35 使用 SFCB 的基于 Web 的企业管理 #

安全套接字层 (SSL) 传输需要保证安全通讯的证书。安装 SFCB 时，会生成自我签名的证书。

您可以通过更改 /etc/sfcb/sfcb.cfg 中的 sslCertificateFilePath: PATH_FILENAME 设置，将默认证书的路径替换成商用证书或自我签名证书的路径。该文件必须是 PEM 格式。

默认生成的服务器证书位置如下：

/etc/sfcb/server.pem

注意：SSL 证书的路径

默认生成的证书文件 servercert.pem 和 serverkey.pem 储存在 /etc/ssl/servercerts 目录下。文件 /etc/sfcb/client.pem、/etc/sfcb/file.pem 和 /etc/sfcb/server.pem 是这些文件的符号链接。

要生成新证书，请以 root 身份在命令行中输入以下命令：

tux > sh /usr/share/sfcb/genSslCert.sh
Generating SSL certificates in .
Generating a 2048 bit RSA private key
...................................................................+++
.+++
writing new private key to '/var/tmp/sfcb.0Bjt69/key.pem'
-----

默认情况下，该脚本在当前工作目录下生成证书 client.pem、file.pem 和 server.pem。如果希望脚本在 /etc/sfcb 目录中生成证书，需要将它追加到命令后。如这些文件已存在，将显示一条警告消息，而不会重写旧的证书。

tux > sh /usr/share/sfcb/genSslCert.sh /etc/sfcb
Generating SSL certificates in .
WARNING: server.pem SSL Certificate file already exists.
         old file will be kept intact.
WARNING: client.pem SSL Certificate trust store already exists.
         old file will be kept intact.

必须从文件系统删除旧的证书并重新运行命令。

要更改 SFCB 使用证书的方式，请参见第 35.2.3.3 节 “身份验证”。

默认情况下，将 SFCB 配置为接受通过安全端口 5989 的所有通讯。以下段落描述通讯端口的设置和建议的配置。

如果希望更改默认端口指派，请参见第 35.2.3.2 节 “端口”。

SFCB 支持 HTTP 基本身份验证和基于客户端证书的身份验证（通过 SSL 连接的 HTTP）。基本 HTTP 身份验证通过在 SFCB 配置文件（默认是 /etc/sfcb/sfcb.cfg）中指定 doBasicAuth =true 来启用。SFCB 的 SUSE® Linux Enterprise Server 安装支持可嵌入身份验证模块 (PAM) 方式；因此本地 root 用户可以用本地 root 身份凭证向 SFCB CIMOM 验证。

如果 sslClientCertificate 配置属性设置为 accept 或 require，SFCB HTTP 适配器通过 HTTP over SSL (HTTPS) 连接时，会从客户端请求证书。如果指定了 require，客户端必须提供有效的证书（根据通过 sslClientTrustStore 指定的客户端信任储存）。如果客户端未能提供，CIM 服务器将拒绝该连接。

sslClientCertificate =accept 设置可能不是显式的。如果同时允许基本和客户端证书身份验证，它将很有用。如果客户端能提供有效的证书，将建立 HTTPS 连接，并且不会执行基本身份验证过程。如果该功能不能校验证书，则会发生 HTTP 基本身份验证。

指定 sfcbd 用于侦听接收自 CIM 客户端的 HTTP（非安全）请求的本地端口值。默认值是 5988。

httpPort: PORT_NUMBER

指定 SFCB 是否接受 HTTP 客户端的连接。默认为 false。

enableHttp: OPTION

指定在阻止新传入 HTTP 请求之前，HTTP 客户端连接的最大并行数。默认值是 8。

httpProcs: MAX_NUMBER_OF_CONNECTIONS

这些选项控制将运行 HTTP 服务器的用户。如果 httpUserSFCB 为 true，HTTP 将以 SFCB 主进程的同一用户身份运行。如果为 false，将使用为 httpUser 指定的用户名。此设置用于 HTTP 和 HTTPS 服务器。如果 httpUserSFCB 设置为 false，则必须指定 httpUser。默认值为 true。

httpUserSFCB: true

指定是否将 HTTP 请求限制为仅 localhost。默认为 false。

httpLocalOnly: false

指定 sfcbd 侦听来自 CIM 客户端的 HTTPS 请求的本地端口值。默认值是 5989。

httpsPort: 端口号

指定 SFCB 是否接受 HTTPS 客户端连接。默认值是 true。

enableHttps: 选项

指定在阻止新传入 HTTPS 请求之前，HTTPS 客户端连接的最大并行数。默认为 8。

httpsProcs: MAX_NUMBER_OF_CONNECTIONS

指定 SFCB 是否为指示支持提供 interop 名称空间。默认值是 true。

enableInterOp: OPTION

指定并发提供程序进程的最大数。达到这点之后，如果有新传入请求要求装载新提供程序，则现有提供程序之一将自动卸载。默认值是 32。

provProcs: MAX_NUMBER_OF_PROCS

根据客户端用户标识符打开或关闭它接受请求之前所做的基本身份验证。默认值为 true，表示执行基本客户端身份验证。

doBasicAuth: OPTION

指定本地库名称。SFCB 服务器将装载该库以验证客户端用户标识符。默认值是 sfcBasicPAMAuthentication。

provProcs: MAX_NUMBER_OF_PROCS

该选项启用或禁用 HTTP/HTTPS“分块”。如果启用，服务器将通过多个较小的“块”将大量响应数据返回客户端，而不是缓存数据并集中在一个块中全部送回。默认值是 true。

useChunking: OPTION

指定一个连接上的 SFCB HTTP 进程在两次请求之间最多等待多少秒就终止。将它设置为 0 将禁用 HTTP keep-alive。默认值是 0。

keepaliveTimeout: SECS

指定一个连接上连续请求的最大数。将它设置为 0 将禁用 HTTP keep-alive。默认值是 10。

keepaliveMaxRequest: NUMBER_OF_CONNECTIONS

指定注册目录，它包含提供程序的注册数据、分阶段区域和静态储存库。默认值是 /var/lib/sfcb/registration。

registrationDir: DIR

指定 SFCB 搜索提供程序库的目录的空格分隔列表。默认值是 /usr/lib64 /usr/lib64 /usr/lib64/cmpi。

providerDirs: DIR

指定提供程序管理器间隔多少秒检查空闲的提供程序。默认值是 30。

providerSampleInterval: SECS

指定提供程序管理器经过多少秒的间隔就卸载空闲的提供程序。默认值是 60。

providerTimeoutInterval: SECS

如果提供程序注册文件未指定任何其他组，而该选项设置为 true，则同一共享库内的所有提供程序都将在同一进程中执行。

providerAutoGroup: OPTION

指定包含服务器证书的文件的名称。该文件必须是 PEM (保密邮件，RFC 1421 和 RFC 1424）格式。只有当 enableHttps 设置为 true 时才需要该文件。默认值是 /etc/sfcb/server.pem。

sslCertificateFilePath: PATH

指定包含服务器证书私用密钥的文件的名称。该文件必须是 PEM 格式且不能有通行口令的保护。该文件仅当 enableHttps 设置为 true 时才需要。默认值是 /etc/sfcb/file.pem。

sslKeyFilePath: PATH

指定包含客户端的 CA 或自我签名证书的文件的名称。该文件必须是 PEM 格式，只有当 sslClientCertificate 设置为 accept 或 require 时才需要。默认值是 /etc/sfcb/client.pem。

sslClientTrustStore: PATH

指定 SFCB 处理基于客户端证书的身份验证的方式。如果设置为 ignore，将不会从客户端请求证书。如果设置为 accept，它会从客户端请求证书，但即使客户端没有证书也不会失败。如果设置为 require，会在客户端不存在证书时拒绝客户端连接。默认值是 ignore。

sslClientCertificate: OPTION

指定用于请求基于客户端证书的用户身份验证的本地库名称。只有当 sslClientCertificate 未设置成 ignore 时才这样请求。默认值是 sfcCertificateAuthentication。

certificateAuthLib: FILE

指定 SFCB 的跟踪级别您可以通过设置环境变量 SFCB_TRACE_LEVEL 覆盖它。默认值是 0。

traceLevel: NUM_LEVEL

指定 SFCB 的跟踪掩码。您可以用命令行选项 --trace-components 覆盖它。默认值是 0。

traceMask: MASK

为 SFCB 指定跟踪文件。您可以通过设置环境变量 SFCB_TRACE_FILE 覆盖它。默认值是 stderr（标准错误输出）。

traceFile: OUTPUT

类储存库就是 SFCB 储存 CIM 类信息的位置。它通常由包含名称空间组件的目录树组成。典型的 CIM 名称空间如 root/cimv2 或 root/interop，它们会分别转换为文件系统上的类储存库目录路径

/var/lib/sfcb/registration/repository/root/cimv2

和

/var/lib/sfcb/registration/repository/root/interop

每个名称空间目录都包含文件 classSchemas。该文件中有该名称空间下注册的所有 CIM 类的已编译二进制表示。它还包含有关其 CIM 超类的必要信息。

此外，每个名称空间目录都可能包含文件 qualifiers，其中包含了该名称空间的所有限定符。sfcbd 重启动时，类提供程序会扫描目录 /var/lib/sfcb/registration/repository/ 及其全部子目录，以确定注册的名称空间。然后将解码 classSchemas 文件，为每个名称空间构建类的层次结构。

SFCB 不能在线处理 CIM 类。您需要脱机添加、更改或去除类，然后使用 systemctl restart sfcb 重启动 SFCB 服务来注册这些更改。

为储存提供程序类和注册信息，SFCB 使用名为分阶段区域的位置。在 SUSE® Linux Enterprise Server 系统上，它就是 /var/lib/sfcb/stage/ 下的目录结构。

为添加新的提供程序，您必须：

分阶段目录中有两个默认的 “mof”（类定义）文件：indication.mof 和 interop.mof。运行 sfcbrepos 命令后，root 阶段目录 /var/lib/sfcb/stage/mofs 下的 MOF 文件将复制到每个名称空间。interop.mof 将只编译到 interop 名称空间。

目录布局看上去如下所示：

tux > ls /var/lib/sfcb/stage
default.reg  mofs  regs

tux > ls /var/lib/sfcb/stage/mofs
indication.mof  root

tux > ls /var/lib/sfcb/stage/mofs/root
cimv2  interop  suse  virt

tux > ls -1 /var/lib/sfcb/stage/mofs/root/cimv2 | less
Linux_ABIParameter.mof
Linux_BaseIndication.mof
Linux_Base.mof
Linux_DHCPElementConformsToProfile.mof
Linux_DHCPEntity.mof
[..]
OMC_StorageSettingWithHints.mof
OMC_StorageVolumeDevice.mof
OMC_StorageVolume.mof
OMC_StorageVolumeStorageSynchronized.mof
OMC_SystemStorageCapabilities.mof

tux > ls -1 /var/lib/sfcb/stage/mofs/root/interop
ComputerSystem.mof
ElementConformsToProfile.mof
HostSystem.mof
interop.mof
Linux_DHCPElementConformsToProfile.mof
[..]
OMC_SMIElementSoftwareIdentity.mof
OMC_SMISubProfileRequiresProfile.mof
OMC_SMIVolumeManagementSoftware.mof
ReferencedProfile.mof
RegisteredProfile.mof

tux > ls -1 /var/lib/sfcb/stage/regs
AllocationCapabilities.reg
Linux_ABIParameter.reg
Linux_BaseIndication.reg
Linux_DHCPGlobal.reg
Linux_DHCPRegisteredProfile.reg
[..]
OMC_Base.sfcb.reg
OMC_CopyServices.sfcb.reg
OMC_PowerManagement.sfcb.reg
OMC_Server.sfcb.reg
RegisteredProfile.reg

tux > cat /var/lib/sfcb/stage/regs/Linux_DHCPRegisteredProfile.reg
[Linux_DHCPRegisteredProfile]
   provider: Linux_DHCPRegisteredProfileProvider
   location: cmpiLinux_DHCPRegisteredProfile
   type: instance
   namespace: root/interop
#
[Linux_DHCPElementConformsToProfile]
   provider: Linux_DHCPElementConformsToProfileProvider
   location: cmpiLinux_DHCPElementConformsToProfile
   type: instance association
   namespace: root/cimv2
#
[Linux_DHCPElementConformsToProfile]
   provider: Linux_DHCPElementConformsToProfileProvider
   location: cmpiLinux_DHCPElementConformsToProfile
   type: instance association
   namespace: root/interop

SFCB 对每个提供程序使用自定义提供程序注册文件。

注意：SBLIM 提供程序注册文件

SBLIM 网站上的所有 SBLIM 提供程序都已包括用于生成 SFCB 的 .reg 文件的注册文件。

SFCB 注册文件的格式是：

[<class-name>]
   provider: <provide-name>
   location: <library-name>
   type: [instance] [association] [method] [indication]
   group: <group-name>
   unload: never
   namespace: <namespace-for-class> ...

其中：

所有类定义和提供程序注册文件都储存在分阶段区域后，就需要用命令 sfcbrepos -f 重构建 SFCB 类储存库。

您可以用这种方式添加、更改或删除类。重构建类储存库后，用命令 systemctl restart sfcb 重启动 SFCB。

或者，SFCB 包包含一个实用程序，它会将提供程序类 mof 文件和注册文件复制到分阶段区域中正确的位置。

sfcbstage -r [provider.reg] [class1.mof] [class2.mof] ...

运行该命令后，您还需要重构建类储存库并重启动 SFCB 服务。