13 セキュリティ

コード例5-1 RMIコネクタの例題(簡単なセキュリティ)クラスServer.java

public class Server { 
 
  public static void main(String[] args) { 
  try { 
       MBeanServer mbs = MBeanServerFactory.createMBeanServer(); 
 
       HashMap env = new HashMap(); 
 
       SslRMIClientSocketFactory csf =  
                  new SslRMIClientSocketFactory(); 
       SslRMIServerSocketFactory ssf =  
                  new SslRMIServerSocketFactory(); 
       env.put(RMIConnectorServer. 
                  RMI_CLIENT_SOCKET_FACTORY_ATTRIBUTE,csf); 
       env.put(RMIConnectorServer. 
                  RMI_SERVER_SOCKET_FACTORY_ATTRIBUTE,ssf); 
 
       env.put("jmx.remote.x.password.file", 
                 "config" + File.separator + "password.properties"); 
       env.put("jmx.remote.x.access.file", 
                 "config" + File.separator + "access.properties"); 
 
       JMXServiceURL url = new JMXServiceURL( 
        "service:jmx:rmi:///jndi/rmi://localhost:9999/server"); 
         JMXConnectorServer cs = 
            JMXConnectorServerFactory.newJMXConnectorServer(url,  
                                                            env,  
                                                            mbs); 
       cs.start(); 
     } catch (Exception e) { 
       e.printStackTrace(); 
     } 
  } 
}

コード例5-1に示すServerクラスは、MBeanサーバーmbsを作成し、環境マップenvにセキュリティ保護されたRMIクライアント・ソケット・ファクトリcsf、セキュリティ保護されたRMIサーバー・ソケット・ファクトリssf、およびプロパティ・ファイルpassword.propertiesとaccess.propertiesを渡します。

プロパティ・ファイルpassword.propertiesには、ユーザー名とパスワードが含まれ、JMXリモートAPIインタフェースJMXAuthenticatorを使用してアクセスします。プロパティjmx.remote.x.password.fileを使用することは、パスワードベースのJMXAuthenticatorを作成し、これをjmx.remote.authenticatorプロパティを通じて環境マップに渡すのと同じ意味を持ちます。

プロパティ・ファイルaccess.propertiesには、ユーザー名と一定レベルのアクセス権、readwriteとreadonlyのいずれかが含まれます。これはアクティブなユーザーが、MBeanサーバー操作にどのレベルでアクセスできるかを表します。このファイルベースのアクセス制御は、アクセス・コントローラMBeanサーバー内に実際のMBeanサーバーをラップする、JMXテクノロジのインタフェースMBeanServerForwarderを使用して実装されます。アクセス・コントローラMBeanサーバーは、適切なチェックを実行したあとに、実際のMBeanサーバーに要求を転送します。

ServerはRMIコネクタ用にJMXサービスURL、urlを作成します。このRMIコネクタはデフォルトのJRMPトランスポート上で動作し、ローカル・ホストのポート9999のRMIレジストリにRMIコネクタ・スタブを登録します。

MBeanサーバーmbs、環境マップenv、およびサービスURL urlはすべてJMXConnectorServerに渡され、セキュアなJMXコネクタ・サーバーcsが新規に作成されます。

コード例5-2 RMIコネクタの例題(簡単なセキュリティ)クラスClient.java

public class Client { 
 
  public static void main(String[] args) { 
  try { 
      HashMap env = new HashMap(); 
 
      String[] credentials = new String[] { "username" , "password" }; 
      env.put("jmx.remote.credentials", credentials); 
      JMXServiceURL url = new JMXServiceURL( 
         "service:jmx:rmi:///jndi/rmi://localhost:9999/server");       
      JMXConnector jmxc = JMXConnectorFactory.connect(url, env); 
      MBeanServerConnection mbsc = jmxc.getMBeanServerConnection(); 
      String domains[] = mbsc.getDomains(); 
      for (int i = 0; i < domains.length; i++) { 
         System.out.println("Domain[" + i + "] = " + domains[i]); 
      } 
       
      ObjectName mbeanName =  
          new ObjectName("MBeans:type=SimpleStandard"); 
      mbsc.createMBean("SimpleStandard", mbeanName, null, null); 
      // Perform MBean operations 
      [...] 
      
      mbsc.removeNotificationListener(mbeanName, listener); 
      mbsc.unregisterMBean(mbeanName); 
      jmxc.close(); 
    }  catch (Exception e) { 
      e.printStackTrace(); 
    } 
  } 
} 

コード例5-2に示すClientクラスは、環境マップenvにServerが求める資格セット、つまりusernameやpasswordを渡します。これらの資格は、コネクタ・スタブのサービスURLと環境マップがJMXConnectorFactory.connect()に渡されるときに、JMXConnectorのインスタンスjmxcに付与されます。Clientはjmxcを通じて、Server側で起動されたMBeanに接続し、MBeanの操作を実行します。

接続が確立すると、環境マップenvで付与された資格はサーバーに送信されます。サーバーは次に、JMXAuthenticatorインタフェースのauthenticate()メソッドを呼び出し、クライアント資格をパラメータとして渡します。authenticate()メソッドは、クライアントを認証し、アクセス制御の確認に使用されるプリンシパルのセットを含む被認証者を返します。

コード例5-3 セキュアなRMIコネクタ(主体委譲)例題クラスServer.java

public class Server { 
 
   public static void main(String[] args) { 
     try { 
          MBeanServer mbs = MBeanServerFactory.createMBeanServer(); 
          HashMap env = new HashMap(); 
          env.put("jmx.remote.x.password.file", 
                  "config" + File.separator + "password.properties"); 
          env.put("jmx.remote.x.access.file", 
                  "config" + File.separator + "access.properties"); 
 
          JMXServiceURL url = new JMXServiceURL( 
             "service:jmx:rmi:///jndi/rmi://localhost:9999/server"); 
          JMXConnectorServer cs = 
              JMXConnectorServerFactory.newJMXConnectorServer(url, env, mbs); 
          cs.start(); 
     } catch (Exception e) { 
          e.printStackTrace(); 
     } 
   } 
} 

コード例5-3は、MBeanサーバーmbsの作成から始まります。環境マップenvには、password.propertiesというパスワード・ファイルとaccess.propertiesというアクセス・ファイルが格納されます。

• パスワード・ファイルには、ユーザー名とパスワードの組み合わせが収められ、接続を試みるユーザーの認証に使用される。
• アクセス・ファイルには、ユーザー名とアクセス・レベルの組み合わせが含まれ、MBeanサーバーのMBeanへのアクセスの認証に使用される。アクセス・レベルは、読書き可能か読込み専用のいずれか。

次にServerはコネクタ・サーバーcsを作成し、前述のRMIコネクタの例題とまったく同じ方法でコネクタ・サーバーを起動します。

コード例5-4 セキュアなRMIコネクタ(主体委譲)例題クラスClient.java

public class Client { 
 
  public static void main(String[] args) { 
    try { 
         HashMap env = new HashMap(); 
         String[] credentials = new String[] { "username" , "password" }; 
         env.put("jmx.remote.credentials", credentials); 
         JMXServiceURL url = new JMXServiceURL( 
            "service:jmx:rmi:///jndi/rmi://localhost:9999/server"); 
         JMXConnector jmxc = JMXConnectorFactory.connect(url, env); 
         Subject delegationSubject = 
            new Subject(true, 
                Collections.singleton(new JMXPrincipal("delegate")), 
                Collections.EMPTY_SET, 
                Collections.EMPTY_SET); 
 
         MBeanServerConnection mbsc = 
            jmxc.getMBeanServerConnection(delegationSubject); 
         String domains[] = mbsc.getDomains(); 
         ObjectName mbeanName = 
            new ObjectName("MBeans:type=SimpleStandard"); 
         mbsc.createMBean("SimpleStandard", mbeanName, null, null); 
         // Perform MBean operations 
         // 
 
[...] 
         mbsc.removeNotificationListener(mbeanName, listener); 
         mbsc.unregisterMBean(mbeanName); 
         jmxc.close(); 
     } catch (Exception e) { 
         e.printStackTrace(); 
     } 
  } 
} 
 

コード例5-4は、ユーザー名usernameとパスワードpasswordが格納された環境マップenvの作成から始まります。これらの文字列は、Serverがコネクタ・サーバーにアクセスするユーザーを認証するために保持するpassword.propertiesファイルに保存されたユーザー名とパスワードに一致します。

JMXテクノロジのコネクタ・クライアントjmxcは、前述のRMIコネクタの例題と同じ方法で作成され、ユーザー名とパスワードは環境マップenvに渡されます。

次に、Clientは、JMXPrincipalのインスタンスであるdelegateという名前のPrincipalを使用して、SubjectのインスタンスdelegationSubjectを作成します。

MBeanサーバー接続mbscは、JMXConnectorのgetMBeanServerConnection()メソッドを呼び出し、パラメータとしてdelegationSubjectを渡して作成されます。したがって、このMBeanサーバー接続を使用すると、delegationSubjectに保存されたプリンシパル、この例ではdelegateという名前のJMXPrincipalに代わって、リモートMBeanサーバー上で操作を実行できます。

この例題ではさらに、これまでの例とまったく同じ方法で、MBeanサーバーでSimpleStandard MBeanが作成および登録され、このMBean上で操作が実行されます。