在JBoss 5.1.0.GA中保护JMXConnectorServerService（jmx remoting.sar）

Question

我一直在试图理解如何保护JBoss 5.1.0.GA默认提供的JMXConnectorServerService。

目前，如果我将以下URL粘贴到JConsole中，我可以直接访问JMX而无需任何身份验证：service： jmx： rmi：//jndi/rmi：//： 1290/jmxconnect

然后我这样做是为了保护我的JMXInvoker，希望这能保护所有JMX访问：http://objectopia.com/2009/10/01/securing-jmx-invoker-layer-in-jboss/

但是，很明显，这不适用于JMXConnectorServerService。我仍然可以使用上面的服务URL通过jsole访问JMX。

然后我发现这个功能要求还没有得到满足：https://issues.jboss.org/browse/JBAS-8159

现在，目前我不担心疯狂的安全措施。这个URL不会被暴露在外部网络中。所以，我只想看看使用“jmx控制台”安全域保护jmx-remoting.sar的最简单方法是什么？

我可以切换到默认的MBean服务器，但显然，在5.1.0.GA中，这很痛苦：https://community.jboss.org/thread/153594

我非常感谢在这方面的任何意见。

谢啦！

Answer 1

我不认为该服务是安全的，但有一个补丁。

对于一个稍微简单的版本，我在这里冒险，因为我还没有在AS 5上测试过这个，但是我把它反向移植到AS 4，它工作正常。

我不确定你有哪个版本，但让我们假设它是这个版本。EAP版本有一个稍微复杂的版本，但前提是相同的。您需要扩展JMXConnectorServerService和JMXConnectorServerServiceMBean。

在此实现中，创建服务器的代码如下所示：

// create new connector server and start it
connectorServer = JMXConnectorServerFactory.newJMXConnectorServer(url, null, mbeanServer);

在您的扩展中，添加以下内容：

/** The name of the JAAS domain to use for authentication */
protected String jaasDomain = null; 
...
/**
   * Returns the name of the JAAS domain to use for authentication
   * @return the name of a JAAS Domain
   */
public String getJaasDomain() {
   return jaasDomain;
}

/**
  * Sets the name of the JAAS domain to use for authentication
  * @param jaasDomain the JAAS Domain to use for authentication
  */
public void setJaasDomain(String jaasDomain) {
   this.jaasDomain = jaasDomain;
}

现在您需要重新实现start方法，该方法添加了一个包含要进行身份验证的JAAS域名的环境。

   public void start() throws Exception
   {
      // the address to expose in the urls
      String host = System.getProperty("java.rmi.server.hostname");

      // check to see if registry already created
      rmiRegistry = LocateRegistry.getRegistry(host, registryPort);
      if (rmiRegistry != null)
      {
         try
         {
            rmiRegistry.list();
         }
         catch(RemoteException e)
         {
            log.debug("No registry running at host '" + host +
                  "', port '" + registryPort + "'.  Will create one.");
            rmiRegistry = LocateRegistry.createRegistry(registryPort, null, new DefaultSocketFactory(bindAddress));
         }
      }
      else
      {
         rmiRegistry = LocateRegistry.createRegistry(registryPort, null, new DefaultSocketFactory(bindAddress));
      }

      String serviceURL = "service:jmx:rmi://" + host + "/jndi/rmi://" + host + ":" + registryPort + jndiPath;

      JMXServiceURL url = new JMXServiceURL(serviceURL);

      // create new connector server and start it
      // ==== NEW AUTH CODE HERE ====
      final Map<String, Object> environment = new HashMap<String, Object>();
      environment.put("jmx.remote.x.login.config", jaasDomain);
      connectorServer = JMXConnectorServerFactory.newJMXConnectorServer(url, environment, mbeanServer);
      // ==== NEW AUTH CODE ENDS ====
      connectorServer.start();

      log.info("JMX Connector server: " + serviceURL);
   }

您可以选择如下方式验证JAAS名称：

/**
 * Validates the name of the passed JAAS domain. 
 * If the name is not valid, a RuntimeException will the thrown.
 * @param domain The name of the JAAS domain to validate.
 */
private void validateJaasDomain(String domain) {
    try {
        new LoginContext(domain);
    } catch (Exception e) {
        throw new RuntimeException("The JAAS Domain [" + domain + "] could not be loaded", e);
    }
}

将jaasDomain属性添加到新的MBean接口：

/**
 * Returns the name of the JAAS domain to use for authentication
 * @return the name of a JAAS Domain
 */
public String getJaasDomain();

/**
 * Sets the name of the JAAS domain to use for authentication
 * @param jaasDomain the JAAS Domain to use for authentication
 */
public void setJaasDomain(String jaasDomain);

假设您的新impl是com.vijay。JMXConnectorServerService和新的MBean是com.vijay。JMXConnectorServerServiceMBean；您的部署描述符如下所示：（使用jmx控制台jaas域，因为您可能已经得到了保护……）

<!-- ======================================================== -->
<!-- Example Vijay JMX Remoting Service Configuration file        -->
<!-- ======================================================== -->
<server>

   <mbean code="com.vijay.JMXConnectorServerService"
      name="jboss.remoting:service=JMXConnectorServer,protocol=rmi"
      display-name="JMX Connector Server (RMI)">
           <attribute name="BindAddress">
               <!-- Get the port from the ServiceBindingManager -->
               <value-factory bean="ServiceBindingManager" method="getStringBinding" 
                  parameter="jboss.remoting:service=JMXConnectorServer,protocol=rmi"/>
            </attribute>
            <!-- if comment this out, will use 1099 as default and will conflict -->
            <!-- with default JNP (JNDI) port. -->
            <attribute name="RegistryPort">
               <!-- Get the port from the ServiceBindingManager -->
               <value-factory bean="ServiceBindingManager" method="getIntBinding" 
                  parameter="jboss.remoting:service=JMXConnectorServer,protocol=rmi"/>
            </attribute>
            <!-- the path to which will be bound in rmi registry -->
            <!-- the commented value below is the default. -->
            <!-- <attribute name="JndiPath">/jmxconnector</attribute> -->
            <attribute name="JaasDomain">jmx-console</attribute>
   </mbean>
</server>

我只有这些了。我希望它对你有用。