JConsoleを使用したローカルのモニタリングは、開発とプロトタイプの作成に役立ちます。JConsoleのローカルな使用は、本番環境ではお薦めしません。JConsole自体が相当のシステム・リソースを消費するためです。JConsoleはリモート・システムで使用し、モニター対象のプラットフォームから分離した方がよいでしょう。

それでもローカルのモニタリングにJConsoleを使用する場合は、コマンド・シェルにjconsoleと入力してツールを起動します。引数なしでjconsoleを起動すると、ローカルのJavaアプリケーションがすべて自動検出され、モニター対象とするアプリケーションを選択できるダイアログ・ボックスが表示されます。JConsoleとアプリケーションはどちらも、同じユーザーが実行する必要があります。モニタリングおよび管理システムには、オペレーティング・システムのファイル・アクセス権を使用するためです。

このセクションでは、要件に応じて実装可能な異なるパスワード認証方式について説明します。

リモート・モニタリングのパスワード認証は、デフォルトで有効になっています。パスワード認証を無効にするには、Java VMの起動時に次のシステム・プロパティを設定します。

com.sun.management.jmxremote.authenticate=false

パスワード認証を無効にする場合、「セキュリティの無効化」で説明しているようにSSLを無効にすることもできます。SSLクライアント認証の有効化で説明しているように、パスワードを無効にしてSSLクライアント認証を使用することもできます。

リモート・モニタリングおよび管理を有効にすると、SSLはデフォルトで有効になっています。SSLを使用するには、JMXエージェント(MBeanサーバー)が稼動するシステム上でデジタル証明書を設定して、次にSSLを正しく構成する必要があります。コマンド行ユーティリティkeytoolを使用して、証明書を操作します。

SSLを設定する一般的な手順は次のとおりです。

1. キー・ペアと証明書がサーバーに設定されていない場合は、次のタスクを実行します。

   • keytool -genkeyコマンドでキー・ペアを生成します。

   • keytool -certreqコマンドで認証局(CA)に署名付き証明書を要求します。

   • keytool -importコマンドで、証明書をキーストアにインポートします。keytoolのドキュメントで証明書のインポートを参照してください。

2. サーバー・システム上でSSLを構成します。このドキュメントでは、SSLの構成とカスタマイズについて詳細には説明しませんが、通常は次のリストに記載されているシステム・プロパティを設定する必要があります。

   javax.net.ssl.keyStore	キーストアの場所
   javax.net.ssl.keyStoreType	デフォルトのキーストア・タイプ
   javax.net.ssl.keyStorePassword	デフォルトのキーストア・パスワード
   javax.net.ssl.trustStore	トラストストアの場所
   javax.net.ssl.trustStoreType	デフォルトのトラストストア・タイプ
   javax.net.ssl.trustStorePassword	デフォルトのトラストストア・パスワード

   システム・プロパティの設定については、システム・プロパティの設定のセクションを参照してください。

   参照:

   • Java Development Kitツール仕様のkeytool - キーおよび証明書管理ツールに関する項

   • Java Platform, Standard Editionセキュリティ開発者ガイドのデフォルトのキーストアとトラストストア、ストア・タイプ、およびストア・パスワードのカスタマイズ

リモート・アプリケーションのモニタリングで接続を設定するとき、SSLで保護されているRMIレジストリにRMIコネクタ・スタブをオプションでバインドできます。これにより、適切なSSL証明書を持つクライアントは、RMIレジストリに登録されたコネクタ・スタブを取得できます。RMIレジストリをSSLで保護するには、次のシステム・プロパティを設定する必要があります。

com.sun.management.jmxremote.registry.ssl=true

このプロパティがtrueに設定されている場合、Java VMの起動時に、すぐに使用できる管理エージェントによって、SSLで保護されたRMIレジストリの生成および構成が行われます。このプロパティのデフォルト値はfalseです。ただし、このプロパティはtrueに設定することをお薦めします。このプロパティがtrueに設定されている場合、全面的なセキュリティを施すため、SSLクライアント認証を有効にする必要もあります。

SSLクライアント認証を有効にするには、Java VMの起動時に次のシステム・プロパティを設定します。

com.sun.management.jmxremote.ssl.need.client.auth=true

クライアントSSL認証を使用するには、SSLを有効(デフォルトはfalseに設定されます)にしておく必要があります。このプロパティはtrueに設定することをお薦めします。この構成では、クライアント・システムが有効なデジタル証明書を持つ必要があります。「SSLの使用」の説明に従って、クライアント・システムに証明書をインストールし、SSLを構成する必要があります。前のセクションで述べたように、RMIレジストリのSSL保護を有効にした場合は、クライアントSSL認証をtrueに設定する必要があります。

リモート・モニタリングでSSLを無効にするには、Java VMの起動時に次のシステム・プロパティを設定する必要があります。

com.sun.management.jmxremote.ssl=false

パスワード認証は、「パスワード認証の無効化」の手順に従って無効にしないかぎり、必要になります。

パスワード認証とSSLの両方を無効(つまりすべてのセキュリティを無効)にするには、Java VMの起動時に次のシステム・プロパティを設定する必要があります。

com.sun.management.jmxremote.authenticate=false
com.sun.management.jmxremote.ssl=false

このような理由から、セキュリティの無効化は、開発時には許容される場合があっても、実稼動システムのセキュリティでは行わないことを強くお薦めします。

セキュリティが有効でも無効でも、JConsoleを使用してアプリケーションをリモートでモニターできます。

SSLが有効な状態でリモート・アプリケーションをモニターするには、JConsoleが稼動しているシステムでtruststoreファイルを設定し、SSLを正しく構成する必要があります。たとえば、keystoreファイルを作成し、次のコマンドでアプリケーション(この例ではServer)を起動します。

% java -Djavax.net.ssl.keyStore=keystore \
  -Djavax.net.ssl.keyStorePassword=password Server

Java Platform, Standard Editionセキュリティ開発者ガイドのデフォルトのキーストアとトラストストア、ストア・タイプ、およびストア・パスワードのカスタマイズを参照してください。

keystoreファイルを作成してServerアプリケーションを起動する場合、次のようにJConsoleを起動します。

% jconsole -J-Djavax.net.ssl.trustStore=truststore \
  -J-Djavax.net.ssl.trustStorePassword=trustword

JConsoleの使用を参照してください。

この構成により認証されるのは、サーバーのみです。クライアントSSL認証が設定されている場合、同様のkeystoreファイルをJConsoleのキーに渡し、該当するtruststoreファイルをアプリケーションに渡す必要があります。

パスワード・ファイルは、各種ロールとそのパスワードを定義します。アクセス制御ファイル(デフォルトでは、jmxremote.access)は、ロールごとに許可するアクセス権を定義します。ロールを機能させるには、パスワードとアクセス・ファイルの両方にエントリを持つ必要があります。

JDKには、jmxremote.password.templateというパスワード・ファイル・テンプレートがあります。このファイルをホーム・ディレクトリのJAVA_HOME/conf/management/jmxremote.passwordにコピーして、アクセス・ファイルで定義したロールのパスワードを追加します。

パスワード・ファイルにはパスワードがクリアテキストで含まれるため、必ず所有者だけがこのファイルへの読取りおよび書込みアクセス権を持つようにしてください。セキュリティ上の理由から、システムは所有者だけがファイルを読取り可能であるか確認し、そうでない場合はエラーとして終了します。このため、マルチユーザー環境では、パスワード・ファイルをホーム・ディレクトリなどの非公開の場所に保存する必要があります。

プロパティ名はロールで、関連付けられた値はロールのパスワードです。例2–1に、パスワード・ファイルのエントリの例を示します。

例 2-1パスワード・ファイルの例

# specify actual password instead of the text password
monitorRole password
controlRole password

LinuxまたはmacOSオペレーティング・システムで、パスワード・ファイルのファイル・アクセス権を設定するには、次のコマンドを実行します。

chmod 600 jmxremote.password

デフォルトでは、アクセス・ファイルはjmxremote.accessという名前です。プロパティ名はパスワード・ファイルと同じ領域のIDです。関連する値はreadonlyまたはreadwriteのいずれかにする必要があります。

アクセス・ファイルはロールとそのアクセス・レベルを定義します。デフォルトでは、アクセス・ファイルは次の主要なロールを定義します。

• monitorRole: モニタリングのための読取り専用アクセスを許可します。

• controlRole: モニタリングおよび管理のために読取り/書込みアクセスを許可します。

ロールは、アクセス・ファイル内で1つのエントリだけを持つ必要があります。ロールにエントリがない場合、アクセス権はありません。ロールに複数のエントリがある場合、最後のエントリが優先されます。アクセス・ファイルの事前定義された一般的なロールには、例2-2に示すようなものがあります。

例 2-2アクセス・ファイルの例

# The "monitorRole" role has readonly access.
# The "controlRole" role has readwrite access.
monitorRole readonly
controlRole readwrite

次の手順は、com.example.MyAppのコードを改変して、エージェントにモニタリングおよび管理用の他のアプリケーションを計測させる方法を示しています。

1. com.example.MyAgentクラスを作成します。

   com.example.MyAgentというクラスを作成し、mainメソッドではなくpremainメソッドを宣言します。

   package com.example;
   
   [...]
   
   public class MyAgent {
       
       public static void premain(String args) throws Exception {
       
       [...]
   

   com.example.MyAgentクラスの残りのコードは、例2-5に示したcom.example.MyAppクラスとまったく同じです。

2. com.example.MyAgentクラスをコンパイルします。
3. Premain-Classエントリを使用して、マニフェスト・ファイルMANIFEST.MFを作成します。

   エージェントはJavaアーカイブ(JAR)ファイルとして配備されます。JARファイルに含まれるマニフェストの属性は、エージェントを起動するためにロードされるエージェント・クラスを指定します。MANIFEST.MFというファイルを作成し、次の行を挿入します。

   Premain-Class: com.example.MyAgent
   

4. JARファイルMyAgent.jarを作成します。

   JARファイルには必ず次のファイルを入れます。

   • META-INF/MANIFEST.MF

   • com/example/MyAgent.class

5. アプリケーションを起動し、モニタリングおよび管理サービスを提供するエージェントを指定します。

   com.example.MyAgentを使用すれば、モニタリングおよび管理用のアプリケーションを計測できます。次の例では、アプリケーションとしてNotepadを使用します。

   % java -javaagent:MyAgent.jar -Djavax.net.ssl.keyStore=keystore \
         -Djavax.net.ssl.keyStorePassword=password -jar Notepad.jar
   

   Notepadを起動するとき、-javaagentオプションを使用して、com.example.MyAgentエージェントを指定します。また、com.example.MyAgentアプリケーションが例2-5のcom.example.MyAppアプリケーションと同じコードを複製する場合、RMIコネクタ・サーバーはSSLで保護されているため、keystoreとpasswordの情報を指定します。