第18章 クライアントの設定

この任意の要素は、設定内でクレデンシャルを埋め込む代わりに、設定内の他の場所から参照されるクレデンシャルストアを定義します。

任意数の credential-store 要素を含むことができます。

<configuration>
  <authentication-client xmlns="urn:elytron:1.0.1">
    <credential-stores>
      <credential-store name="..." type="..." provider="..." >
        <attributes>
          <attribute name="..." value="..." />
        </attributes>
        <protection-parameter-credentials>...</protection-parameter-credentials>
      </credential-store>
    </credential-stores>
  </authentication-client>
</configuration>

この要素は、設定の別の場所から参照されるクレデンシャルストアを定義します。

この要素は以下の属性を持ちます。

この要素には、以下の各子要素を 1 つのみ含めることができます。

この要素は、クレデンシャルストアの初期化に使用される設定属性を定義し、設定に必要な回数繰り返すことができます。

<attributes>
  <attribute name="..." value="..." />
</attributes>

この要素には、クレデンシャルストアを初期化するときに使用される保護パラメーターにアセンブルされる 1 つまたは複数のクレデンシャルを含むことができます。

It can contain one or more of the following child elements, which are dependent on the credential store implementation:

<protection-parameter-credentials>
  <key-store-reference>...</key-store-reference>
  <credential-store-reference store="..." alias="..." clear-text="..." />
  <clear-password password="..." />
  <key-pair public-key-pem="..." private-key-pem="..." />
  <certificate private-key-pem="..." pem="..." />
  <public-key-pem>...</public-key-pem>
  <bearer-token value="..." />
  <oauth2-bearer-token token-endpoint-uri="...">...</oauth2-bearer-token>
</protection-parameter-credentials>

この要素は、JBoss EAP 7.1 の認証メカニズムによって 現在使用されていません。キーストアへの参照を定義します。

この要素は以下の属性を持ちます。

これには、以下の子要素の 1 つのみを含めることができます。

<key-store-reference key-store-name="..." alias="...">
  <key-store-clear-password password="..." />
  <key-store-credential>...</key-store-credential>
</key-store-reference>

この要素はクレデンシャルストアへの参照を定義します。

この要素は以下の属性を持ちます。

この要素は、JBoss EAP 7.1 の認証メカニズムによって 現在使用されていません。パブリックキーとプライベートキーのペアを定義します。

これには、以下の子要素を含めることができます。

この要素は、JBoss EAP 7.1 の認証メカニズムによって 現在使用されていません。証明書を指定します。

この要素は以下の属性を持ちます。

この要素は、OAuth 2 のベアラートークンを定義します。

これには以下の属性があります。

この要素には、以下の各子要素を 1 つのみ含めることができます。

この要素は、クライアントクレデンシャルを定義します。

この要素は以下の属性を持ちます。

この要素は、リソース所有者のクレデンシャルを定義します。

この要素は以下の属性を持ちます。

この要素は任意で、設定の別の場所から参照されるキーストアを定義します。

<configuration>
  <authentication-client xmlns="urn:elytron:1.0.1">
    <key-stores>
      <key-store name="...">
        <!-- The following 3 elements specify where to load the keystore from. -->
        <file name="..." />
        <load-from uri="..." />
        <resource name="..." />
        <!-- One of the following to specify the protection parameter to unlock the keystore. -->
        <key-store-clear-password password="..." />
        <key-store-credential>...</key-store-credential>
      </key-store>
    </key-stores>
   ...
  </authentication-client>
</configuration>

この要素は任意で、設定の他の場所から参照されるキーストアを定義します。

key-store には以下の属性があります。

キーストアのロード元を定義する以下の要素の 1 つが必ず含まれる必要があります。

また、キーストアを初期化するときに使用する保護パラメーターを指定する以下の要素の 1 つが含まれている必要があります。

この要素はキーストアファイルの名前を指定します。

これには以下の属性があります。

この要素は、キーストアファイルの URI を指定します。

これには以下の属性があります。

この要素は、Thread コンテキストクラスローダーからロードするリソースの名前を指定します。

これには以下の属性があります。

この要素はクリアテキストパスワードを指定します。

これには以下の属性があります。

この要素は、このキーストアにアクセスするために保護パラメーターとして使用するエントリーを取得する別のキーストアへの参照を指定します。

key-store-credential 要素には以下の属性があります。

これには、以下の子要素の 1 つのみを含めることができます。

<key-store-credential key-store-name="..." alias="...">
  <key-store-clear-password password="..." />
  <key-store-credential>...</key-store-credential>
</key-store-credential>

この要素は、適切な認証設定を適用するためにアウトバウンド接続と照合するルールを定義します。authentication-configuration が必要である場合、アクセスされたリソースの URI と、任意の抽象型および抽象型オーソリティーは、設定に定義されたルールと照合され、使用する authentication-configuration を特定します。

この要素には、1 つまたは複数の子 rule 要素を含めることができます。

<configuration>
  <authentication-client xmlns="urn:elytron:1.0.1">
    ...
    <authentication-rules>
      <rule use-configuration="...">
        ...
      </rule>
     </authentication-rules>
     ...
  </authentication-client>
</configuration>

この要素は、適切な認証設定を適用するためにアウトバウンド接続と照合するルールを定義します。

これには以下の属性があります。

認証設定ルールの照合は、SSL コンテキストルールの照合とは独立しています。認証設定ルールは認証設定、SSL コンテキストルールは SSL コンテキストを参照すること以外は、認証ルールの構造は SSL コンテキストルールの構造と同じです。

これには、以下の子要素を含めることができます。

<rule use-configuration="...">
    <!-- At most one of the following two can be defined. -->
    <match-no-user />
    <match-user name="..." />
    <!-- Each of the following can be defined at most once. -->
    <match-protocol name="..." />
    <match-host name="..." />
    <match-path name="..." />
    <match-port number="..." />
    <match-urn name="..." />
    <match-domain name="..." />
    <match-abstract-type name="..." authority="..." />
</rule>

この要素は、認証ルールによって選択される名前付きの認証設定を定義します。

これには、1 つまたは複数の configuration 要素を含めることができます。

<configuration>
  <authentication-client xmlns="urn:elytron:1.0.1">
    <authentication-configurations>
      <configuration name="...">
        <!-- Destination Overrides. -->
        <set-host name="..." />
        <set-port number="..." />
        <set-protocol name="..." />
        <!-- At most one of the following two elements. -->
        <set-user-name name="..." />
        <set-anonymous />
        <set-mechanism-realm name="..." />
        <rewrite-user-name-regex pattern="..." replacement="..." />
        <sasl-mechanism-selector selector="..." />
        <set-mechanism-properties>
          <property key="..." value="..." />
        </set-mechanism-properties>
        <credentials>...</credentials>
        <set-authorization-name name="..." />
        <providers>...</providers>
        <!-- At most one of the following two elements. -->
        <use-provider-sasl-factory />
        <use-service-loader-sasl-factory module-name="..." />
      </configuration>
    </authentication-configurations>
  </authentication-client>
</configuration>

この要素は、認証ルールによって選択される名前付きの認証設定を定義します。

これには、以下の子要素を含めることができます。

この要素は、認証された呼び出しのホスト名をオーバーライドします。

これには以下の属性があります。

この要素は、認証された呼び出しのポート番号をオーバーライドします。

これには以下の属性があります。

この要素は、認証された呼び出しのプロトコルをオーバーライドします。

これには以下の属性があります。

この要素は、認証に使用するユーザー名を設定します。set-anonymous 要素とは使用しないでください。

これには以下の属性があります。

この要素は、必要時に SASL メカニズムによって選択されるレルムの名前を指定します。

これには以下の属性があります。

この要素は、認証に使用されるユーザー名を再書き込みする正規表現パターンと代替を定義します。

この要素は以下の属性を持ちます。

この要素は、org.wildfly.security.sasl.SaslMechanismSelector.fromString(string) メソッドからの構文を使用して SASL メカニズムを指定します。

これには以下の属性があります。

sasl-mechanism-selector に必要な文法に関する詳細は、JBoss EAP『How to Configure Server Security』の「sasl-mechanism-selector Grammar」を参照してください。

この要素は、認証メカニズムに渡されるプロパティーを定義します。

この要素は以下の属性を持ちます。

この要素は、認証中に使用できる 1 つまたは複数のクレデンシャルを定義します。

It can contain one or more of the following child elements, which are dependent on the credential store implementation:

これらは、protection-parameter-credentials 要素に含まれる子要素と同じです。詳細と設定例については、protection-parameter-credentials 要素の説明を参照してください。

この要素は、承認に使用する名前が認証 ID とは異なる場合に、その名前を指定します。

この要素は以下の属性を持ちます。

この要素は、サービスローダー検出メカニズムを使用して SASL クライアントファクトリーの検出に使用されるモジュールを指定します。指定されたモジュールがない場合は、設定をロードしたクラスローダーが使用されます。この要素は use-provider-sasl-factory 要素とは使用しないでください。

これには以下の属性があります。

この要素に含まれる設定はありません。この要素が存在する場合、org.wildfly.security.auth.util.ElytronAuthenticator が java.net.Authenticator.setDefault(Authenticator) で登録されます。これにより、認証を必要とする HTTP 呼び出しに JDK API が使用された場合にElytron 認証クライアント設定が認証に使用されます。

これは任意の要素で、SSL コンテキストルールを定義します。ssl-context が必要な場合、アクセスされたリソースの URI と、任意の抽象型および抽象型オーソリティーは、設定に定義されたルールと照合され、使用する ssl-context を特定します。

この要素には、1 つまたは複数の子 rule 要素を含めることができます。

<configuration>
  <authentication-client xmlns="urn:elytron:1.0.1">
    <ssl-context-rules>
      <rule use-ssl-context="...">
        ...
      </rule>
    </ssl-context-rules>
    ...
  </authentication-client>
</configuration>

この要素は、SSL コンテキスト定義で照合するルールを定義します。

これには以下の属性があります。

SSL コンテキストルールの照合は、認証ルールの照合とは独立しています。SSL コンテキストルールは SSL コンテキスト、認証ルールは認証設定を参照すること以外は、SSL コンテキストルールの構造は、認証設定ルールの構造と同じです。

これには、以下の子要素を含めることができます。

<rule use-ssl-context="...">
  <!-- At most one of the following two can be defined. -->
  <match-no-user />
  <match-user name="..." />
  <!-- Each of the following can be defined at most once. -->
  <match-protocol name="..." />
  <match-host name="..." />
  <match-path name="..." />
  <match-port number="..." />
  <match-urn name="..." />
  <match-domain name="..." />
  <match-abstract-type name="..." authority="..." />
</rule>

これは任意の要素で、SSL コンテキストルールによって選択される SSL コンテキスト定義を定義します。

<configuration>
  <authentication-client xmlns="urn:elytron:1.0.1">
    <ssl-contexts>
      <default-ssl-context name="..."/>
      <ssl-context name="...">
        <key-store-ssl-certificate>...</key-store-ssl-certificate>
        <trust-store key-store-name="..." />
        <cipher-suite selector="..." />
        <protocol names="... ..." />
        <provider-name name="..." />
        <providers>...</providers>
        <certificate-revocation-list path="..." maximum-cert-path="..." />
      </ssl-context>
    </ssl-contexts>
  </authentication-client>
</configuration>

この要素は、接続に使用する SSL コンテキストを定義します。

任意で以下の各子要素を 1 つずつ含めることができます。

この要素は、キーのキーストア内のエントリーへの参照と、このSSL コンテキストに使用する証明書を定義します。

この要素は以下の属性を持ちます。

以下の子要素を含めることができます。

この構造は、 key-store-credential 設定で使用される構造とほぼ同じですが、この構造ではキーと証明書のエントリーを取得します。しかし、入れ子の key-store-clear-password および key-store-credential 要素は、エントリーをアンロックするために保護パラメーターを提供します。

<key-store-ssl-certificate key-store-name="..." alias="...">
  <key-store-clear-password password="..." />
  <key-store-credential>...</key-store-credential>
</key-store-ssl-certificate>

この要素は、TrustManager の初期化に使用されるキーストアへの参照です。

これには以下の属性があります。

この要素は、有効化された暗号スイートにフィルターを設定します。

これには以下の属性があります。

<cipher-suite selector="DEFAULT" />

この要素は、証明書失効リストへのパスと、証明書パスに存在可能な自己発行でない中間証明書の最大数の両方を定義します。この要素が存在する場合、ピア証明書を証明書失効リストと照合することができます。

この要素は以下の属性を持ちます。

この要素は、必要時に java.security.Provider インスタンスを探す方法を定義します。

これには、以下の子要素を含めることができます。

authentication-client の設定セクションはお互いに独立しているため、この要素は以下の場所に設定できます。

<configuration>
  <authentication-client xmlns="urn:elytron:1.0.1">
    <providers />
    ...
    <credential-stores>
      <credential-store name="...">
        ...
        <providers />
      </credential-store>
    </credential-stores>
    ...
    <authentication-configurations>
      <authentication-configuration name="...">
        ...
        <providers />
      </authentication-configuration>
    </authentication-configurations>
    ...
    <ssl-contexts>
      <ssl-context name="...">
        ...
        <providers />
      </ssl-context>
    </ssl-contexts>
  </authentication-client>
</configuration>

providers 設定は、オーバーライドされない限りは定義される要素と、その要素の子要素に適用されます。子要素の providers の仕様は、その親要素に指定された providers をオーバライドします。指定された providers 設定がない場合、デフォルトの動作は以下と同様になり、Elytron プロバイダーはグローバルに登録されたプロバイダーよりも優先されますが、グローバルに登録されたプロバイダーの使用も許可されます。

<providers>
  <use-service-loader />
  <global />
</providers>

これは任意の要素で、EJB 呼び出しのタイムアウトを指定します。この要素には以下の属性があります。

この要素は、EJB クライアントインターセプターを指定するために使用され、以下の属性があります。

この要素は、EJB クライアント接続を指定するために使用されます。任意で interceptors 要素を含めることができ、以下の属性があります。

この要素は、リモートトランスポートプロバイダーを定義します。この要素には以下の属性があります。

この要素は、リモートエンドポイントの接続を定義します。この要素には以下の属性があります。

これは任意の要素で、ワーカーおよびタスクスレッドがデーモンスレッドであるべきかどうかを指定します。この要素の内容はありません。この要素には以下の属性があります。

この要素はワーカーの名前を定義します。ワーカー名はスレッドダンプおよび JMX に表示されます。この要素には内容がなく、以下の属性があります。

これは任意の要素で、ワーカーのタスクスレッドプールの最大サイズを定義します。この要素の内容はなく、以下の属性があります。

これはオプションの要素で、タスクスレッドが期限切れになる前にキープアライブの時間を指定します。この要素には以下の属性があります。

これは任意の要素で、維持する I/O セレクタースレッドの数を決定します。通常この数は、利用可能なコアの数の倍数で、小さな定数になります。これには以下の属性があります。

これは任意の要素で、ワーカースレッドの最低スレッドスタックサイズを指定します。この要素は、密度が非常に高い特殊な状態のみで定義する必要があります。この要素には以下の属性があります。

これは任意の要素で、個別のバインドアドレスマッピングを定義します。この要素には以下の属性があります。