WebAdmin의 왼쪽 메뉴에서 [Security]를 선택하면 현재 구성된 보안 도메인에 대한 정보를 볼 수 있다. 구성된 보안 도메인 중 애플리케이션에서 사용할 도메인의 이름을 'Default Application Domain' 항목을 통해 지정할 수 있으며, 보안 도메인의 추가, 삭제도 가능하다.

'Connect Retries' 항목 설정으로 JEUS Security NetworkService의 connection retry count 값을 정의할 수도 있다.

[그림 2.1] Security Manager 메인화면

XML을 직접 편집하려면 JEUS_HOME/domains/<domain name>/config/domain.xml 내의 다음 태그를 이용하여 설정한다.

도메인에 대한 XML 파일 설정 방법은 JEUS_HOME/lib/schemas/jeus 디렉터리 내의 jeus-domain.xsd와 jeus-security.xsd의 XML 스키마에 정의되어 있다. 상위 태그는 <security-manager>이며, 이 태그는 도메인 설정과 관련된 다음 하위 태그를 가진다. 하위 태그는 0개 이상씩 설정 가능하다.

<security-manager>
   <security-domains>
      <default-application-domain>SYSTEM_DOMAIN</default-application-domain>
      <security-domain>
        <name>SYSTEM_DOMAIN</name>
        ...
      </security-domain>
   <security-domains>
</security-manager>

다음은 설정 태그에 대한 설명이다.

본 절에서 설명은 디폴트로 제공되는 XML을 이용한 설정에 대해 설명한다.

사용자 계정 및 보안 정책 설정은 XML뿐만 아니라 데이터베이스에 사용자 계정 정보와 보안 정책 정보를 저장하여 사용하는 것도 가능하며, 이에 대한 자세한 내용은 “2.5.3. 데이터베이스 사용 설정”과 “2.6.3. 데이터베이스 사용 설정”을 참고한다.

다음은 사용자 계정 및 보안 정책을 설정하는 과정에 대한 설명이다.

WebAdmin의 왼쪽 메뉴에서 [Security]를 선택하면 Security Manager으로 이동한다. Security 설정화면에서 수정할 보안 도메인을 선택한다. 보안 도메인은 “2.2. 보안 도메인 정의”에서 설명한 대로 정의가 되어 있어야 하며, [LOCK & EDIT] 버튼을 클릭해서 설정변경 모드여야 한다.

[그림 2.2] 보안 도메인 설정

Security Domains 목록에서 설정할 도메인 이름을 클릭하면 보안 설정화면으로 이동한다. 보안 설정화면은 다음의 탭으로 구성된다. 각 탭의 자세한 설명은 해당 절의 설명을 참고한다.

[Cache Config]

Cache Config 화면에서 도메인에 적용된 보안 서비스에서 적용할 Cache 정책값을 정의할 수 있다. 해당 Cache 값은 보안 서비스 중 하나인 Repository 서비스에 적용된다.

[그림 2.3] [Security Service] - [Cache Config]

[Key Store]

Keystore Config 화면에서 도메인의 보안 서비스에 적용할 Keystore 파일의 정보를 정의할 수 있다.

Keystore 파일에는 인증서 정보가 포함되어 있으며, 이를 이용한 사용자 인증이 가능하다. 하위의 설정값이 없는 경우 –Djeus.ssl.* 또는 –Djavax.net.ssl.* 설정되어 있는지 확인하고 해당 값이 없을 경우에는 기본값이 적용된다.

[그림 2.4] [Security Manager] - [Key Store]

다음은 각 항목에 대한 설명이다.

[Custom Service]

Custom Service 화면은 JEUS Security Framework에서 제공하는 서비스 속성에 상관없이 JEUS Security API를 Implement한 서비스 속성에 별도의 보안 서비스 등록할 수 있다. JEUS에서 제공하는 보안 서비스 종류와 Custom 보안 서비스의 개발과 관련된 사항은 “제5장 Custom 보안 서비스 개발”을 참고한다.

[그림 2.5] [Security Manager] - [Custom Service]

각 보안 도메인에서 로딩되는 보안 서비스는 domain.xml 내에 다음과 같이 설정되어 있다.

서비스에 대한 XML 파일 설정 방법은 JEUS_HOME/lib/schemas/jeus 디렉터리 내의 jeus-security.xsd의 XML 스키마에 정의되어 있다.

<security-domains> 태그의 하위에는 서비스 설정과 관련된 <security-domain>을 설정한다. <security-domain>은 1개 이상 설정이 가능하고 각 태그는 JEUS에서 사용하는 보안 도메인을 정의한다.

다음은 보안 설정 파일의 예제이다.

<?xml version="1.0" encoding="UTF-8"?>
<domain xmlns="http://www.tmaxsoft.com/xml/ns/jeus">
   . . .
   <security-manager>
     <default-application-domain>DEFAULT_APPLICATION_DOMAIN</default-application-domain>
     <security-domains>
        <security-domain>
           <name>SYSTEM_DOMAIN</name>
           .....
        </security-domain>
        <security-domain>
           <name>DEFAULT_APPLICATION_DOMAIN</name>
        </security-domain>
     </security-domains>
  </security-manager>
   . . .
</domain>

다음은 <security-domain>의 하위 태그에 대한 설명이다.

[Security Service] 메뉴를 선택하면 보안 서비스들을 설정하는 화면으로 이동한다. 보안과 관련된 작업을 하는 보안 서비스는 도메인별로 정의할 수 있다. 보안 서비스에 따라 해당 보안 도메인에서의 인증, 권한 확인 등에 대한 내부 동작이 달라진다.

[그림 2.6] [Security Service] - [Authentication]

[Authentication]

Security Service의 [Authentication] 탭을 선택하면 사용자 인증과 관련된 보안 서비스들을 수정한다.

[Authorization]

Security Service의 [Authorization] 탭을 선택하면 사용자 권한 확인과 관련된 보안 서비스들을 수정할 수 있다.

[Identity Assertion]

Identity Assertion 화면에서 인증서로부터 사용자의 이름을 얻어오는 서비스를 설정할 수 있다. jeus.security.spi.IdentityAssertionService를 구현한 클래스 중 하나를 선택한다.

[그림 2.12] [Security Service] - [Identity Assertion]

[Credential Mapping]

Credential Mapping 화면에서 X509Certificate에 대한 Truststore와 패스워드 경로를 지정할 수 있다.

기본값으로 jeus.security.spi.CredentialMappingService의 기본 구현체인 jeus.security.impl.credmap.JKSCertificateCredentialMappingService 서비스가 활성화된다.

[그림 2.13] [Security Service] - [Credential Mapping]

[Credential Verification]

Credential Verification 화면에서 사용자의 Credential에 대해서 검사하는 서비스를 선택할 수 있다.

기본값으로 'Password Verification'이 체크되어 사용자의 Password를 검사한다. 'Jeus Certificate Verification'을 선택하면 X509Certificate 검사가 가능하도록 할 수 있다.

Credential Verification 목록에서 [ADD] 버튼으로 jeus.security.spi.CredentialVerificationService를 구현한 클래스를 추가하여 사용할 수도 있다.

[그림 2.14] [Security Service] - [Credential Verification]

[Audit]

Audit 화면에서 JEUS Security framework에서 발생하는 이벤트에 대한 정보를 수집하는 서비스에 대한 설정을 할 수 있다.

'Filename', 'Filepath'에 로그를 남길 파일 이름과 경로를 설정할 수 있고, 'Audit Level'에 로그 레벨을 설정할 수 있다. 기본 구현체인 jeus.security.impl.auditlog.BasicAuditLogFileService이 사용된다.

Custom Audit Service 목록에서 [ADD] 버튼으로 jeus.security.spi.EventHandlingService를 구현한 클래스를 추가하여 사용할 수 있다.

[그림 2.15] [Security Service] - Audit

[Subject Validation]

Subject Validation 화면에서 사용자(Subject)에 대한 유효성 검사 여부를 설정할 수 있다. 'Default Subject Validation Service'를 선택하면 jeus.security.impl.expiration.SubjectExpirationValidationService 서비스가 활성화되어 ExpiryTime의 설정 유무로 사용자의 유효성 검사를 수행한다.

Custom Subject Validation Service 목록에서 [ADD] 버튼으로 jeus.security.spi.SubjectValidationService를 구현한 클래스를 추가하여 사용할 수 있다.

[그림 2.16] [Security Service] - [Subject Validation]

각 보안 도메인에서 로딩되는 보안 서비스는 domain.xml 내에 다음과 같이 설정되어 있다.

다음은 보안 설정 파일의 예제이다.

<?xml version="1.0" encoding="UTF-8"?>
<domain xmlns="http://www.tmaxsoft.com/xml/ns/jeus">
   . . .
   <security-manager>
      <default-application-domain>
        DEFAULT_APPLICATION_DOMAIN
      </default-application-domain>
      <security-domains>
         <security-domain>
            <name>SYSTEM_DOMAIN</name>
            <authentication>
               <repository-service>
                  <xml-file-repository>
                     <config-file>
                        <filename>accounts.xml</filename>
                        <filepath>
                         ${JEUS_HOME}/domains/domain1/config/security/
                        </filepath>
                     </config-file>
                  </xml-file-repository>
               </repository-service>
            </authentication>
         </security-domain>
         <security-domain>
            <name>DEFAULT_APPLICATION_DOMAIN</name>
         </security-domain>
      </security-domains>
   </security-manager>
   . . .
</domain>

다음은 <security-domain>의 하위 태그에 대한 설명이다.

Custom 보안 서비스

다음은 Custom 보안 서비스를 설정하는 방법이다.

JEUS에서 제공하는 보안 서비스 종류와 Custom 보안 서비스의 개발과 관련된 사항은 “제5장 Custom 보안 서비스 개발”을 참고한다.

다음은 WebAdmin에서 사용자 정보를 설정하는 과정에 대한 설명이다.

accounts.xml의 XML 스키마는 accounts.xsd이며, JEUS_HOME/lib/schemas/jeus 경로에 있다.

accounts.xml 파일에는 최상위 태그 <accounts> 하위에 <users> 및 <groups> 태그가 있으며 0개 이상의 <user> 및 <group> 태그가 포함되어 있다. 각각은 사용자와 그룹을 나타낸다.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<accounts xmlns="http://www.tmaxsoft.com/xml/ns/jeus">
   <users>
      <user>
         <name>user1</name>
         <password>{AES}mnG6ItxFO/WQlE2YzIZ7sA==</password>
         <group>group1</group>
      </user>
      <user>
         <name>user2</name>
         <password>{DES}7dJ0KDTGQNpSnQAPYBNnmA==</password>
      </user>
      <user>
         <name>user3</name>
         <password>{DES}7dJ0KDTGQNpSnQAPYBNnmA==</password>
         <group>nested_group</group>
      </user>
      <user>
         <name>user4</name>
         <password>{SEED}dl2EePMAcnxPYbIyknuZkA==</password>
         <group>nested_group</group>
      </user>
   </users>
   <groups>
      <group>
         <description>Group1</description>
         <name>group1</name>
         <subgroup>nested_group</subgroup>
      </group>
      <group>
         <description>For NestedGroup</description>
         <name>nested_group</name>
      </group>
   </groups>
</accounts>

다음은 설정 태그에 대한 설명이다.

본 절에서는 JEUS가 정의한 데이터베이스 테이블을 이용한 Authentication을 설정하는 방법에 대해서 설명한다.

다음 예제는 JEUS에 정의한 데이터소스를 이용할 때 설정하는 방법이다.

<?xml version="1.0" encoding="UTF-8"?>
<domain xmlns="http://www.tmaxsoft.com/xml/ns/jeus">
   . . .
   <security-manager>
      <seuciry-domains>
         <security-domain>
            <name>MY_DOMAIN</name>
            <authentication>
               <repository-service>
                  <database-repository>
                     <datasource-id>auth</datasource-id>
                  </database-repository>
               </repository-service>
            </authentication>
            . . .
         </security-domain>
      </security-domains>
   </security-manager>
   . . .
</domain>

위의 예제에서 <datasource-id>에는 Authentication에 사용할 domain.xml에 등록한 데이터소스의 ID를 명시해야 한다. 또 다른 방법으로 DriverManager를 이용해 JEUS에서 제공하는 JDBC를 이용하지 않고 직접 DB와 통신하면서 Authentication을 이용할 수 있는데, 위의 예제에서 <datasource-id> 태그 부분을 다음과 같이 변경한다.

다음 예제는 JEUS JDBC를 이용하지 않을 때 데이터베이스 Repository를 설정하는 방법이다.

   <security-manager>
      ...
      <repository-service>
         <dbdriver-config>
            <vendor>oracle</vendor>
            <driver>oracle.jdbc.OracleDriver</driver>
            <url>jdbc:oracle:thin:@127.0.0.1:1521:ORA9I</url>
            <username>scott</username>
            <password>{base64}dGlnZXI=</password>
         </dbdriver-config>
      </repository-service>
      ...
   </security-manager>

데이터베이스에서 사용되는 테이블은 다음과 같이 구성된다.

[그림 2.21] Subject에 대한 사용자 정보를 저장하기 위한 데이터베이스 테이블 구조

데이터베이스에 테이블이 존재하지 않을 경우 JEUS_HOME/templates/security/dbrealm.sql.template 파일을 이용해서 DB에 테이블을 생성하면 사용자명이 "jeus", 패스워드가 "jeus"인 사용자가 최초로 생성된다.

본 절에서는 패스워드 보안 설정에 대한 사항 중 패스워드의 적합성 검사와 암호화 알고리즘, 그리고 SecretKey 파일 관리방법에 대해서 설명한다.

패스워드의 적합성 검사

사용자가 신규 계정을 생성하기 위해 패스워드를 입력하거나 기존 패스워드를 변경할 경우 패스워드의 적합성을 검사하여 제약을 줄 수 있다. 일반적으로 사용되는 제약 사항(알파벳과 숫자, 특수문자의 사용 여부나 아이디와 패스워드를 같게 하면 안되는 규칙 등등)과 같은 방식을 이용하여 패스워드의 보안을 강화할 수 있다.

Domain administrator는 기본적으로 제공되는 Default Password Validator나 사용자가 직접 구현하는 Custom Password Validator 중에 하나를 선택하여 도메인 전체에 적용할 수 있다. 각각의 기능을 사용하기 위해 사용자는 WebAdmin 또는 jeusadmin의 명령어를 통해 설정을 추가, 변경 및 삭제 할 수 있다. 사용자의 설정 정보는 domain.xml에 저장된다.

암호화 알고리즘

사용자 설정을 할 때는 사용자의 패스워드를 지정해야 한다. 패스워드를 plain-text 형식으로 저장하는 것이 가능하나 암호화 알고리즘을 통해 암호화하여 타인이 알아볼 수 없도록 하는 것이 좋다.

jeusadmin의 set-password 명령이나 WebAdmin을 통해 사용자별로 패스워드의 암호화가 가능하며, JEUS_HOME/bin/encryption을 이용하여 직접 암호화할 수도 있다.

직접 암호화한 경우는 패스워드를 설정할 때 다음의 형식으로 설정한다.

{알고리즘}암호화된문자열 

대칭키 암호화 알고리즘의 키 값은 JEUS_HOME/domains/<domain name>/config/security/security.key 파일에 저장된다.

다음은 패스워드 암호화에서 지원하는 알고리즘에 대한 설명이다.

암호화 알고리즘을 사용할 때 key의 크기를 지정할 수 있다. Key 크기는 관리자가 시스템 프로퍼티로 관리하며 시스템 전체에 통일된 key 크기가 적용된다.

Key 크기의 기본값은 256bit 이며, 시스템 프로퍼티로 jeus.security.keylength 옵션을 주어 key 크기를 변경할 수 있다. 예를 들어 "-Djeus.security.keylength=256" 옵션을 주어 256bit의 key 크기를 갖는 암호화 알고리즘을 사용할 수 있다.

시스템 프로퍼티로 설정한 key 크기가 암호화 알고리즘이 지원하는 최대 key 크기 값보다 큰 경우, 암호화 알고리즘이 지원하는 최대값으로 key 크기가 설정된다. 예를 들어 AES는 key 크기로 128, 192, 256bit만 지원하기 때문에 AES512와 같은 설정은 AES256으로 적용된다.

만약 지정한 key 크기가 암호화 알고리즘이 지원하는 최대 key 크기 값보다 작으면서 지원하지 않는 key 크기인 경우에는 EncryptionException이 발생한다. 예를 들어 AES는 key 크기로 128, 192, 256bit만 지원하기 때문에 AES200과 같은 설정은 EncryptionException이 발생한다.

마스터 패스워드를 통한 SecretKey 파일 관리

암호화 툴(JEUS_HOME/bin에 위치)을 사용해서 패스워드를 암호화하는 경우 해당 암호화 파일에 적용되는 SecretKey 정보를 security.key 파일에 암호화 알고리즘별로 저장하여 관리한다. 마스터 패스워드를 입력받아 이 패스워드로 security.key 파일을 암호화하여 저장할 수 있다.

security.key 파일은 다음 경로에 위치한다. 도메인 환경을 구성하는 경우 해당 security.key 파일을 함께 다른 노드에 옮겨놓아야 한다.

JEUS_HOME/domains/<domain name>/config/security/security.key

JEUS에 등록하는 데이터베이스 패스워드를 암호화하였을 경우 클라이언트에서는 이를 decrypt하기 위해 Key가 필요하다. 이때 SecretKey 파일 경로를 시스템 프로퍼티를 이용해 설정할 수 있다.

또한, security.key 파일에 마스터 패스워드가 설정된 경우 마스터 패스워드도 시스템 프로퍼티를 이용해서 설정할 수 있다. key path를 지정하는 프로퍼티 이름은 jeus.security.keypath이며, 마스터 패스워드를 설정하려면 jeus.security.master를 이용하면 된다. 이 프로퍼티들은 JEUS를 기동할 때도 이용할 수 있다. 다만, 보안의 이유로 마스터 패스워드는 프롬프트(standard input)로 입력하는 것을 권장한다.

JEUS 스크립트를 통한 서버 부트나 jeusadmin으로 서버에 접속할 때는 사용자 정보가 필수로 입력되어야 한다. 이때 사용자 정보를 매번 입력하지 않고 로그인 정보를 캐시하여 사용할 수 있는 기능을 제공한다.

로그인 정보의 Cache는 한 번이라도 인증이 이루어진 다음 파일에 기록된다.

jeusadmin의 connect 명령을 수행할 때 사용자 정보와 함께 -cachelogin 옵션을 추가하면 해당 로그인 정보가 파일에 저장된다. JEUS 스크립트의 경우는 <domain name>:<server name>을 Key로 로그인 정보가 저장된다.

추후 JEUS 스크립트가 실행될 때 사용자 정보를 입력하지 않아도 도메인 이름과 서버 이름이 같은 로그인 정보가 존재하면 자동으로 사용자 정보를 채워준다. 캐시된 로그인 정보가 존재한다 하더라도 사용자가 직접 사용자 정보를 입력한 경우에는 캐시된 로그인 정보는 무시된다. jeusadmin의 경우는 접속하려는 서버의 <host>:<port>를 Key로 로그인 정보를 저장한다.

다음 예제는 저장된 로그인 정보를 보여준다.

#Warning: We don't recommend to use this on Production Environment.
localhost:9736 amV1czpqZXVz
domain1:server1 amV1czpqZXVz

저장된 로그인 정보는 jeusadmin의 off-line 명령인 remove-login-cache 명령을 통해 삭제할 수 있다.

[Accounts & Policies Management] 탭에서 [policies] 메뉴를 선택하면 보안 정책에 대한 사항을 설정할 수 있다. Role Permissions에서는 Principal과 Role에 대한 매핑을 정의할 수 있다. 하나의 Role에 여러 개의 Principal이 매핑될 수 있으며, 이렇게 매핑된 Principal을 해당 Role에 대한 권한을 갖는다.

[ADD] 버튼을 클릭하여 Principal-to-Role 매핑을 추가할 수 있다.

[그림 2.24] Policy 설정 메인 화면

Role Permission 등록

Role Permisions 목록에서 [ADD] 버튼을 클릭하면 Role Permision을 등록할 수 있다.

'Role'에 이름을 지정한 뒤 해당 Role의 권한을 부여할 Principal을 선택한다. 누구도 Role에 접근하지 못하게 하려면 'Excluded'에 체크하고, 누구나 Role에 접근할 수 있도록 하려면 'Unchecked'를 선택한다. 정보의 등록이 완료되면 [확인] 버튼을 클릭한다.

[그림 2.25] Policy 설정 - Role Permission 등록

Resource Permissions 등록

다음은 Resource Permissions를 등록하는 과정에 대한 설명이다.

policies.xml의 XML 스키마는 policies.xsd로 JEUS_HOME/lib/schemas/jeus 디렉터리 내에 있다. policies.xml은 0개 이상의 <policy> 태그로 구성되어 있으며, 각 태그는 개별 정책(권한 부여 데이터)을 나타낸다.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<policies xmlns="http://www.tmaxsoft.com/xml/ns/jeus">
   <policy>
      <role-permissions>
         <role-permission>
            <principal>user1</principal>
            <role>administrator</role>
         </role-permission>
         <role-permission>
            <principal>user1</principal>
            <role>teller</role>
            <actions>9:00-17:00</actions>
            <classname>
               jeus.security.resource.TimeConstrainedRolePermission
            </classname>
         </role-permission>
      </role-permissions>
      <resource-permissions>
         <context-id>default</context-id>
         <resource-permission>
            <role>teller</role>
            <resource>bankdb</resource>
            <actions>select, update</actions>
         </resource-permission>
         <resource-permission>
            <role>administrator</role>
            <resource>jndi</resource>
            <actions>modify, delete</actions>
         </resource-permission>
         <resource-permission>
            <resource>jndi</resource>
            <actions>lookup</actions>
            <unchecked/>
         </resource-permission>
         <resource-permission>
            <role>administrator</role>
            <resource>jeus.*</resource>
            <actions>*</actions>
         </resource-permission>
      </resource-permissions>
   </policy>
</policies>             

다음은 설정 태그에 대한 설명이다.

보통 policies.xml은 JEUS 서버 리소스에 대한 Permission( JNDI, JMS, Security 서버 등)을 설정하는 데 사용되고, J2EE 애플리케이션과 J2EE 모듈에 대한 Permission을 설정하는 데는 사용하지 않는다. 대신 J2EE 애플리케이션과 모듈에 Permission을 설정하기 위해 다양한 DD 파일을 사용한다. 자세한 사항은 “제3장 애플리케이션과 모듈에서 보안 설정”을 참고한다.

Custom Permission 구현 및 설정

Permission(Role Permission 또는 Resource Permission)을 policies.xml 파일에 추가할 때마다 Permission을 나타내는 Java 클래스명을 설정해야 한다. 해당 클래스는 java.security.Permission 추상 클래스를 확장한 것이다. 자신만의 java.security.Permission 구현 클래스를 생성하여, policies.xml에 <classname> 태그로 설정하면 Custom Permission을 직접 생성할 수 있다.

다음 요구사항을 가진 새로운 Custom Permission을 구현하는 방법을 설명한다. 새로운 Role Permission은 원래의 Role 외에 다음과 같은 2가지 조건이 충족되는 상황에서 또 다른 Role을 암시할 수 있다.

예를 들어 이러한 Role Permission은 뱅킹 애플리케이션에서 "user2"라는 Principal이 오전 9시부터 오후 5시까지 업무시간 동안만 "teller"라는 Role을 가질 수 있도록 만들 수 있다.

이를 위해 다음의 2가지 작업이 필요하다.

데이터베이스를 이용하여 Policy를 설정하려면 다음과 같이 domain.xml에서 보안 도메인 서비스를 지정해야 한다. Authentication과 마찬가지로 Driver Manager를 직접 이용하고 싶은 경우 <datasource-id> 대신에 <dbdriver-config> 태그를 추가한다. 그러나 일반적으로 JEUS JDBC 데이터소스를 사용할 것을 권장한다.

<?xml version="1.0" encoding="UTF-8"?>
<domain xmlns="http://www.tmaxsoft.com/xml/ns/jeus">
   ...
   <security-manager>
      <security-domains>
         <security-domain>
            <name>MY_DOMAIN</name>
            <authorization>
               <repository-service>
                  <database-repository>
                     <datasource-id>auth</datasource-id>
                  </database-repository>
               </repository-service>
            </authorization>
            . . .
         </security-domain>
      </security-domains>
   </security-manager>   
   . . .
</domain>                 

데이터베이스를 사용하는 AuthenticationRepositoryService를 사용하려면 데이터베이스에 접근하는 JDBC 드라이버와 접근을 하기위한 정보인 URL, 사용자 이름 그리고 패스워드가 필요하다.

본 예제에서는 Oracle에 접근하기 위한 정보로 패스워드는 base64로 인코딩된 문자가 입력된다. 특정 암호화 알고리즘 또는 인코딩 방식이 적용된 패스워드 값을 기입하는 경우 accounts.xml의 사용자 패스워드와 동일한 방식으로 기입하면 된다.

데이터베이스에서 사용되는 테이블은 다음과 같이 구성된다.

[그림 2.29] Policy를 저장하기 위한 데이터베이스 테이블 구조

데이터베이스에 테이블이 존재하지 않는다면 JEUS_HOME/templates/security/dbrealm.sql.template 파일을 이용해서 DB에 테이블을 생성하여 기본적인 Policy는 “SYSTEM_DOMAIN”에 “administrator”라는 Role을 가지게 되고, “jeus.*”에 대한 Resource 권한을 가진다. “administrator” Role 포함된 principal은 “2.5.3. 데이터베이스 사용 설정”에서 설명한 jeus이다.

JEUS에서 Java SE SecurityManger를 사용하면, 플랫폼에 대한 부수적인 견고성을 얻을 수 있으나 성능이 저하된다. 일반적으로 Java SE SecurityManger에서는 모든 핵심 JEUS 코드뿐 아니라 JEUS에 deploy되어 있는 J2EE 애플리케이션 및 모듈이 완벽하게 신뢰받은 코드로 간주되므로, 굳이 보안 관리자를 사용하여 부하를 초래할 필요는 없다. 보안 관리자를 사용하지 않는 모드가 JEUS에서 디폴트 모드이다.

그러나 때때로 Java SE SecurityManger를 사용하여 코드 수준의 보안을 강화시켜 추가적인 견고성을 높이는 문제가 성능 저하보다 중요하게 다루어지는 경우가 있다.

예를 들어 시스템 관리자가 불안정한 코드를 포함하고 있을지도 모르는 Java EE 애플리케이션을 JEUS에 deploy해야 한다. 이 경우에 성능 저하라는 비용을 감수하고서라도 코드 레벨의 보안을 강화시켜 호스트를 보호하는 것이 더 중요하다고 판단되면 Java SE SecurityManger를 작동시켜야 한다.

Java SE SecurityManger를 JEUS와 함께 동작시키기 위해 domain.xml에 특정 서버에 대해 jvm-option을 다음과 같이 정의한다.

-Djava.security.manager 
-Djava.security.policy=${JEUS_HOME}/domains/domain1/config/security/policy(UNIX기준)

정책 파일은 JEUS_HOME/domains/<domain name>/config/security/policy이며 내용은 다음과 같다.

grant codeBase "file:${jeus.home}/lib/system/*" {
   permission java.security.AllPermission;
};

grant {
   permission java.net.SocketPermission "127.0.0.1:1024-", 
   "connect, accept, connect, listen, resolve";
   permission java.security.SecurityPermission "runTrustedLogin", "read";
   permission java.security.SecurityPermission "loginCodeSubject", "read";
   permission java.security.SecurityPermission "putProviderProperty.*";
   permission java.security.SecurityPermission "insertProvider.*";
   permission javax.management.MBeanPermission "*", "*";
};                    

Java SE SecurityManger는 JEUS의 보안 시스템과는 완전히 별개의 것이다. JEUS 보안 시스템은 코드 수준의 보호(코드를 호출할 수 있는 Permission 설정)가 아니라, 사용자 수준의 보호(누가 로그인했고, 해당 자원에 대한 Permission이 있는가)를 다루고 있다.

둘 사이 유일한 접점은 JEUS가 특별한 경우 Java SE SecurityManger를 사용하여 코드 수준의 Permission을 체크함으로써 악의적인 Servlet이나 EJB 코드로부터 JEUS를 보호하기도 한다는 점이다.

JEUS에서 JACC 1.5 설정에 대한 이슈는 “제6장 JACC Provider 사용”에서 설명할 것이다. 더 자세한 내용은 해당 절을 참고한다.

IdentityAssertionService 지원하는 경우 추가적으로 인증서와 사용자 간의 매핑 정보가 있는 cert-user-map.xml 파일에서 읽어 들인다. 이 파일은 다음의 경로에 위치한다.

JEUS_HOME/domains/<domain name>/config/security/<security domain name>/

<domain name>은 도메인의 이름이고, <security domain name>은 사용자가 속한 보안 도메인의 이름을 나타낸다. cert-user-map.xml의 XML 스키마는 cert-user-map.xsd이며, JEUS_HOME/lib/schemas/jeus 경로에 있다.

이 파일에는 최상위 태그 <cert-user> 하위에 <user> 및 <cert> 태그가 있으며 하위 0개 이상의 <cert-user> 태그가 포함되어 있다. 각각은 사용자에 대한 인증서 매핑을 위한 속성 정보를 나타내고 있다.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<cert-user-map xmlns="http://www.tmaxsoft.com/xml/ns/jeus">
   <cert-user>
      <username>user1</username>
      <cert>
         <subjectDN>user1DN</subjectDN>
      </cert>               
   </cert-user>
</cert-user-map>      

각 <cert-user> 태그는 다음과 같은 하위 태그를 가지고 있다.

JEUS 보안 시스템에서는 인증서로 인증된 Identity 사용자 정보에 대한 인증서 정보를 얻을 수 있는 API를 제공하는 UserCertMappingService를 제공한다. UserCertMappingService 지원하는 경우 추가적으로 사용자별 인증서 파일을 얻기 위한 매핑 정보가 있는 user-cert-map.xml 파일에서 읽어 들인다. 이 파일은 다음의 경로에 위치한다.

JEUS_HOME/domains/<domain name>/config/security/<security domain name>/ 

<domain name>은 도메인의 이름이고, <security domain name>은 사용자가 속한 보안 도메인의 이름을 나타낸다. user-cert-map.xml의 XML 스키마는 user-cert-map.xsd이며, JEUS_HOME/lib/schmas/jeus 경로에 있다.

이 파일에는 최상위 태그 <user-cert-map> 태그 하위에 0개 이상의 <user-cert> 태그가 포함되어 있다. 각각은 Keystore 파일에서 사용자에 대한 인증서를 얻기 위한 속성 정보를 나타낸다.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user-cert-map xmlns="http://www.tmaxsoft.com/xml/ns/jeus">
   <user-cert>
      <username>user1</username>
      <alias>alias1</alias>
      <keypassword>changeit</keypassword>
      <secretkey>
         <keyname>testkeypass</keyname>
         <keyalgorithm>AES</keyalgorithm>
         <keyvalue>bjhTUjJvSXRTOGlkVEdlNHJnM2N3VnljSDZXV0JkYz0=</keyvalue>
      </secretkey>
   </user-cert>
</user-cert-map>

각 <user-cert> 태그는 다음과 같은 하위 태그를 가지고 있다.