Glassfish Apacheとの連携 (mod_proxy_http)

2024-04-212024
30.3% (111/366)
April
66.8% (20/30)
Week 16
86.5% (6/7)
Day 21 Sun
5.5% (1.3/24)

訪問者

total: 42865
today: 1
yesterday: 4
now: 9

更新

MenuBar

Apacheのインストール
SELinuxの設定 (httpdがSocket通信をはじめることを許可する)
mod_proxy_http の設定
実行結果
Apache を SSL-Reverse Proxy にする
mod_proxy_http vs mod_proxy_ajp
Location ごとに mod_proxy_ajp と mod_proxy_http を切り替える

Apacheのインストール †

# yum -y install http
# /sbin/chkconfig httpd --level 35 on
# /sbin/chkconfig --list httpd
httpd          	0:off	1:off	2:off	3:on	4:off	5:on	6:off

↑

SELinuxの設定 (httpdがSocket通信をはじめることを許可する) †

GUIで設定

# yum -y install policycoreutils*
# /usr/bin/system-config-selinux

httpd_can_network_connect を on にする

CUIの場合

# /usr/sbin/setsebool httpd_can_network_connect true

でも OK

この設定をしないと /var/www/html/error_log にこんなエラーが出ます

[Sat Jan 21 23:01:48 2012] [error] (13)Permission denied: proxy: HTTP: 
attempt to connect to 127.0.0.1:8080 (127.0.0.1) failed

↑

mod_proxy_http の設定 †

/etc/httpd/conf/httpd.conf を編集する

#
# Proxy Server directives. Uncomment the following lines to
# enable the proxy server:
#
<IfModule mod_proxy.c>
ProxyRequests Off
<Proxy *>
    Order deny,allow
    Allow from all
</Proxy>
ProxyPass /glassfish/ http://127.0.0.1:8080/
ProxyPassReverse /glassfish/ http://127.0.0.1:8080/
ProxyPassReverseCookieDomain 127.0.0.1:8080 app.example.com
ProxyPassReverseCookiePath / /glassfish/
</IfModule>

設定内容

　　　　　　　　　　　 app.example.com　　　　 127.0.0.1:8080
┌─────┐――①―→┌─────┐――②―→┌─────┐
│ブラウザ　│　　　　　│Apache　　│　　　　　│Glassfish │
└─────┘←―④――└─────┘←―③――└─────┘
　　　　　　　　　　　　 (mod_proxy)

設定項目	概要
ProxyRequests?	On:フォワードプロキシ(①→任意のWebサイト)、Off:リバースプロキシ(①→②)。必ず Off にする
<Proxy *>	誰でも Proxy 機能が使えるように Allow from all に変更する
ProxyPass?	①→②の request header の書き換え定義。/glassfish/ に対するアクセスを http://127.0.0.1:8080/ に転送する
ProxyPassReverse?	③→④のリダイレクト要求(Location, Content-Location)の http://127.0.0.1:8080/ を /glassfish/ に書き換える
ProxyPassReverseCookieDomain?	③→④の Set-Cookie ヘッダの domain 要素を　127.0.0.1:8080 から app.example.com に書き換える。書き換え元と先の指定順番が ProxyPassReverse? と逆。必要ないかも→アプリの実際の振る舞いをみて調整する
ProxyPassReverseCookiePath?	③→④の Set-Cookie ヘッダの path 要素を / から /glassfish/ に書き換える。書き換え元と先の指定順番が ProxyPassReverse? と逆。必要ないかも→アプリの実際の振る舞いをみて調整する必要あり

参考文献
- mod_proxy について → http://httpd.apache.org/docs/2.2/ja/mod/mod_proxy.html
- Set-Cookie について → http://www.studyinghttp.net/cookies
- HTTP の解析は、firefox の httpfox プラグインを使うと便利 → https://addons.mozilla.org/ja/firefox/addon/httpfox/

↑

実行結果 †

apache 経由で glassfish にアクセスできた
glassfish (http://app.example.com:8080/)
apache経由 (http://app.example.com/glassfish/)

↑

Apache を SSL-Reverse Proxy にする †

　　　　　　　　　　　      app.example.com　　　　    127.0.0.1:8080
┌─────┐―HTTPS(443)→┌─────┐―HTTP(8080)→┌─────┐
│ブラウザ　│　　　 　　　 │Apache　　│　　　　　  　│Glassfish │
└─────┘←HTTPS(443)―└─────┘←HTTP(8080)―└─────┘
　　　　　　　　　　　　      (mod_proxy)

mod_ssl をインストールする
```
# yum -y install mod_ssl
```
とりあえず暗号化するだけならこれで OK。
自前のおれおれ証明書や、認証機関の署名のある証明書を使う場合は、
→Fedora13 apache

↑

mod_proxy_http vs mod_proxy_ajp †

Apache と JavaEE サーバの接続について
普通は mod_proxy_ajp ではなくて mod_proxy_http でいいんではないでしょうか
- 参考文献 : mod_proxy_httpとmod_proxy_ajpとmod_jk、ありえあるあ、2009/07/14、http://dev.ariel-networks.com/Members/inoue/tomcat-apache/
Tomcat 7 の Keep-Alive のデフォルト値は 20000 秒 (5.5時間)。Apache との連携を想定した値
なにより楽
- ajp が機能しているかは調べにくいが、http が機能しているかはブラウザからアクセスしてやれば分かる　
- ajp の場合、Tomcat と Apache の起動順に気を配る必要があるが、http なら気にしなくていい
ただし、複雑に Cookie や証明書をやりとりするような特殊な場合 (SAMLを使う場合など) には、ajp を使わないと巧くいかない
- mod_proxy_http では、JavaEE サーバは、自分は 127.0.0.1 だと思って動いている。リダイレクトや Cookie は apache 側で置換される
- mod_proxy_ajp では、JavaEE サーバは、自分は app.example.com だと思って動いている

↑

Location ごとに mod_proxy_ajp と mod_proxy_http を切り替える †

　　　　　　　　　　　      app.example.com　　　　    
┌─────┐―/glassfish→┌─────┐―HTTP(8080)→[Glassfish 127.0.0.1:8080/Glassfish]
│ブラウザ　│　　　 　　　 │Apache　　│　　　　  　　
└─────┘―/openam ―→└─────┘―AJP (9009)→[Tomcat    127.0.0.1:9009/openam]
　　　　　　　　　　　　      (mod_proxy)

※ openam は、mod_proxy_http だと Cookie ドメイン名の関係でうまく動かなかった
※ openam の ajp ポートはデフォルトの 8009 から 9009 に変更してある
※ openam の http (9080*1) は止めない方が吉。firewall (iptables) で外から触らせないようにしておき、ssh 経由(X や port-forward)でアクセスできるようにしておいた方が精神衛生上よい

/etc/httpd/conf/httpd.conf

#
# Proxy Server directives. Uncomment the following lines to
# enable the proxy server:
#
<IfModule mod_proxy.c>
ProxyRequests Off
<Proxy *>
    Order deny,allow
    Allow from all
</Proxy>
<Location "/glassfish/">
   ProxyPass http://127.0.0.1:8080/
   ProxyPassReverse http://127.0.0.1:8080/
</Location>
 
<Location "/openam">
   ProxyPass ajp://127.0.0.1:9009/openam
</Location>
</IfModule>
# End of proxy directives.

http://app.example.com/openam で、tomcat に接続される
https://app.example.com/openam でも、tomcat に接続される (Apache が SSL の暗号化処理を行う。Tomcat は平文の HTTP を話しているだけ)
アプリケーション名 (ディレクトリ名) は、Apache の Location 設定と Tomcat のアプリ名を同じにしておくのが吉
- Apache の mod_proxy がやってくれるのは、HTTP ヘッダの書き換えのみで、コンテンツ(HTML) の書き換えはやってくれない
- Apache の Location を /sso として、Tomcat 側のアプリ名を /openam にすると HTML からの css や javascript の呼び出しに失敗する

強制的に https を使わせたい場合には mod_rewrite を使って、http でアクセスしてきた場合に https にリダイレクトさせる

Scientific Linux 6.1 では、Apache (httpd) と共にインストールされて、デフォルトの httpd.conf は mod_rewrite をロードする設定になっている。必要なのは設定のみ

/etc/httpd/conf.d/mod_rewrite.conf を作成する (httpd.conf の冒頭で /etc/httpd/conf.d/ 以下の設定ファイルが httpd.conf に結合されるよう設定されている)

<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteLog "logs/rewrite_log"
  RewriteLogLevel 0
  RewriteCond %{SERVER_PORT} !^443$
  RewriteRule ^/openam/(.*)?$ https://%{HTTP_HOST}/openam/$1 [R,L]
</IfModule>

mod_rewrite の URL 書き換えルール

RewriteEngine? On	Rewrite 規則のひとかたまりを示す。RewriteRule? の次にRewriteEngine? On を記述すると別の規則になる
RewriteCond?	以下の RewriteRule? を適用する条件。複数指定可能(AND条件になる)
RewriteRule?	URL の書き換えルール。複数指定可能(記述順に適用される)

RewriteRule? の終端記号

R	Rediret。ブラウザに 302 Moved Temporarily を返す。R=301 と書くと 301 Moved Permanently を返す。明示的に R=302 とも書ける
L	Last。この行のルールに基づき書き換えが行われた場合、以下の書き換えルールをさらに適用しない。普通は全行 L 指定
F	Forbidden。ブラウザに 403 Forbidden を返す。マッチングルールのみ記述
G	Gone。ブラウザに 410 Gone を返す。マッチングルールのみ記述

http://app.example.com/openam/ にアクセスすると https://app.example.com/openam/ にリダイレクトされる

Java#Glassfish