在 JBoss EAP 中配置文件系统 域：

/subsystem=elytron/filesystem-realm=exampleFsRealm:add(path=fs-realm-users,relative-to=jboss.server.config.dir)

如果您的目录位于 jboss.server.config.dir 之外，则需要相应地更改 路径 和 相对值。

添加用户：

使用 filesystem-realm 时，您可以使用管理 CLI 添加用户。

/subsystem=elytron/filesystem-realm=exampleFsRealm:add-identity(identity=user1)
/subsystem=elytron/filesystem-realm=exampleFsRealm:set-password(identity=user1, clear={password="password123"})
/subsystem=elytron/filesystem-realm=exampleFsRealm:add-identity-attribute(identity=user1, name=Roles, value=["Admin","Guest"])

添加 simple-role-decoder ：

/subsystem=elytron/simple-role-decoder=from-roles-attribute:add(attribute=Roles)

此 simple-role-decoder 从 Roles 属性解码主体的角色。如果您的角色在不同的属性中，您可以更改此值。

配置 security-domain ：

/subsystem=elytron/security-domain=exampleFsSD:add(realms=[{realm=exampleFsRealm,role-decoder=from-roles-attribute}],default-realm=exampleFsRealm,permission-mapper=default-permission-mapper)

在 undertow 子系统中配置 application-security-domain ：

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleFsSD)

配置应用程序的 web.xml 和 jboss-web.xml ：

您的 web.xml 和 jboss-web.xml 必须更新为使用您在 JBoss EAP 中配置的 application-security-domain。例如，将 Web 应用程序配置为使用 Elytron 或传统安全性进行身份验证。

创建属性文件：

您必须创建两个属性文件：一个用于将用户映射到密码，另一个将用户映射到角色。通常，这些文件位于 jboss.server.config.dir 目录中，并遵循命名约定 *-users.properties 和 *-roles.properties，但也可以使用其他位置和名称。*-users.properties 文件还必须包含对 properties-realm 的引用，您要在下一步中创建： #$REALM_NAME=YOUR_PROPERTIES_REALM_NAME$

#$REALM_NAME=examplePropRealm$
user1=password123
user2=password123

user1=Admin
user2=Guest

在 JBoss EAP 中配置 properties-realm ：

/subsystem=elytron/properties-realm=examplePropRealm:add(groups-attribute=groups,groups-properties={path=example-roles.properties,relative-to=jboss.server.config.dir},users-properties={path=example-users.properties,relative-to=jboss.server.config.dir,plain-text=true})

properties-realm 的名称为 examplePropRealm，它用于 example-users.properties 文件中的上一步中。此外，如果您的属性文件位于 jboss.server.config.dir 之外，您必须相应地更改 路径 和 相对值。

配置 security-domain ：

/subsystem=elytron/security-domain=exampleSD:add(realms=[{realm=examplePropRealm,role-decoder=groups-to-roles}],default-realm=examplePropRealm,permission-mapper=default-permission-mapper)

在 undertow 子系统中配置 application-security-domain ：

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleSD)

配置应用程序的 web.xml 和 jboss-web.xml ：

您的 web.xml 和 jboss-web.xml 必须更新为使用您在 JBoss EAP 中配置的 application-security-domain。例如，将 Web 应用程序配置为使用 Elytron 或传统安全性进行身份验证。

确定用户名、密码和角色的数据库格式：

要使用身份存储的数据库来设置身份验证，您需要确定用户名、密码和角色如何存储在该数据库中。在本例中，我们使用带有以下示例数据的单个表：

配置数据源：

若要从 JBoss EAP 连接数据库，您必须已部署适当的数据库驱动程序，并且配置了数据源。本例演示了为 PostgreSQL 部署驱动程序并在 JBoss EAP 中配置数据源：

deploy /path/to/postgresql-9.4.1210.jar

data-source add --name=examplePostgresDS --jndi-name=java:jboss/examplePostgresDS --driver-name=postgresql-9.4.1210.jar  --connection-url=jdbc:postgresql://localhost:5432/postgresdb --user-name=postgresAdmin --password=mysecretpassword

在 JBoss EAP 中配置 a jdbc-realm:

/subsystem=elytron/jdbc-realm=exampleDbRealm:add(principal-query=[{sql="SELECT password,roles FROM eap_users WHERE username=?",data-source=examplePostgresDS,clear-password-mapper={password-index=1},attribute-mapping=[{index=2,to=groups}]}])

配置 security-domain ：

/subsystem=elytron/security-domain=exampleDbSD:add(realms=[{realm=exampleDbRealm,role-decoder=groups-to-roles}],default-realm=exampleDbRealm,permission-mapper=default-permission-mapper)

在 undertow 子系统中配置 application-security-domain ：

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleDbSD)

配置应用程序的 web.xml 和 jboss-web.xml ：

您的 web.xml 和 jboss-web.xml 必须更新为使用您在 JBoss EAP 中配置的 application-security-domain。例如，将 Web 应用程序配置为使用 Elytron 或传统安全性进行身份验证。

确定用户名、密码和角色的 LDAP 格式：

要使用 LDAP 服务器设置身份存储身份验证，您需要确定用户名、密码和角色的存储方式。在本例中，我们使用以下结构：

dn: dc=wildfly,dc=org
dc: wildfly
objectClass: top
objectClass: domain

dn: ou=Users,dc=wildfly,dc=org
objectClass: organizationalUnit
objectClass: top
ou: Users

dn: uid=jsmith,ou=Users,dc=wildfly,dc=org
objectClass: top
objectClass: person
objectClass: inetOrgPerson
cn: John Smith
sn: smith
uid: jsmith
userPassword: password123

dn: ou=Roles,dc=wildfly,dc=org
objectclass: top
objectclass: organizationalUnit
ou: Roles

dn: cn=Admin,ou=Roles,dc=wildfly,dc=org
objectClass: top
objectClass: groupOfNames
cn: Admin
member: uid=jsmith,ou=Users,dc=wildfly,dc=org

配置 a dir-context:

若要从 JBoss EAP 连接到 LDAP 服务器，您需要配置一个 dir-context，它提供 URL 以及用于连接服务器的主体。

/subsystem=elytron/dir-context=exampleDC:add(url="ldap://127.0.0.1:10389",principal="uid=admin,ou=system",credential-reference={clear-text="secret"})

在 JBoss EAP 中配置 ldap-realm:

/subsystem=elytron/ldap-realm=exampleLR:add(dir-context=exampleDC,identity-mapping={search-base-dn="ou=Users,dc=wildfly,dc=org",rdn-identifier="uid",user-password-mapper={from="userPassword"},attribute-mapping=[{filter-base-dn="ou=Roles,dc=wildfly,dc=org",filter="(&(objectClass=groupOfNames)(member={0}))",from="cn",to="Roles"}]})

添加 simple-role-decoder ：

/subsystem=elytron/simple-role-decoder=from-roles-attribute:add(attribute=Roles)

配置 security-domain ：

/subsystem=elytron/security-domain=exampleLdapSD:add(realms=[{realm=exampleLR,role-decoder=from-roles-attribute}],default-realm=exampleLR,permission-mapper=default-permission-mapper)

在 undertow 子系统中配置 application-security-domain ：

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleLdapSD)

配置应用程序的 web.xml 和 jboss-web.xml ：

您的 web.xml 和 jboss-web.xml 必须更新为使用您在 JBoss EAP 中配置的 application-security-domain。例如，将 Web 应用程序配置为使用 Elytron 或传统安全性进行身份验证。

配置 密钥存储域.

/subsystem=elytron/key-store-realm=ksRealm:add(key-store=twoWayTS)

您必须为这个域配置一个包含客户端证书的信任存储。身份验证过程使用客户端在双向 SSL 握手期间提供的相同证书。

创建解码器。

您需要创建一个 x500-attribute-principal-decoder 来解码您从证书中获得的主体。以下示例将根据第一个 CN 值对主体进行解码。

/subsystem=elytron/x500-attribute-principal-decoder=CNDecoder:add(oid="2.5.4.3",maximum-segments=1)

例如，如果完整 DN 为 CN=client,CN=client=certificate,DC=example,DC=jboss,DC=org，CNDecoder 会将该主体解码为 客户端。此解码主体用作 别名 值，用于在 ksRealm 中配置的信任存储中查找证书。

添加用于分配角色的 常量角色映射器。

例如，使用 constant -role-mapper 将角色分配给 ksRealm 中的主体，但也可以使用其他方法。

/subsystem=elytron/constant-role-mapper=constantClientCertRole:add(roles=[Admin,Guest])

配置 安全域.

/subsystem=elytron/security-domain=exampleCertSD:add(realms=[{realm=ksRealm}],default-realm=ksRealm,permission-mapper=default-permission-mapper,principal-decoder=CNDecoder,role-mapper=constantClientCertRole)

在 undertow 子系统中配置 application-security-domain。

/subsystem=undertow/application-security-domain=exampleApplicationDomain:add(security-domain=exampleCertSD)

更新 server-ssl-context.

/subsystem=elytron/server-ssl-context=twoWaySSC:write-attribute(name=security-domain,value=exampleCertSD)
/subsystem=elytron/server-ssl-context=twoWaySSC:write-attribute(name=authentication-optional, value=true)
reload

配置应用程序的 web.xml 和 jboss-web.xml。

您的 web.xml 和 jboss-web.xml 必须更新为使用您在 JBoss EAP 中配置的 application-security-domain。例如，将 Web 应用程序配置为使用 Elytron 或传统安全性进行身份验证。

此外，您需要更新 web.xml，以使用 CLIENT-CERT 作为其身份验证方法。

<login-config>
  <auth-method>CLIENT-CERT</auth-method>
  <realm-name>exampleApplicationDomain</realm-name>
</login-config>

创建现有的安全域。

您需要一个现有的安全域来 用于缓存域。例如，您可以创建一个 类似于使用基于文件系统 的身份存储配置身份验证中的步骤的文件系统 域。

/subsystem=elytron/filesystem-realm=exampleFsRealm:add(path=fs-realm-users, relative-to=jboss.server.config.dir)

/subsystem=elytron/filesystem-realm=exampleFsRealm:add-identity(identity=user1)

/subsystem=elytron/filesystem-realm=exampleFsRealm:set-password(identity=user1, clear={password="password123"})

/subsystem=elytron/filesystem-realm=exampleFsRealm:add-identity-attribute(identity=user1,name=Roles,value=["Admin","Guest"])

/subsystem=elytron/simple-role-decoder=from-roles-attribute:add(attribute=Roles)

创建 缓存域.

具有要缓存的现有域后，创建一个引用它的 缓存域。

/subsystem=elytron/caching-realm=exampleCacheRealm:add(realm=exampleFsRealm)

使用 缓存域.

创建 缓存域 后，您可以像任何其他安全域一样在安全配置中使用它。例如，您可以在相同位置使用 文件系统域，通过基于文件系统的 身份服务在配置身份验证时使用文件系统域。

/subsystem=elytron/security-domain=exampleFsSD:add(realms=[{realm=exampleCacheRealm, role-decoder=from-roles-attribute}], default-realm=exampleCacheRealm, permission-mapper=default-permission-mapper)

/subsystem=elytron/http-authentication-factory=example-fs-http-auth:add(http-server-mechanism-factory=global, security-domain=exampleFsSD, mechanism-configurations=[{mechanism-name=BASIC, mechanism-realm-configurations=[{realm-name=exampleApplicationDomain}]}])

创建 密钥存储。

需要 密钥存储 以在参与 SSO 的不同服务器之间配置安全通信通道。此通道用于交换创建或销毁单点登录会话时发生的事件的消息，分别登录和注销。

要在 elytron 子系统中创建 密钥 存储，请首先创建一个 Java KeyStore，如下所示：

keytool -genkeypair -alias localhost -keyalg RSA -keysize 1024 -validity 365 -keystore keystore.jks -dname "CN=localhost" -keypass secret -storepass secret

创建 密钥store.jks 文件后，执行以下管理 CLI 命令在 Elytron 中创建 密钥存储 定义：

/subsystem=elytron/key-store=example-keystore:add(path=keystore.jks, relative-to=jboss.server.config.dir, credential-reference={clear-text=secret}, type=JKS)

添加安全域。

使用以下管理 CLI 命令创建文件系统 域，这是用户在本地文件系统中存储的身份存储：

/subsystem=elytron/filesystem-realm=example-realm:add(path=/tmp/example-realm)

使用以下管理 CLI 命令创建 安全域 ：

/subsystem=elytron/security-domain=example-domain:add(default-realm=example-realm,permission-mapper=default-permission-mapper,realms=[{realm=example-realm,role-decoder=groups-to-roles}]

在 undertow 子系统中创建应用安全域。

/subsystem=undertow/application-security-domain=other:add(security-domain=example-domain)

更新 undertow 子系统，以启用单点登录并使用密钥存储：

单点登录启用到 undertow 子系统中的特定 application-security-domain 定义。您用于部署应用的服务器必须使用相同的配置。

要启用单点登录，只需更改 undertow 子系统中的现有 application-security-domain，如下所示：

/subsystem=undertow/application-security-domain=other/setting=single-sign-on:add(key-store=example-keystore, key-alias=localhost, domain=localhost, credential-reference={clear-text=secret})

如需有关 SSO 属性及其定义的更多信息，请参阅单点登录属性 的参考资料。

配置应用的 web.xml 和 jboss-web.xml 文件。

您的 web.xml 和 jboss-web.xml 必须更新为使用您在 JBoss EAP 中配置的 application-security-domain。例如，将 Web 应用程序配置为使用 Elytron 或传统安全性进行身份验证。

配置应用程序的 web.xml。

您的 web.xml 需要配置为使用适当的身份验证方法。使用 elytron 子系统时，这在您创建的 http-authentication-factory 中定义。在使用旧 安全 子系统时，这取决于您的登录模块以及您要配置的身份验证类型。

<web-app>
  <security-constraint>
    <web-resource-collection>
      <web-resource-name>secure</web-resource-name>
      <url-pattern>/secure/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
      <role-name>Admin</role-name>
    </auth-constraint>
  </security-constraint>
  <security-role>
    <description>The role that is required to log in to /secure/*</description>
    <role-name>Admin</role-name>
  </security-role>
  <login-config>
    <auth-method>BASIC</auth-method>
    <realm-name>exampleApplicationDomain</realm-name>
  </login-config>
</web-app>

将您的应用配置为使用安全域。

您可以配置应用程序的 jboss-web.xml，以指定您要用于身份验证的安全域。使用 elytron 子系统时，这在您创建 application-security-domain 时定义。在使用传统 安全 子系统时，这是传统安全域的名称。

<jboss-web>
  <security-domain>exampleApplicationDomain</security-domain>
</jboss-web>

使用 jboss-web.xml，您可以仅为单个应用配置安全域。或者，您也可使用 undertow 子系统为所有应用指定默认安全域：这样，您可以省略使用 jboss-web.xml 来配置各个应用的安全域。

/subsystem=undertow:write-attribute(name=default-security-domain, value="exampleApplicationDomain")

创建与 LDAP 服务器的出站连接。

创建出站 LDAP 连接的目的是允许安全域（和 JBoss EAP 实例）建立与 LDAP 服务器的连接。这类似于创建数据源以用于安全域中的 Database 登录模块。

LDAP 出站连接允许以下属性：

根据以下示例 LDAP 服务器，以下是用于配置出站 LDAP 连接的管理 CLI 命令：

/core-service=management/ldap-connection=ldap-connection/:add(search-credential=myPass,url=ldap://127.0.0.1:389,search-dn="cn=search,dc=acme,dc=com")

reload

创建一个新的启用 LDAP 的安全域。

创建出站 LDAP 连接后，必须创建一个新的支持 LDAP 的安全域才能使用它。

LDAP 安全域具有以下配置属性：

以下是用于使用 ldap-connection 出站 LDAP 连接配置支持 LDAP 的安全域的管理 CLI 命令。

/core-service=management/security-realm=ldap-security-realm:add

/core-service=management/security-realm=ldap-security-realm/authentication=ldap:add(connection="ldap-connection", base-dn="cn=users,dc=acme,dc=com",username-attribute="sambaAccountName")

reload

在管理界面中引用新的安全域。创建安全域并使用出站 LDAP 连接后，管理接口必须引用新的安全域。

/core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value="ldap-security-realm")