JBoss EAP で filesystem-realm を設定します。

/subsystem=elytron/filesystem-realm=exampleFsRealm:add(path=fs-realm-users,relative-to=jboss.server.config.dir)

ディレクトリーが jboss.server.config.dir 外にある場合は、path と relative-to の値を適切に変更する 必要があります。

ユーザーを追加します。

filesystem-realm を使用する場合は、管理 CLI を使用してユーザーを追加できます。

/subsystem=elytron/filesystem-realm=exampleFsRealm:add-identity(identity=user1)
/subsystem=elytron/filesystem-realm=exampleFsRealm:set-password(identity=user1, clear={password="password123"})
/subsystem=elytron/filesystem-realm=exampleFsRealm:add-identity-attribute(identity=user1, name=Roles, value=["Admin","Guest"])

simple-role-decoder を追加します。

/subsystem=elytron/simple-role-decoder=from-roles-attribute:add(attribute=Roles)

この simple-role-decoder は、Roles 属性からのプリンシパルのロールをデコードします。ロールが別の属性にある場合はこの値を変更できます。

security-domain を設定します。

/subsystem=elytron/security-domain=exampleFsSD:add(realms=[{realm=exampleFsRealm,role-decoder=from-roles-attribute}],default-realm=exampleFsRealm,permission-mapper=default-permission-mapper)

undertow サブシステムで application-security-domain を設定します。

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleFsSD)

アプリケーションの web.xml および jboss-web.xml を設定します。

アプリケーションの web.xml および jboss-web.xml は、JBoss EAP で設定した application-security-domain を使用するように更新する必要があります。このサンプルは、Configure Web Applications to use Elytron or Legacy Security for Authentication で確認できます。

プロパティーファイルを作成します。

ユーザーとパスワードのマッピング、ユーザーとロールのマッピングの 2 つのプロパティーファイルを作成する必要があります。通常、このファイルは jboss.server.config.dir ディレクトリーにあり、*-users.properties および *-roles.properties の命名規則に従います。ただし、他の場所や名前を使用できます。* -users.properties ファイルには、properties-realm への参照も含める必要があります。これについては次の手順で作成します (#$REALM_NAME=YOUR_PROPERTIES_REALM_NAME$)。

#$REALM_NAME=examplePropRealm$
user1=password123
user2=password123

user1=Admin
user2=Guest

JBoss EAP で properties-realm を設定します。

/subsystem=elytron/properties-realm=examplePropRealm:add(groups-attribute=groups,groups-properties={path=example-roles.properties,relative-to=jboss.server.config.dir},users-properties={path=example-users.properties,relative-to=jboss.server.config.dir,plain-text=true})

properties-realm の名前は examplePropRealm で、これは 1 つ前の手順の example-users.properties ファイルで使用しています。また、プロパティーファイルが jboss.server.config.dir 外にある場合は、path と relative-to の値 を適切に変更する必要があります。

security-domain を設定します。

/subsystem=elytron/security-domain=exampleSD:add(realms=[{realm=examplePropRealm,role-decoder=groups-to-roles}],default-realm=examplePropRealm,permission-mapper=default-permission-mapper)

undertow サブシステムで application-security-domain を設定します。

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleSD)

アプリケーションの web.xml および jboss-web.xml を設定します。

アプリケーションの web.xml および jboss-web.xml は、JBoss EAP で設定した application-security-domain を使用するように更新する必要があります。このサンプルは、Configure Web Applications to use Elytron or Legacy Security for Authentication で確認できます。

ユーザー名、パスワード、およびロールのデータベース形式を決定します。

アイデンティティーストアのデータベースを使用して認証を設定するには、このデータベースへのユーザー名、パスワード、およびロールの保存方法を決定する必要があります。この例では、以下のデータ例でテーブルを 1 つ使用します。

データソースを設定します。

JBoss EAP からデータベースに接続するには、適切なデータベースドライバーをデプロイし、データソースを設定する必要があります。以下の例は、PostgreSQL のドライバーをデプロイし、JBoss EAP でデータソースを設定する方法を示しています。

deploy /path/to/postgresql-9.4.1210.jar

data-source add --name=examplePostgresDS --jndi-name=java:jboss/examplePostgresDS --driver-name=postgresql-9.4.1210.jar  --connection-url=jdbc:postgresql://localhost:5432/postgresdb --user-name=postgresAdmin --password=mysecretpassword

JBoss EAP で jdbc-realm を設定します。

/subsystem=elytron/jdbc-realm=exampleDbRealm:add(principal-query=[{sql="SELECT password,roles FROM eap_users WHERE username=?",data-source=examplePostgresDS,clear-password-mapper={password-index=1},attribute-mapping=[{index=2,to=groups}]}])

security-domain を設定します。

/subsystem=elytron/security-domain=exampleDbSD:add(realms=[{realm=exampleDbRealm,role-decoder=groups-to-roles}],default-realm=exampleDbRealm,permission-mapper=default-permission-mapper)

undertow サブシステムで application-security-domain を設定します。

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleDbSD)

アプリケーションの web.xml および jboss-web.xml を設定します。

アプリケーションの web.xml および jboss-web.xml は、JBoss EAP で設定した application-security-domain を使用するように更新する必要があります。このサンプルは、Configure Web Applications to use Elytron or Legacy Security for Authentication で確認できます。

ユーザー名、パスワード、およびロールの LDAP 形式を決定します。

アイデンティティーストアに LDAP サーバーを使用して認証を設定するには、ユーザー名、パスワード、およびロールの保存方法を決定する必要があります。この例では、以下の構造を使用しています。

dn: dc=wildfly,dc=org
dc: wildfly
objectClass: top
objectClass: domain

dn: ou=Users,dc=wildfly,dc=org
objectClass: organizationalUnit
objectClass: top
ou: Users

dn: uid=jsmith,ou=Users,dc=wildfly,dc=org
objectClass: top
objectClass: person
objectClass: inetOrgPerson
cn: John Smith
sn: smith
uid: jsmith
userPassword: password123

dn: ou=Roles,dc=wildfly,dc=org
objectclass: top
objectclass: organizationalUnit
ou: Roles

dn: cn=Admin,ou=Roles,dc=wildfly,dc=org
objectClass: top
objectClass: groupOfNames
cn: Admin
member: uid=jsmith,ou=Users,dc=wildfly,dc=org

dir-context を設定します。

JBoss EAP から LDAP サーバーに接続するには、URL を指定する dir-context と、サーバーへの接続に使用するプリンシパルを設定する必要があります。

/subsystem=elytron/dir-context=exampleDC:add(url="ldap://127.0.0.1:10389",principal="uid=admin,ou=system",credential-reference={clear-text="secret"})

JBoss EAP で ldap-realm を設定します。

/subsystem=elytron/ldap-realm=exampleLR:add(dir-context=exampleDC,identity-mapping={search-base-dn="ou=Users,dc=wildfly,dc=org",rdn-identifier="uid",user-password-mapper={from="userPassword"},attribute-mapping=[{filter-base-dn="ou=Roles,dc=wildfly,dc=org",filter="(&(objectClass=groupOfNames)(member={0}))",from="cn",to="Roles"}]})

simple-role-decoder を追加します。

/subsystem=elytron/simple-role-decoder=from-roles-attribute:add(attribute=Roles)

security-domain を設定します。

/subsystem=elytron/security-domain=exampleLdapSD:add(realms=[{realm=exampleLR,role-decoder=from-roles-attribute}],default-realm=exampleLR,permission-mapper=default-permission-mapper)

undertow サブシステムで application-security-domain を設定します。

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleLdapSD)

アプリケーションの web.xml および jboss-web.xml を設定します。

アプリケーションの web.xml および jboss-web.xml は、JBoss EAP で設定した application-security-domain を使用するように更新する必要があります。このサンプルは、Configure Web Applications to use Elytron or Legacy Security for Authentication で確認できます。

key-store-realm を設定します。

/subsystem=elytron/key-store-realm=ksRealm:add(key-store=twoWayTS)

このレルムは、クライアントの証明書が含まれるトラストストアで設定する必要があります。認証プロセスでは、双方向 SSL のハンドシェイク時にクライアントが提示するものと同じ証明書を使用します。

デコーダーを作成します。

証明書からプリンシパルをデコードするには、x500-attribute-principal-decoder を作成する必要があります。以下の例では、最初の CN 値に基づいてプリンシパルをデコードします。

/subsystem=elytron/x500-attribute-principal-decoder=CNDecoder:add(oid="2.5.4.3",maximum-segments=1)

たとえば、完全な DN が CN=client,CN=client-certificate,DC=example,DC=jboss,DC=org の場合には、CNDecoder はプリンシパルを クライアント としてデコードします。このデコードされたプリンシパルは、エイリアス 値として、ksRealm に設定されたトラストストアの証明書の検索に使用します。

ロールの割り当て用に constant-role-mapper を追加します。

この例では、constant-role-mapper を使用して ksRealm のプリンシパルにロールを割り当てますが、他のアプローチを使用することもできます。

/subsystem=elytron/constant-role-mapper=constantClientCertRole:add(roles=[Admin,Guest])

security-domain を設定します。

/subsystem=elytron/security-domain=exampleCertSD:add(realms=[{realm=ksRealm}],default-realm=ksRealm,permission-mapper=default-permission-mapper,principal-decoder=CNDecoder,role-mapper=constantClientCertRole)

undertow サブシステムで application-security-domain を設定します。

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleCertSD)

server-ssl-context を更新します。

/subsystem=elytron/server-ssl-context=twoWaySSC:write-attribute(name=security-domain,value=exampleCertSD)
/subsystem=elytron/server-ssl-context=twoWaySSC:write-attribute(name=authentication-optional, value=true)
reload

アプリケーションの web.xml および jboss-web.xml を設定します。

アプリケーションの web.xml および jboss-web.xml は、JBoss EAP で設定した application-security-domain を使用するように更新する必要があります。このサンプルは、Configure Web Applications to use Elytron or Legacy Security for Authentication で確認できます。

さらに、web.xml が CLIENT-CERT を認証方法として使用するように更新する必要があります。

<login-config>
  <auth-method>CLIENT-CERT</auth-method>
  <realm-name>exampleApplicationDomain</realm-name>
</login-config>

既存のセキュリティーレルムを作成します。

caching-realm と合わせて使用する既存のセキュリティーレルムが必要です。たとえば、ファイルシステムベースのアイデンティティーストアを使用した認証の設定 の手順と似た filesystem-realm を作成できます。

/subsystem=elytron/filesystem-realm=exampleFsRealm:add(path=fs-realm-users, relative-to=jboss.server.config.dir)

/subsystem=elytron/filesystem-realm=exampleFsRealm:add-identity(identity=user1)

/subsystem=elytron/filesystem-realm=exampleFsRealm:set-password(identity=user1, clear={password="password123"})

/subsystem=elytron/filesystem-realm=exampleFsRealm:add-identity-attribute(identity=user1,name=Roles,value=["Admin","Guest"])

/subsystem=elytron/simple-role-decoder=from-roles-attribute:add(attribute=Roles)

caching-realm を作成します。

キャッシュ先となる既存のレルムがある場合には、そのレルムを参照する caching-realm を作成します。

/subsystem=elytron/caching-realm=exampleCacheRealm:add(realm=exampleFsRealm)

caching-realm を使用します。

caching-realm を作成すると、他のセキュリティーレルムと同様にセキュリティー設定で使用できるようになります。たとえば、ファイルシステムベースのアイデンティティーストアでの認証設定 で filesystem-realm を使用するのと同じ場所で使用できます。

/subsystem=elytron/security-domain=exampleFsSD:add(realms=[{realm=exampleCacheRealm, role-decoder=from-roles-attribute}], default-realm=exampleCacheRealm, permission-mapper=default-permission-mapper)

/subsystem=elytron/http-authentication-factory=example-fs-http-auth:add(http-server-mechanism-factory=global, security-domain=exampleFsSD, mechanism-configurations=[{mechanism-name=BASIC, mechanism-realm-configurations=[{realm-name=exampleApplicationDomain}]}])

key-store を作成します。

SSO に参加するさまざまなサーバー間でセキュアな通信チャネルを設定するには、key-store が必要です。このチャネルは、シングルサインオンセッションの作成時または破棄時 (ログイン時、またはログアウト時) に発生するイベントのメッセージ交換に使用します。

elytron サブシステムで key-store を作成するには、まず以下のように Java KeyStore を作成します。

keytool -genkeypair -alias localhost -keyalg RSA -keysize 1024 -validity 365 -keystore keystore.jks -dname "CN=localhost" -keypass secret -storepass secret

keystore.jks ファイルを作成したら、以下の管理 CLI コマンドを実行して Elytron に key-store 定義を作成します。

/subsystem=elytron/key-store=example-keystore:add(path=keystore.jks, relative-to=jboss.server.config.dir, credential-reference={clear-text=secret}, type=JKS)

セキュリティーレルムを追加します。

以下の管理 CLI コマンドを使用して FileSystem レルム (ローカルファイルシステムにユーザーを保存するアイデンティティーストア) を作成します。

/subsystem=elytron/filesystem-realm=example-realm:add(path=/tmp/example-realm)

以下の管理 CLI コマンドを使用して security-domain を作成します。

/subsystem=elytron/security-domain=example-domain:add(default-realm=example-realm,permission-mapper=default-permission-mapper,realms=[{realm=example-realm,role-decoder=groups-to-roles}]

undertow サブシステムでアプリケーションのセキュリティードメインを設定します。

/subsystem=undertow/application-security-domain=other:add(security-domain=example-domain)

undertow サブシステムがシングルサインオンを有効にし、キーストアを使用するように更新します。

シングルサインオンは、undertow サブシステムの特定の application-security-domain 定義に対して有効になります。アプリケーションのデプロイに使用するサーバーで、同じ設定を使用することが重要です。

シングルサインオンを有効にするには、以下のように undertow サブシステムで既存の application-security-domain を変更します。

/subsystem=undertow/application-security-domain=other/setting=single-sign-on:add(key-store=example-keystore, key-alias=localhost, domain=localhost, credential-reference={clear-text=secret})

SSO 属性とその定義に関する詳細は、シングルサインオン属性のリファレンス を参照してください。

アプリケーションの web.xml および jboss-web.xml ファイルを設定します。

アプリケーションの web.xml および jboss-web.xml は、JBoss EAP で設定した application-security-domain を使用するように更新する必要があります。このサンプルは、Configure Web Applications to use Elytron or Legacy Security for Authentication で確認できます。

アプリケーションの web.xml を設定します。

適切な認証方法を使用するように、アプリケーションの web.xml を設定する必要があります。elytron サブシステムを使用する場合には、作成した http-authentication-factory に定義されます。レガシー security サブシステムを使用する場合には、ログインモジュールと設定する認証のタイプにより設定内容は異なります。

<web-app>
  <security-constraint>
    <web-resource-collection>
      <web-resource-name>secure</web-resource-name>
      <url-pattern>/secure/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
      <role-name>Admin</role-name>
    </auth-constraint>
  </security-constraint>
  <security-role>
    <description>The role that is required to log in to /secure/*</description>
    <role-name>Admin</role-name>
  </security-role>
  <login-config>
    <auth-method>BASIC</auth-method>
    <realm-name>exampleApplicationDomain</realm-name>
  </login-config>
</web-app>

セキュリティードメインを使用するようにアプリケーションを設定します。

認証に使用するセキュリティードメインを指定するように、アプリケーションの jboss-web.xml を設定できます。elytron サブシステムを使用する場合には、これは application-security-domain の作成時に定義されます。レガシー security サブシステムを使用する場合には、これはレガシーセキュリティードメインの名前になります。

<jboss-web>
  <security-domain>exampleApplicationDomain</security-domain>
</jboss-web>

jboss-web.xml を使用すると、セキュリティードメインを設定できるアプリケーションは 1 つだけです。または、undertow サブシステムを使用して、全アプリケーションのデフォルトのセキュリティードメインを指定できます。このように指定すると、jboss-web.xml を使用して個別のアプリケーションのセキュリティードメインを設定せずに済みます。

/subsystem=undertow:write-attribute(name=default-security-domain, value="exampleApplicationDomain")

LDAP サーバーへアウトバウンド接続を作成します。

アウトバウンド LDAP 接続を作成する目的は、セキュリティーレルム (および JBoss EAP インスタンス) が LDAP サーバーへの接続を確立できるようにすることです。これは、セキュリティードメインの Database ログインモジュールと使用するデータソースを作成する場合と似ています。

LDAP 送信接続には、以下の属性を使用することができます。

以下の LDAP サーバーの例の場合に、以下のような管理 CLI コマンドを使用して、アウトバウンド LDAP 接続を設定します。

/core-service=management/ldap-connection=ldap-connection/:add(search-credential=myPass,url=ldap://127.0.0.1:389,search-dn="cn=search,dc=acme,dc=com")

reload

LDAP 対応のセキュリティーレルムを新たに作成します。

アウトバウンド LDAP 接続が作成されると、その接続を使用するために新しい LDAP 対応セキュリティーレルムを作成する必要があります。

LDAP セキュリティーレルムは次の設定属性を使用します。

以下は、ldap-connection アウトバウンド LDAP 接続を使用して LDAP が有効なセキュリティーレルムを設定する管理 CLI コマンドです。

/core-service=management/security-realm=ldap-security-realm:add

/core-service=management/security-realm=ldap-security-realm/authentication=ldap:add(connection="ldap-connection", base-dn="cn=users,dc=acme,dc=com",username-attribute="sambaAccountName")

reload

管理インターフェイスの新しいセキュリティーレルムを参照します。セキュリティーレルムが作成されており、アウトバウンド LDAP 接続を使用している場合には、管理インターフェイスで新しいセキュリティーレルムを参照する必要があります。

/core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value="ldap-security-realm")