过程 5.1. 配置标识符提供者（IDP）

1. 为 IDP 配置 web 应用程序的安全性

   将 Web 应用程序配置为标识符提供者。

   注意

   我们推荐使用基于 FORM 的 web 应用程序安全性，因为它可让你定制登录页面。
   下面是一个 web.xml 配置的例子

   例 5.6. IDP 的 web.xml 配置

   <display-name>IDP</display-name>
   <description>IDP</description>
   <!-- Define a security constraint that gives unlimited access to images -->
   <security-constraint>
     <web-resource-collection>
     <web-resource-name>Images</web-resource-name>
     <url-pattern>/images/*</url-pattern>
   </web-resource-collection>
   </security-constraint>
   <!-- Define a Security Constraint on this Application -->
   <security-constraint>
     <web-resource-collection>
     <web-resource-name>IDP</web-resource-name>
     <url-pattern>/*</url-pattern>
   </web-resource-collection>
     <auth-constraint>
     <role-name>manager</role-name>
   </auth-constraint>
   </security-constraint>
   <!-- Define the Login Configuration for this Application -->
   <login-config>
     <auth-method>FORM</auth-method>
     <realm-name>IDP Application</realm-name>
     <form-login-config>
       <form-login-page>/jsp/login.jsp</form-login-page>
       <form-error-page>/jsp/loginerror.jsp</form-error-page>
     </form-login-config>
   </login-config>
   <!-- Security roles referenced by this web application -->
   <security-role>
    <description>
     The role that is required to log in to the IDP Application
    </description>
    <role-name>manager</role-name>
   </security-role>
   </web-app>
   
   

2. 配置 IDP Valve

   在 IDP Web 程序里的 WEB-INF 目录里创建一个 context.xml 文件来配置 IDP Valve。下面是一个 context.xml 文件的例子。

   例 5.7. IDP Valve 的 context.xml 文件配置

   <context>
     <Valve className="org.picketlink.identity.federation.bindings.tomcat.idp.IDPWebBrowserSSOValve"/>
   </context>
   
   

3. 配置 PicketLink 文件（picketlink.xml）

   配置 IDP Web 程序的 WEB-INF 目录里的 picketlink.xml。在这个配置文件里，你将为服务提供者和 IDP 提供转出 SAML2 评估里的 URL。下面是一个 picketlink.xml 文件的例子。

   例 5.8. picketlink-idfed.xml 配置

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
           <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1">
                   <IdentityURL>http://localhost:8080/idp/</IdentityURL>
           </PicketLinkIDP>
           <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
                   <Handler
                           class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
                   <Handler
                           class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
                   <Handler
                           class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
                   <Handler
                           class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
           </Handlers>
   </PicketLink>
   
   

过程 5.2. 配置服务提供者

1. 为 SP 配置 Web 应用程序的安全性

   要配置为 SP 的 Web 应用程序应该在 web.xml 文件里启用基于 FORM 的安全性。

   例 5.9. SP 的 web.xml 配置

   <display-name>IDP</display-name>
   <description>IDP</description>
   <!-- Define a security constraint that gives unlimited access to images -->
   <security-constraint>
     <web-resource-collection>
       <web-resource-name>Images</web-resource-name>
       <url-pattern>/images/*</url-pattern>
     </web-resource-collection>
   </security-constraint>
   <!-- Define a Security Constraint on this Application -->
   <security-constraint>
     <web-resource-collection>
       <web-resource-name>IDP</web-resource-name>
       <url-pattern>/*</url-pattern>
     </web-resource-collection>
     <auth-constraint>
       <role-name>manager</role-name>
     </auth-constraint>
   </security-constraint>
   <!-- Define the Login Configuration for this Application -->
   <login-config>
     <auth-method>FORM</auth-method>
     <realm-name>IDP Application</realm-name>
     <form-login-config>
       <form-login-page>/jsp/login.jsp</form-login-page>
       <form-error-page>/jsp/loginerror.jsp</form-error-page>
     </form-login-config>
   </login-config>
   <!-- Security roles referenced by this web application -->
   <security-role>
       <description>
      The role that is required to log in to the IDP Application
     </description>
     <role-name>manager</role-name>
   </security-role>
   </web-app>
   
   

2. 配置 SP Valve

   要配置 SP 的 Valve，请在 SP Web 应用程序里创建一个 context.xml 文件。

   例 5.10. IDP Valve 的 context.xml 文件配置

   <Context>
     <Valve className="org.jboss.identity.federation.bindings.tomcat.sp.SPRedirectSignatureFormAuthenticator" />
   </Context>
   
   

3. 配置 PicketLink Federation 的配置文件（picketlink-idfed.xml）

   配置 IDP Web 程序的 WEB-INF 目录里的 picketlink-idfed.xml。在这个配置文件里，你将为服务提供者和 IDP 提供转出 SAML2 评估里添加为发行者的 URL。下面是一个 picketlink-idfed.xml 文件的例子。

   例 5.11. picketlink-idfed.xml 配置

   <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:1.0" >
   <IdentityURL>http://localhost:8080/idp/</IdentityURL>
   </PicketLinkIDP
   
   

4. 配置 PicketLink Federation Handlers 文件(picketlink-handlers.xml)

   配置 SP web 应用程序的 WEB-INF 里的 picketlink-handlers.xml。WEB-INF of your SP web application.

   例 5.12. 配置 picketlink-handlers.xml

   <Handlers xmlns="urn:picketlink:identity-federation:handler:config:1.0">
   <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler"/>
   <Handler
   class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler"/>
   </Handlers>
   
   

   注意

   请保留处理程序列出的顺序。

过程 5.3. 用 HTTP/POST 绑定设置基于 SAML v2 的 Web SSO

1. 配置标识符提供者（IDP）。

   配置 HTTP/POST 绑定的 IDP 和 HTTP/Redirect 绑定相同。关于配置 IDP 的更多信息，请参考 第 5.6.2 节 “使用 HTTP/Redirect 绑定设置基于 SAML v2 的 Web SSO”。

2. 配置服务提供者（Service Provider，SP）

   注意

   配置 HTTP/POST 绑定的 IDP 和 HTTP/Redirect 绑定相同，除了 context.xml 文件里的一个变化。
   下面是一个 IDP Valve 的 context.xml 文件示例。

   例 5.13.  IDP Valve 的 context.xml 文件

   <Context>
     <Valve className="org.picketlink.identity.federation.bindings.tomcat.sp.SPPostFormAuthenticator"
   />
   </Context>
   
   

   关于配置 SP 的更多信息，请参考 第 5.6.4 节 “配置服务提供者”。

过程 5.5. 配置使用 SPNEGO 的桌面 SSO

1. 配置安全域

   配置安全域来代表服务器的标识符并为 Web 应用程序设置安全性。

   例 5.15. 安全域配置

   <security-domains>
   
       <security-domain name="host" cache-type="default">
   
         <authentication>
   
           <login-module code="Kerberos" flag="required">
   
             <module-option name="storeKey" value="true"/>
   
             <module-option name="useKeyTab" value="true"/>
   
             <module-option name="principal" value="host/testserver@MY_REALM"/>
   
             <module-option name="keyTab" value="/home/username/service.keytab"/>
   
             <module-option name="doNotPrompt" value="true"/>
   
             <module-option name="debug" value="false"/>
   
           </login-module>
   
          </authentication>
   
        </security-domain>
   
      
   
        <security-domain name="SPNEGO" cache-type="default">
   
          <authentication>
   
            <login-module code="SPNEGO"  flag="requisite">
   
              <module-option name="password-stacking" value="useFirstPass"/>
   
              <module-option name="serverSecurityDomain" value="host"/>
   
            </login-module>
   
   
            <!-- Login Module For Roles Search -->
   
          </security-domain>
   
   

2. 设置系统属性

   如果需要，系统殊性可以在域模型里进行设置。

   例 5.16. 配置系统属性

   <system-properties>
   
         <property name="java.security.krb5.kdc" value="mykdc.mydomain"/>
   
         <property name="java.security.krb5.realm" value="MY_REALM"/>
   
       </system-properties>
   
   

3. 配置 Web 应用程序

   覆盖这个验证器是不可能的，但你可以在 jboss-web.xml 里添加 NegotiationAuthenticator 来配置 web 应用程序。

   注意

   这个 Valve 要求在 web.xml 里定义 security-constraint 和 login-config，因为它们用于决定哪些资源被保护。然而，这个验证器会覆盖所选的 auth-method。

   例 5.17. 配置 Web 应用程序

    <!DOCTYPE jboss-web PUBLIC
     "-//JBoss//DTD Web Application 2.4//EN"
     "http://www.jboss.org/j2ee/dtd/jboss-web_4_0.dtd">   
   
     <jboss-web>
   
       <security-domain>java:/jaas/SPNEGO</security-domain>
   
       <valve>
   
         <class-name>org.jboss.security.negotiation.NegotiationAuthenticator</class-name>
   
       </valve>
   
     </jboss-web>
   
   

   这个 Web 应用程序也要求在 META-INF/MANIFEST.MF 定义依赖关系，以便定位 JBoss Negotiation 类。

   例 5.18. 在 META-INF/MANIFEST.MF 里定义依赖关系

       Manifest-Version: 1.0
   
       Build-Jdk: 1.6.0_24
   
       Dependencies: org.jboss.security.negotiation
   
   

过程 5.6. 为 Microsoft Windows Domain 配置 JBoss Negotiation

1. 清除现有的 Service Principal Mapping

   在 Microsoft Windows 网络里，某些映射是自动创建的。删除这些自动创建的映射以使得服务器的标识符可以正确映射到用于协商的服务主体。这些映射让客户端的 Web 浏览器信任服务器并尝试 SPNEGO。客户端将用域控制器检验映射是否是 HTTP{hostname} 格式。
   下面是删除现有映射的步骤：
   • 用这个命令来列出注册了域的映射：setspn -L {machine_name}。
   • 用下列命令来删除现有的映射：setspn -D HTTP/{hostname} {machine_name} and setspn -D host/{hostname} {machine_name}。
2. 创建一个主机用户帐号。

   注意

   确保主机用户名和 {machine_name} 不一样。
   在本节后面的内容里，主机用户名被称为 {user_name}。

3. 定义 {user_name} 和 {hostname} 之间的映射。

   • 运行下列命令来配置 Service Principal Mapping：ktpass -princ HTTP/{hostname}@{realm} -pass * -mapuser {domain}\{user_name}。
   • 提示时输入用户的密码。

     注意

     重置用户密码，这是导出 keytab 的一个前提条件。
   • 运行下列命令 setspn -L {user_name} 来检验这个映射。

4. 导出用户的 keytab 到安装了 JBoss EAP 的服务器上。

   运行下列命令来导出 keytab：ktab -k service.keytab -a HTTP/{hostname}@{realm}。

   注意

   这个命令导出 HTTP/{hostname} 主体的票据到在 JBoss 用来配置主机安全域的 keytab service.keytab。
5. 在安全域里定义主体：

   <module-option name="principal">HTTP/{hostname}@{realm}</module-option>
   
   

过程 5.7. 为安全域设置验证

1. 打开安全域的详细视图。

   点击管理控制台由上角的 Profiles 标签。在受管域里，从 Profile 视图左上角的 Profile 选择框里选择要修改的配置集。点击左侧的 Security 并点击展开菜单里的 Security Domains。点击你要编辑的安全域的 View 链接。

2. 进入验证子系统配置。

   如果还未选择的话，点击视图顶部的 Authentication 标签。
   配置区域分成两部分：Login Modules 和 Details。登录模块是配置的基本单元。安全域可以包含多个登录模块，每个都包括几个属性和选项。

3. 添加一个验证模块。

   点击 Add 按钮来添加一个 JAAS 验证模块。输入相关的内容。Code 是模块的类名。Flags 控制模块如何和相同安全域里的其他验证模块交互。
   对标签的解释

   Java EE 6 规格提供了安全域的标签的解释。下面的列表来自 http://docs.oracle.com/javase/6/docs/technotes/guides/security/jaas/JAASRefGuide.html#AppendixA。关于更消息的信息，请参考这个文档。

   标签	详情
   required	登录模块是验证成功所必需的。如果成功或失败，验证都仍会继续处理登录模块列表。
   requisite	登录模块是验证成功所必需的。如果成功，验证将继续处理登录模块列表。如果失败，控制权马上返回给应用程序（验证不会继续处理登录模块列表）。
   sufficient	登录模块不是验证成功所必需的。如果成功，控制权马上返回给应用程序（验证不会继续处理登录模块列表）。如果失败，验证将继续处理登录模块列表。
   optional	登录模块不是验证成功所必需的。如果成功或失败，验证都仍会继续处理登录模块列表。

   在你添加了模块时，你可以通过屏幕上的 Details 里的 Edit 按钮修改它的 Code 或Flags。请确保选择了 Attributes 标签页。

4. 可选的：添加或删除模块选项。

   如果你需要在模块里添加选项，请点击 Login Modules 列表里的条目，并在 Details 页面里选择 Module Options 标签页。点击 Add 按钮，并提供这个选项的键和值。你可以用 Remove 按钮来删除选项。

过程 5.8. 在安全域里设置授权

1. 打开安全域的详细视图。

   点击管理控制台由上角的 Profiles 标签。在受管域里，从 Profile 视图左上角的 Profile 选择框里选择要修改的配置集。点击左侧的 Security 并点击展开菜单里的 Security Domains。点击你要编辑的安全域的 View 链接。

2. 进入授权子系统配置。

   如果还未选择的话，点击视图顶部的 Authorization 标签。
   配置区域分成两部分：Policies 和 Details。登录模块是配置的基本单元。安全域可以包含几个授权策略，每个都包括几个属性和选项。

3. 添加策略

   点击 Add 按钮来添加一个 JAAS 授权策略模块。输入相关的内容。Code 是模块的类名。Flags 控制模块如何和相同安全域里的其他授权模块交互。
   对标签的解释

   Java EE 6 规格提供了安全域的标签的解释。下面的列表来自 http://docs.oracle.com/javase/6/docs/technotes/guides/security/jaas/JAASRefGuide.html#AppendixA。关于更消息的信息，请参考这个文档。

   标签	详情
   required	登录模块是授权成功所必需的。如果成功或失败，授权都仍会继续处理登录模块列表。
   requisite	登录模块是授权成功所必需的。如果成功，授权将继续处理登录模块列表。如果失败，控制权马上返回给应用程序（授权不会继续处理登录模块列表）。
   sufficient	登录模块不是授权成功所必需的。如果成功，控制权马上返回给应用程序（授权不会继续处理登录模块列表）。如果失败，授权将继续处理登录模块列表。
   optional	登录模块不是授权成功所必需的。如果成功或失败，授权都仍会继续处理登录模块列表。

   在你添加了模块时，你可以通过屏幕上的 Details 里的 Edit 按钮修改它的 Code 或Flags。请确保选择了 Attributes 标签页。

4. 可选的：添加、编辑或删除模块选项。

   如果你需要在模块里添加选项，点击 Login Modules 列表里的条目，并选择 Details 部分的 Module Options 标签页，并提供选项的键和值。要编辑一个已存在的选项，点击它的键来进行修改。你可以使用 Remove 按钮来删除选项。

过程 5.10. 在安全域里设置安全审计

1. 打开安全域的详细视图。

   点击管理控制台由上角的 Profiles 标签。在独立服务器里，标签页是 Profile。在受管域里，从 Profile 视图左上角的 Profile 选择框里选择要修改的配置集。点击左侧的 Security 并点击展开菜单里的 Security Domains。点击你要编辑的安全域的 View 链接。

2. 进入审计子系统配置。

   如果还未选择的话，点击视图顶部的 Audit 标签。
   配置区域分成两部分：Provider Modules 和 Details。提供者模块（Provider Module）是配置的基本单元。安全域可以包含多个提供者模块，每个都包括几个属性和选项。

3. 添加一个提供者模块。

   点击 Add 按钮来添加一个提供者模块。在 Code 里输入提供者模块的类名。
   在你添加了模块时，你可以通过屏幕上的 Details 里的 Edit 按钮修改它的 Code。请确保选择了 Attributes 标签页。

4. 检验你的模块是否可以运行

   审计模块的目的是提供一个在安全子系统里监控事件的途径。这种监控可以通过写入日志文件、电子邮件通知或其他可度量的审计机制来实现。
   例如，JBoss EAP 6 默认包含了 LogAuditProvider 模块。如果按照上面的步骤启用，这个审计模块会将安全通知写入 EAP_HOME 目录里的 log 子目录下的 audit.log 文件里。
   要检验上面的步骤是否可以在 LogAuditProvider 上下文里运行，你可以执行一个可能触发通知的动作并检查审计日志文件。
   关于安全审计提供者模块的完整列表，请参考 第 A.4 节 “包括的安全审计供应商模块”。

5. 可选的：添加、编辑或删除模块选项。

   如果你需要在模块里添加选项，点击 Modules 列表里的条目，并选择 Details 部分的 Module Options 标签页，并提供选项的键和值。要编辑一个已存在的选项，你可以使用 Remove 按钮来删除它，或者用正确的选项点击 Add 按钮再次添加它。

过程 5.11. 在安全域里设置安全映射

1. 打开安全域的详细视图。

   点击管理控制台由上角的 Profiles 标签。在独立服务器里，标签页是 Profile。在受管域里，从 Profile 视图左上角的 Profile 选择框里选择要修改的配置集。点击左侧的 Security 并点击展开菜单里的 Security Domains。点击你要编辑的安全域的 View 链接。

2. 进入映射子系统配置。

   如果还未选择的话，点击视图顶部的 Mapping 标签。
   配置区域分成两部分：Modules 和 Details。映射模块是配置的基本单元。安全域可以包含多个映射模块，每个都包括几个属性和选项。

3. 添加一个模块。

   点击 Add 按钮来添加一个安全映射模块。输入模块的相关内容。Code 是模块的类名。Type 字段表示这个模块执行的映射的类型。所允许的值有 principal、role、attribute 和 credential。
   在你添加了模块时，你可以通过屏幕上的 Details 里的 Edit 按钮修改它的 Code 或Type。请确保选择了 Attributes 标签页。

4. 可选的：添加、编辑或删除模块选项。

   如果你需要在模块里添加选项，点击 Modules 列表里的条目，并选择 Details 部分的 Module Options 标签页，并提供选项的键和值。要编辑一个已存在的选项，点击 Remove 标签键来删除它，并用新的值再次添加它。你可以使用 Remove 按钮来删除选项。

过程 8.3. 启用 SSL 的 FIPS 140-2 兼容加密

1. 创建数据库

   在 jboss 用户拥有的一个目录里创建 NSS 数据库。

   $ mkdir -p  /usr/share/jboss-as/nssdb
   $ chown jboss /usr/share/jboss-as/nssdb 
   $ modutil -create -dbdir /usr/share/jboss-as/nssdb
   

2. 创建 NSS 配置文件

   在 /usr/share/jboss-as 目录里创建一个名为 nss_pkcsll_fips.cfg 的文本文件，它具有下列内容：

   name = nss-fips
   nssLibraryDirectory=/usr/lib64
   nssSecmodDirectory=/usr/share/jboss-as/nssdb
   nssModule = fips
   

   NSS 配置文件必须指定：
   • 名称
   • NSS 库所在的目录，和
   • 步骤 1 里创建 NSS 数据库用到的目录。
   如果你使用的是红帽企业版 Linux 6 的 64 位版本，请设置 nssLibraryDirectory 为 /usr/lib 而不是 /usr/lib64。

3. 启用 SunPKCS11 供应商

   编辑你的 JRE 的java.security 配置文件（ $JAVA_HOME/jre/lib/security/java.security）并添加下列行：

   security.provider.1=sun.security.pkcs11.SunPKCS11  /usr/share/jboss-as/nss_pkcsll_fips.cfg
   

   请注意这一行里指定的配置文件就是我们在步骤 2 里创建的文件。
   这个文件里的任何其他 security.provider.X 行都必须将 X 递增以设置对应供应商的优先级。

4. 为 NSS 库启用 FIPS 模式

   运行 modutil 命令以启用 FIPS 模式：

   modutil -fips true -dbdir /usr/share/jboss-as/nssdb

   请注意这里指定的目录就是我们在步骤 1 里创建的目录。
   此时你可能遇到一个安全库错误，要求你为某些 NSS 共享对象重新生成库签名。

5. 修改 FIPS 令牌的密码

   用下列命令在 FIPS 令牌上设置密码。请注意，令牌的名称必须为 NSS FIPS 140-2 Certificate DB。

   modutil -changepw "NSS FIPS 140-2 Certificate DB" -dbdir /usr/share/jboss-as/nssdb

   用于 FIPS 令牌的密码必须是兼容 FIPS 的密码。

6. 使用 NSS 工具创建证书

   输入下列命令来用 NSS 工具创建证书。

   certutil -S -k rsa -n jbossweb  -t "u,u,u" -x -s "CN=localhost, OU=MYOU, O=MYORG, L=MYCITY, ST=MYSTATE, C=MY" -d /usr/share/jboss-as/nssdb

7. 配置 HTTPS 连接器使用 PKCS11 密钥库

   用 JBoss CLI 工具里的下列命令添加一个 HTTPS 连接器：

   /subsystem=web/connector=https/:add(socket-binding=https,scheme=https,protocol=HTTP/1.1,secure=true)
   

   然后用下列命令添加 SSL 配置，用兼容 FIPS 的密码（参考步骤 5）替换这里的 PASSWORD。

   /subsystem=web/connector=https/ssl=configuration:add(name=https,password=PASSWORD,keystore-type=PCKS11,
   cipher-suite="SSL_RSA_WITH_3DES_EDE_CBC_SHA,SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA,
   TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,
   TLS_DHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,
   TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_RSA_WITH_AES_256_CBC_SHA,
   TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA,
   TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA,
   TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,
   TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_RSA_WITH_AES_128_CBC_SHA,
   TLS_ECDH_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA,
   TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,
   TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA,TLS_ECDH_anon_WITH_AES_128_CBC_SHA,
   TLS_ECDH_anon_WITH_AES_256_CBC_SHA")
   

8. 检验

   运行下列命令检验 JVM 是否可以从 PKCS11 密钥库楼里读取私有密钥：

   keytool -list -storetype pkcs11
   

过程 10.5. 设置 Java 密钥库

1. 创建一个目录来存储你的密钥库和其他加密的信息。

   创建一个目录来存储你的密钥库和其他加密的信息。这个过程的剩余部分将假设这个目录是 /home/USER/vault/。

2. 确定 keytool 要使用的参数。

   确定下列参数：

   alias

   别名是 vault 或其他存储在密钥库里的数据的唯一标识符。这个过程结尾的命令示例里的别名是 vault。别名是区分大小写的。

   keyalg

   用于加密的算法。这个过程里的例子使用了 RSA。请查看你的 JRE 和操纵系统的文档，看那种选择是可用的。

   keysize

   加密密钥的大小影响了通过 brute force 解密的难度。这个过程里的例子使用了 2048。关于合适的值的信息，请参考 keytool 所附带的文档。

   keystore

   密钥库是一个保存加密信息以及如何解密的信息的数据库。如果你没有指定密钥库，默认的密钥库是你的主目录下的 .keystore。当第一次添加数据到密钥库时，它会被创建。这个过程里的例子使用了 vault.keystore 密钥库。

   keytool 命令有很多其他选项。更多的细节，请参考你的 JRE 或操纵系统的文档。

3. 确定 keystore 命令会询问的问题的答案。

   keystore 需要下列信息来填充密钥库条目：

   密钥库密码

   当你创建一个密钥库时，你必须设置密码。为了和将来的密钥库一起使用，你需要提供密码。请选择一个你可以记住的强密码。密钥库的安全性取决于密码以及它所在的文件系统和操纵系统的安全性。

   密钥密码（可选）

   除了密钥库密码，你可以为每个保存的密钥指定一个密码。每次使用这个密钥时都需要输入密码。通常这个功能不会被使用。

   名和姓

   这和列表里余下的信息可以有助于唯一标识密钥并将其放入一个其他密钥的层次结构里。它完全可以不是一个名字，但应该是两个单词，而且是唯一的。这个过程里的例子使用了 Accounting Administrator。按照目录的术语，它成为了证书的通用名称（common name）。

   机构内部门（Organizational unit）

   这是一个标识谁在使用证书的单词。它可以是应用程序或商业单元。这个过程里的例子使用了AccountingServices。通常，组或应用程序使用的所有密钥库都使用相同的机构内部门。

   机构

   这通常是一个代表你的机构名称的单词。它通常在机构使用的所有证书里都保持相同。这个例子使用了MyOrganization。

   城市或自治区

   你的城市

   州或省

   你的州或省，或者相等的地区

   国家

   两个字母的国家代码

   所有这些信息将创建一个密钥库和证书的层次结构，确保它们使用一致而唯一的命名结构。

4. 运行 keytool 命令，提供你收集的信息。

   例 10.10. keystore 命令的输入和输出的例子。

   $ keytool -genseckey -alias vault -storetype jceks -keyalg AES -keysize 128 -storepass vault22 -keypass vault22 -keystore /home/USER/vault/vault.keystore
   Enter keystore password: vault22 
   Re-enter new password:vault22 
   What is your first and last name?
     [Unknown]:  Accounting Administrator
   What is the name of your organizational unit?
     [Unknown]:  AccountingServices
   What is the name of your organization?
     [Unknown]:  MyOrganization
   What is the name of your City or Locality?
     [Unknown]:  Raleigh
   What is the name of your State or Province?
     [Unknown]:  NC
   What is the two-letter country code for this unit?
     [Unknown]:  US
   Is CN=Accounting Administrator, OU=AccountingServices, O=MyOrganization, L=Raleigh, ST=NC, C=US correct?
     [no]:  yes
   
   Enter key password for <vault>
           (RETURN if same as keystore password):
   

1. 运行 vault.sh 命令。

   运行 EAP_HOME/bin/vault.sh。输入 0 启动新的交互式会话。

2. 输入保存加密文件的目录。

   这个目录应该比较安全，但 JBoss EAP 6 需要能够访问它。如果你按照 第 10.11.2 节 “创建一个 Java 密钥库来存储敏感信息” 进行，你的密钥库应该位于主目录的 vault/ 里。这个例子使用了目录 /home/USER/vault/。

   注意

   不要忘记目录名后面的斜杠。根据操作系统来使用 / 或 \。

3. 输入密钥库的路径。

   输入密钥库文件的完整路径。这个例子使用了 /home/USER/vault/vault.keystore。

4. 加密密钥库的密码。

   下面的步骤加密了密钥库的密码，所以你可以在配置文件和应用程序里安全地使用它了。

   1. 输入密钥库的密码。

      遇到提示时，输入密钥库的密码。

   2. 输入一个 salt 值。

      输入 8 个字符的 salt 值。这个 salt 值和下面的迭代计数用于创建哈希值。

   3. 输入迭代计数。

      输入迭代计数的值。

   4. 记录密码掩码信息。

      密码掩码、salt 和迭代计数都输出在标准输出里。将其记录在一个安全的位置。攻击者可能用它们来破解密码。

   5. 输入 vault 的别名。

      遇到提示时，输入 vault 的别名。如果你按照 第 10.11.2 节 “创建一个 Java 密钥库来存储敏感信息” 来创建 vault，那么别名应该是 vault。

5. 退出交互式控制台。

   输入 2 来退出交互式控制台。

过程 10.6. 设置密码库

1. 确定这个命令的正确的值。

   确定下列参数的值，这个命令将用它们来创建密钥库。关于创建密钥库的信息，请参考下列主题：第 10.11.2 节 “创建一个 Java 密钥库来存储敏感信息” 和 第 10.11.3 节 “设置密钥库密码的掩码并初始化密码库”。

   参数	描述
   KEYSTORE_URL	密钥库文件的 URL 的文件系统路径，它通常类似于 vault.keystore。
   KEYSTORE_PASSWORD	用来访问密钥库的密码。这个值应该被标记。
   KEYSTORE_ALIAS	密钥库的名称。
   SALT	用来加密和解密密钥库值的 Salt。
   ITERATION_COUNT	运行加密算法的次数。
   ENC_FILE_DIR	密钥库命令运行的目录路径。通常是包含密码库的目录。
   host (managed domain only)	你在配置的主机的名称

2. 使用管理 CLI 来启用密码库。

   根据使用的是受管域还是独立服务器配置，分别运行下列命令。用这个步骤里第一步里的值替换命令里的值。

   注意

   如果你使用的是 Microsoft Windows 服务器，请用 4 个 \ 字符替换文件或目录里的每个 / 字符。这是因为它需要两个 \ 来作为脱字符。对于其他 / 字符则不需要这么做。

   • 受管域

     /host=YOUR_HOST/core-service=vault:add(vault-options=[("KEYSTORE_URL" => "PATH_TO_KEYSTORE"), ("KEYSTORE_PASSWORD" => "MASKED_PASSWORD"), ("KEYSTORE_ALIAS" => "ALIAS"), ("SALT" => "SALT"),("ITERATION_COUNT" => "ITERATION_COUNT"), ("ENC_FILE_DIR" => "ENC_FILE_DIR")])
     

   • 独立服务器

     /core-service=vault:add(vault-options=[("KEYSTORE_URL" => "PATH_TO_KEYSTORE"), ("KEYSTORE_PASSWORD" => "MASKED_PASSWORD"), ("KEYSTORE_ALIAS" => "ALIAS"), ("SALT" => "SALT"),("ITERATION_COUNT" => "ITERATION_COUNT"), ("ENC_FILE_DIR" => "ENC_FILE_DIR")])
     

   下面是带有假定值的命令示例：

   /core-service=vault:add(vault-options=[("KEYSTORE_URL" => "/home/user/vault/vault.keystore"), ("KEYSTORE_PASSWORD" => "MASK-3y28rCZlcKR"), ("KEYSTORE_ALIAS" => "vault"), ("SALT" => "12438567"),("ITERATION_COUNT" => "50"), ("ENC_FILE_DIR" => "/home/user/vault/")])
   

过程 10.7. 设置 Java 密钥库

1. 运行 vault.sh 命令。

   运行 EAP_HOME/bin/vault.sh。输入 0 启动新的交互式会话。

2. 输入保存加密文件的目录。

   如果你遵循 第 10.11.2 节 “创建一个 Java 密钥库来存储敏感信息”，你的密钥库将位于主目录里的 vault/ 下。在多数情况下，将所有加密信息保存在相同的位置是有意义的。这个例子使用了 /home/USER/vault/。

   注意

   不要忘记目录名后面的斜杠。根据操作系统来使用 / 或 \。

3. 输入密钥库的路径。

   输入密钥库文件的完整路径。这个例子使用了 /home/USER/vault/vault.keystore。

4. 输入密钥库密码、Vault 名、Sale 和迭代计数。

   遇到提示时，输入密钥库密码、Vault 名、Sale 和迭代计数。然后将执行握手操作。

5. 选择保存密码的选项。

   选择选项 0 来保存密码或其他敏感字符串。

6. 输入这个值。

   遇提示时，将这个值输入两次。如果两次的值不匹配，会提示你再次输入。

7. 输入 Vault Block。

   输入 Vault Block，

8. 输入属性名称。

   输入你在保存的属性的名称。一个例子就是 password。
   结果

   类似于下面的信息表示这个属性已经被保存了。

   Attribute Value for (ds_ExampleDS, password) saved

9. 记录关于加密字符串的信息。

   标准输出的信息将显示 vault block、属性名称、共享密钥和在配置里使用字符串的建议。请在安全的地方记录这些信息。下面是输出示例。

   ********************************************
   Vault Block:ds_ExampleDS
   Attribute Name:password
   Configuration should be done as follows:
   VAULT::ds_ExampleDS::password::1
   ********************************************
   

10. 在你的配置里使用加密的字符串。

    在你的配置里使用前面步骤里的字符串来替代普通文本字符串。下面是使用加密密码的数据源。

    ...
      <subsystem xmlns="urn:jboss:domain:datasources:1.0">
        <datasources>
          <datasource jndi-name="java:jboss/datasources/ExampleDS" enabled="true" use-java-context="true" pool-name="H2DS">
            <connection-url>jdbc:h2:mem:test;DB_CLOSE_DELAY=-1</connection-url>
            <driver>h2</driver>
            <pool></pool>
            <security>
              <user-name>sa</user-name>
              <password>${VAULT::ds_ExampleDS::password::1}</password>
            </security>
          </datasource>
          <drivers>
             <driver name="h2" module="com.h2database.h2">
                <xa-datasource-class>org.h2.jdbcx.JdbcDataSource</xa-datasource-class>
             </driver>
          </drivers>
        </datasources>
      </subsystem>
    ...
    
    

    你可以在允许表达式的任何域或独立配置文件里使用加密字符串。

    注意

    要检查某个子系统里是否允许表达式，请在这个子系统里运行下列 CLI 命令：

    /host=master/core-service=management/security-realm=TestRealm:read-resource-description(recursive=true)

    在这个命令的输出里，查找 expressions-allowed 参数的值。如果它为 true，你可以在这个特定子系统的配置里使用表达式。
    在密钥库里保存了字符串后，请使用下列语法用加密字符串替代任何明文字符串。

    ${VAULT::<replaceable>VAULT_BLOCK</replaceable>::<replaceable>ATTRIBUTE_NAME</replaceable>::<replaceable>ENCRYPTED_VALUE</replaceable>}
    

    下面是一个例子，其 Vault Block 是 ds_ExampleDS，而属性是 password。

    <password>${VAULT::ds_ExampleDS::password::1}</password>
    

1. 添加一个名为 ldap_security_realm 的新的 <security-realm>，并配置它使用 JAAS。

   下列管理 CLI 命令添加了新的安全区并设置了它的验证机制。请按需要修改主机的名称。

   /host=master/core-service=management/security-realm=ldap_security_realm/:add

   /host=master/core-service=management/security-realm=ldap_security_realm/authentication=jaas/:add(name=managementLDAPDomain)

2. 配置 <http-interface> 以使用这个新的安全区。

   下列管理 CLI 命令配置了 HTTP 接口。

   /host=master/core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=ldap_security_realm)

3. 配置 JBoss EAP，在其启动参数里添加自定义的 JAAS 配置。

   编辑 EAP_HOME/bin/domain.conf 文件。搜索 HOST_CONTROLLER_JAVA_OPTS 变量。这是你添加 JBoss EAP 启动前所需的 JVM 指令的地方。下面是这个参数的默认内容的示例：

   HOST_CONTROLLER_JAVA_OPTS="$JAVA_OPTS"
   

   添加下列指令：-Djava.security.auth.login.config=/opt/jboss-eap-6.0/domain/configuration/jaas.conf"
   被编辑的行类似于：

   -Djava.security.auth.login.config=/opt/jboss-eap-6.0/domain/configuration/jaas.conf"
   

4. 在模块选项里添加登陆模块。

   在相同的文件里，找到包含下列内容的行：

   JBOSS_MODULES_SYSTEM_PKGS="org.jboss.byteman"

   修改它为下面的样子请确保不要插入任何多余的空格。

   JBOSS_MODULES_SYSTEM_PKGS="org.jboss.byteman,com.sun.security.auth.login"

   保存并关闭 domain.conf 文件。

5. 创建将添加至 classpath 的 JAAS 配置。

   在下列位置创建一个新的文件：EAP_HOME/domain/configuration/jaas.conf
   这个文件应该包含下列内容。请按照自己的环境编辑相关的参数。

   managementLDAPDomain {
       org.jboss.security.auth.spi.LdapExtLoginModule required
           java.naming.factory.initial="com.sun.jndi.ldap.LdapCtxFactory"
           java.naming.provider.url="ldap://your_active_directory_host:389"
           java.naming.security.authentication="simple"
           bindDN="cn=Administrator,cn=users,dc=domain,dc=your_company,dc=com"
           bindCredential="password"
           baseCtxDN="cn=users,dc=domain,dc=redhat,dc=com"
           baseFilter="(&(sAMAccountName={0})(|(memberOf=cn=Domain Guests,cn=Users,dc=domain,dc=acme,dc=com)(memberOf=cn=Domain Admins,cn=Users,dc=domain,dc=acme,dc=com)))"
           allowEmptyPasswords="false"
           rolesCtxDN="cn=users,dc=domain,dc=acme,dc=com"
           roleFilter="(cn=no such group)"
           searchScope="SUBTREE_SCOPE";
   };
   

6. 重启 JBoss EAP，你的 HTTP 接口应该使用 LDAP 服务器来验证了。

过程 11.1. 启用 RBAC

• 要用 jboss-cli.sh 启用 RBAC，请使用访问授权资源的 write-attribute 操作来设置提供者的属性为 rbac。

  /core-service=management/access=authorization:write-attribute(name=provider, value=rbac)

  [standalone@localhost:9999 /] /core-service=management/access=authorization:write-attribute(name=provider, value=rbac)
  {
      "outcome" => "success",
      "response-headers" => {
          "operation-requires-reload" => true,
          "process-state" => "reload-required"
      }
  }
  [standalone@localhost:9999 /] /:reload
  {
      "outcome" => "success",
      "result" => undefined
  }
  [standalone@localhost:9999 /]
  

过程 11.2. 禁用 RBAC

• 要用 jboss-cli.sh 禁用 RBAC，请使用访问授权资源的 write-attribute 操作来设置提供者的属性为 simple。

  /core-service=management/access=authorization:write-attribute(name=provider, value=simple)

  [standalone@localhost:9999 /] /core-service=management/access=authorization:write-attribute(name=provider, value=simple)
  {
      "outcome" => "success",
      "response-headers" => {
          "operation-requires-reload" => true,
          "process-state" => "reload-required"
      }
  }
  [standalone@localhost:9999 /] /:reload
  {
      "outcome" => "success",
      "result" => undefined
  }
  [standalone@localhost:9999 /]
  

过程 11.3. 设置权限组合策略

• 使用访问授权资源的 write-attribute 操作来设置 permission-combination-policy 为所需的策略名称。

  /core-service=management/access=authorization:write-attribute(name=permission-combination-policy, value=POLICYNAME)

  有效的策略名称是 rejecting 和 permissive。

  [standalone@localhost:9999 /] /core-service=management/access=authorization:write-attribute(name=permission-combination-policy, value=rejecting)
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization] 
  
  

过程 11.4. 为用户创建新的角色分配

1. 登陆到管理控制台。
2. 进入『Role Assignment』的『Users』标签页。
3. 点击用户列表右上角的『Add』按钮。『Add User』对话框会出现。
   

   图 11.2. 『Add User』对话框

4. 指定用户名，可选择输入区名。
5. 选择是包含（include）还是排除（exclude）。
6. 点击角色旁的复选框。你可以使用 Ctl 键（OSX 上的 Command 键）来选择多个选项。
7. 点击『Save』按钮。
   保存成功后，『Add User』对话框将会关闭，用户列表将会更新以反映所作的修改。如果不成功则会显示 "Failed to save role assignment" 消息。

过程 11.5. 更新用户的角色分配

1. 登陆到管理控制台。
2. 进入『Role Assignment』的『Users』标签页。
3. 从列表里选择用户。
4. 点击『Edit』。『Selection』面板将进入编辑模式。
   

   图 11.3. 『Selection』面板的编辑视图

   在这里你可以添加和删除所分配或排除的角色。

   1. 要添加被分配的角色，从左侧的『Available roles』列表里进行选择并点击『Assigned roles』列表旁的右箭头。角色将从可用列表移至『Assigned roles』列表。

   2. 要删除被分配的角色，从右侧的『Assigned roles』列表里选择要删除的角色，并点击旁边的左箭头。角色将从『Assigned roles』列表移至『Available roles』列表。

   3. 要添加被排除的角色，从左侧的『Available roles』列表里进行选择并点击『Excluded roles』列表旁的右箭头。角色将从可用列表移至『Excluded roles』列表。

   4. 要删除被排除的角色，从右侧的『Excluded roles』列表里选择要删除的角色，并点击旁边的左箭头。角色将从『Excluded roles』列表移至『Available roles』列表。
5. 点击『Save』按钮。
   成功后，编辑视图将会关闭，用户列表将会更新以反映所作的修改。如果不成功则会显示 "Failed to save role assignment" 消息。

过程 11.6. 删除用户的角色分配

1. 登陆到管理控制台。
2. 进入『Role Assignment』的『Users』标签页。
3. 从列表里选择用户。
4. 点『Remove』按钮。『Remove Role Assignment』确认框将出现。
5. 点击『Confirm』按钮。
   成功后，用户将不会再出现在用户角色分配的列表里。

过程 11.7. 查看角色分配配置

1. 使用 :read-children-names 操作来获取配置角色的完整列表：

   /core-service=management/access=authorization:read-children-names(child-type=role-mapping)

   [standalone@localhost:9999 access=authorization] :read-children-names(child-type=role-mapping)
   {
       "outcome" => "success",
       "result" => [
           "ADMINISTRATOR",
           "DEPLOYER",
           "MAINTAINER",
           "MONITOR",
           "OPERATOR",
           "SuperUser"
       ]
   }
   

2. 使用指定 role-mapping 的 read-resource 操作来获取某个角色的完整细节：

   /core-service=management/access=authorization/role-mapping=ROLENAME:read-resource(recursive=true)

   [standalone@localhost:9999 access=authorization] ./role-mapping=ADMINISTRATOR:read-resource(recursive=true)
   {
       "outcome" => "success",
       "result" => {
           "include-all" => false,
           "exclude" => undefined,
           "include" => {
               "user-theboss" => {
                   "name" => "theboss",
                   "realm" => undefined,
                   "type" => "USER"
               },
               "user-harold" => {
                   "name" => "harold",
                   "realm" => undefined,
                   "type" => "USER"
               },
               "group-SysOps" => {
                   "name" => "SysOps",
                   "realm" => undefined,
                   "type" => "GROUP"
               }
           }
       }
   }
   [standalone@localhost:9999 access=authorization]
   

过程 11.8. 添加新的角色

• 使用 add 操作来添加新的角色配置。

  /core-service=management/access=authorization/role-mapping=ROLENAME:add

  ROLENAME 是新映射使用的角色的名称。

  [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR:add             
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

过程 11.9. 添加包含在角色里的用户

• 请使用 add 操作来添加用户到角色的包含列表里。

  /core-service=management/access=authorization/role-mapping=ROLENAME/include=ALIAS:add(name=USERNAME, type=USER)

  ROLENAME 是被配置的角色的名称。
  ALIAS 是这个映射的唯一名称。红帽推荐你对别名使用命名规则，如 user-USERNAME。
  USERNAME 是添加到包含列表里的用户的名称。

   [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR/include=user-max:add(name=max, type=USER)
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

过程 11.10. 添加角色所排除的用户

• 请使用 add 操作来添加用户到角色的排除列表里。

  /core-service=management/access=authorization/role-mapping=ROLENAME/exclude=ALIAS:add(name=USERNAME, type=USER)

  ROLENAME 是被配置的角色的名称。
  USERNAME 是添加到排除列表里的用户的名称。
  ALIAS 是这个映射的唯一名称。红帽推荐你对别名使用命名规则，如 user-USERNAME。

  [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR/exclude=user-max:add(name=max, type=USER)
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

过程 11.11. 删除用户的角色包含配置

• 请使用 remove 操作来删除这个条目。

  /core-service=management/access=authorization/role-mapping=ROLENAME/include=ALIAS:remove

  ROLENAME 是被配置的角色的名称。
  ALIAS 是这个映射的唯一名称。红帽推荐你对别名使用命名规则，如 user-USERNAME。

  [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR/include=user-max:remove
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

  从包含列表里删除用户并不会从系统删除这个用户，也不能保证角色不会被分配给这个用户。这个角色仍可能根据组成员资格分配给它。

过程 11.12. 删除用户的角色排除配置

• 请使用 remove 操作来删除这个条目。

  /core-service=management/access=authorization/role-mapping=ROLENAME/exclude=ALIAS:remove

  ROLENAME 是被配置的角色的名称。
  ALIAS 是这个映射的唯一名称。红帽推荐你对别名使用命名规则，如 user-USERNAME。

  [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR/exclude=user-max:remove
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

  从排除列表里删除用户并不会从系统删除这个用户，也不能保证角色被分配给这个用户。这个角色仍可能根据组成员资格被排除。

过程 11.13. 为组创建新的角色分配

1. 登陆到管理控制台
2. 进入『Role Assignment』的『GROUPS』标签页。
3. 点击用户列表右上角的『Add』按钮。『Add Group』对话框会出现。
   

   图 11.5. 『Add Group』对话框

4. 指定组名，可选择输入区名。
5. 选择是包含（include）还是排除（exclude）。
6. 点击角色旁的复选框。你可以使用 Ctl 键（OSX 上的 Command 键）来选择多个选项。
7. 点击『Save』按钮。
   保存成功后，『Add Group』对话框将会关闭，组列表将会更新以反映所作的修改。如果不成功则会显示 "Failed to save role assignment" 消息。

过程 11.14. 更新组的角色分配

1. 登陆到管理控制台。
2. 进入『Role Assignment』的『GROUPS』标签页。
3. 从列表里选择组。
4. 点击『Edit』。『Selection』面板将进入编辑模式。
   

   图 11.6. 『Selection』视图编辑模式

   在这里你可以添加和删除组里分配或排除的角色：
   • 要添加被分配的角色，从左侧的『Available roles』列表里进行选择并点击『Assigned roles』列表旁的右箭头。角色将从可用列表移至『Assigned roles』列表。
   • 要删除被分配的角色，从右侧的『Assigned roles』列表里选择要删除的角色，并点击旁边的左箭头。角色将从『Assigned roles』列表移至『Available roles』列表。
   • 要添加被排除的角色，从左侧的『Available roles』列表里进行选择并点击『Excluded roles』列表旁的右箭头。角色将从可用列表移至『Excluded roles』列表。
   • 要删除被排除的角色，从右侧的『Excluded roles』列表里选择要删除的角色，并点击旁边的左箭头。角色将从『Excluded roles』列表移至『Available roles』列表。
5. 点击『Save』按钮。
   成功后，编辑视图将会关闭，组列表将会更新以反映所作的修改。如果不成功则会显示 "Failed to save role assignment" 消息。

过程 11.15. 删除组的角色分配

1. 登陆到管理控制台。
2. 进入『Role Assignment』的『GROUPS』标签页。
3. 从列表里选择组。
4. 点『Remove』按钮。『Remove Role Assignment』确认框将出现。
5. 点击『Confirm』按钮。
   成功后，组将不会再出现在用户角色分配的列表里。
   从角色分配列表里删除组并不会从系统删除这个用户组，也不能保证没有角色被分配给这个组。每个组成员仍可能被直接分配角色。

过程 11.16. 查看组角色分配配置

1. 使用 read-children-names 操作来获取配置角色的完整列表：

   /core-service=management/access=authorization:read-children-names(child-type=role-mapping)

   [standalone@localhost:9999 access=authorization] :read-children-names(child-type=role-mapping)
   {
       "outcome" => "success",
       "result" => [
           "ADMINISTRATOR",
           "DEPLOYER",
           "MAINTAINER",
           "MONITOR",
           "OPERATOR",
           "SuperUser"
       ]
   }
   

2. 使用指定 role-mapping 的 read-resource 操作来获取某个角色的完整细节：

   /core-service=management/access=authorization/role-mapping=ROLENAME:read-resource(recursive=true)

   [standalone@localhost:9999 access=authorization] ./role-mapping=ADMINISTRATOR:read-resource(recursive=true)
   {
       "outcome" => "success",
       "result" => {
           "include-all" => false,
           "exclude" => undefined,
           "include" => {
               "user-theboss" => {
                   "name" => "theboss",
                   "realm" => undefined,
                   "type" => "USER"
               },
               "user-harold" => {
                   "name" => "harold",
                   "realm" => undefined,
                   "type" => "USER"
               },
               "group-SysOps" => {
                   "name" => "SysOps",
                   "realm" => undefined,
                   "type" => "GROUP"
               }
           }
       }
   }
   [standalone@localhost:9999 access=authorization]
   

过程 11.17. 添加新的角色

• 使用 add 操作来添加新的角色配置。

  /core-service=management/access=authorization/role-mapping=ROLENAME:add

  [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR:add             
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

过程 11.18. 添加包含在角色里的组

• 请使用 add 操作来添加组到角色的包含列表里。

  /core-service=management/access=authorization/role-mapping=ROLENAME/include=ALIAS:add(name=GROUPNAME, type=GROUP)

  ROLENAME 是被配置的角色的名称。
  GROUPNAME 是添加到包含列表里的组的名称。
  ALIAS 是这个映射的唯一名称。红帽推荐你对别名使用命名规则，如 group-GROUPNAME。

  [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR/include=group-investigators:add(name=investigators, type=GROUP)
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

过程 11.19. 添加角色所排除的组

• 请使用 add 操作来添加组到角色的排除列表里。

  /core-service=management/access=authorization/role-mapping=ROLENAME/exclude=ALIAS:add(name=GROUPNAME, type=GROUP)

  ROLENAME 是被配置的角色的名称。
  GROUPNAME 是添加到包含列表里的组的名称。
  ALIAS 是这个映射的唯一名称。红帽推荐你对别名使用命名规则，如 group-GROUPNAME。

  [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR/exclude=group-supervisors:add(name=supervisors, type=USER)
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

过程 11.20. 删除组的角色包含配置

• 请使用 remove 操作来删除这个条目。

  /core-service=management/access=authorization/role-mapping=ROLENAME/include=ALIAS:remove

  ROLENAME 是被配置的角色的名称。
  ALIAS 是这个映射的唯一名称。红帽推荐你对别名使用命名规则，如 group-GROUPNAME。

  [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR/include=group-investigators:remove
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

  从包含列表里删除组并不会从系统删除这个组，也不能保证角色不会被分配给这个组。这个角色仍可能分配给组里的用户。

过程 11.21. 删除组的角色排除配置

• 请使用 remove 操作来删除这个条目。

  /core-service=management/access=authorization/role-mapping=ROLENAME/exclude=ALIAS:remove

  ROLENAME 是被配置的角色的名称。
  ALIAS 是这个映射的唯一名称。红帽推荐你对别名使用命名规则，如 group-GROUPNAME。

  [standalone@localhost:9999 access=authorization] ./role-mapping=AUDITOR/exclude=group-supervisors:remove
  {"outcome" => "success"}
  [standalone@localhost:9999 access=authorization]
  

  从排除列表里删除组并不会从系统删除这个组，也不能保证角色被分配给这个组。这个角色仍可能根据组成员资格被排除。

过程 11.22. 添加新的带作用域的角色

1. 登录到管理控制台
2. 导航至 Roles 标签页的 Scoped Roles 区域。
3. 点击 Add 按钮。Add Scoped Role 对话框将会出现。
   

   图 11.8. Add Scoped Role 对话框

4. 指定下列细节：

   • Name，新的带作用域的角色的唯一名称。

   • Base Role，这个角色的权限所基于的角色。

   • Type，这个角色是否将被限于主机或服务器组。

   • Scope，这个角色所限于的主机或服务器组列表。可以选择多重条目。

   • Include All，这个角色是否自动包含所有的用户。默认为 no。
5. 点击 Save 按钮，对话框将关闭且新创建的角色将出现在表里。

过程 11.23. 编辑带作用域的角色

1. 登录到管理控制台
2. 导航至 Roles 标签页的 Scoped Roles 区域。
3. 点击你要编辑的带作用域的角色。这个角色的细节将出现在表下面的 Selection 面板上。
   

   图 11.9. 选择的角色

4. 点击 Selection 面板上的 Edit 链接。Selection 面板将进入编辑模式。
   

   图 11.10. 处于编辑模式的 Selection 面板

5. 更新你要修改的细节并点击 Save 按钮。Selection 面板将回到之前的状态。Selection 面板和表都会显示最近更新的细节。

过程 11.24. 查看 Scoped Role 成员

1. 登录到管理控制台
2. 导航至 Roles 标签页的 Scoped Roles 区域。
3. 点击表里你要查看成员的带作用域的角色，然后点击 Members 按钮。Members of role 对话框将出现。它将显示这个角色包含或排斥的用户和组。
   

   图 11.11. Role Membership 对话框

4. 当你已经完成查看这些信息后请点击 Done 按钮。

过程 11.25. 删除带作用域的角色

1. 登录到管理控制台
2. 导航至 Roles 标签页的 Scoped Roles 区域。
3. 选择表里要删除的带作用域的角色。
4. 点击 Remove 按钮。Remove Scoped Role 对话框将出现。
5. 点击 Confirm 按钮。对话框将关闭且角色会被删除。