブロック、属性名、マスクされた文字列、設定の文字列の使用に関するアドバイスが表示します。この情報は、安全な場所にメモしておいてください。出力例を以下に示します。

   Vault Block:ds_Example1
   Attribute Name:password
   Configuration should be done as follows:
   VAULT::ds_Example1::password::1

5. 対話式コンソールを終了します。

   対話式コンソールを終了するには、2 と入力します。