JAAS für Menschen

Question

Ich habe es schwer, JAAS zu verstehen. Es scheint alles komplizierter als es sein sollte (besonders die Sun Tutorials). Ich brauche ein einfaches Tutorial oder ein Beispiel zur Implementierung von Sicherheit (Authentifizierung + Autorisierung) in Java-Anwendung basierend auf Struts + Spring + Hibernate mit benutzerdefinierten Benutzer-Repository. Kann mit ACEGI implementiert werden.

Answer 1

Hier sind einige der Links, die ich JAAS verstehen helfen verwendet:

http://www.owasp.org/index.php/JAAS_Tomcat_Login_Module

http://www.javaworld.com/jw-09-2002/jw-0913-jaas.html

http://jaasbook.wordpress.com/

http://roneiv.wordpress.com/2008/02/18/jaas-authentication-mechanism-is-it-possible-to-force-j_security_check-to-go-to-a-specific-page/

auch einen Blick auf die tomcat Realms Apache haben Konfigurationsanleitung:

http://tomcat.apache.org/tomcat-6.0-doc/realm-howto.html

Answer 2

Für eine rein JAAS Tutorial überprüfen this aus. Es ist alt, aber sollte mit den JAAS Grundlagen helfen.

Answer 3

ich viel zu JAAS auch nicht sprechen kann sich, aber das "suggested steps" guide auf Spring Security und the reference manual sind beide ziemlich gute Ressourcen auf Spring Security - wenn Ihr Setup alles in der Nähe ist einfach, Sie nicht wirklich muss viel mehr tun als diese zu lesen.

Answer 4

Andere Benutzer haben oben einige sehr nützliche Links zur Verfügung gestellt, so dass ich mich nicht um Links kümmern werde. Ich habe eine ähnliche Recherche in JAAS für Web-Anwendungen durchgeführt und bin in einen "Mind-Roadblock" geraten, bis ich schließlich feststelle, dass JAAS ein Framework ist, das Sicherheit auf einer anderen "Schicht" anwendet als Web-Anwendungen in der Java-Welt. Es wurde entwickelt, um Sicherheitsprobleme in Java SE und nicht in Java EE anzugehen.

JAAS ist eine Framework Sicherheit gebaut für Dinge auf einem viel niedrigeren Niveau dann Web-Anwendung zu sichern. Einige Beispiele für diese Dinge sind Code und Ressourcen, die auf JVM-Ebene verfügbar sind, also all diese Möglichkeiten, Richtliniendateien auf JVM-Ebene festzulegen.

Da jedoch Java EE auf der Java SE, einige Module von JAAS wurden in Java EE Sicherheit wie die LoginModules und Rückrufe wiederverwendet gebaut wird.

Beachten Sie, dass zusätzlich zur Java EE-Sicherheit auch Spring Security (ehemals Acegi) vorhanden ist, die ähnlich wie die systemeigene Java EE-Sicherheit eine viel höhere "Schicht" beim Sichern von Webanwendungsproblemen anwendet. Es ist eine separate Sicherheitsimplementierung und basiert nicht auf der standardmäßigen Java EE-Sicherheit, obwohl es sich in vielerlei Hinsicht ähnlich verhält.

Zusammengefasst, es sei denn, Sie suchen Ressourcen auf der Java SE-Ebene (Klassen, Systemressourcen) zu sichern, sehe ich keine echte Verwendung von JAAS anders als die Verwendung der gemeinsamen Klasse und Schnittstellen. Konzentrieren Sie sich einfach auf die Verwendung von Spring Security oder der einfachen alten Java EE-Sicherheit, die beide eine Menge gängiger Probleme mit der Webanwendungssicherheit lösen.

Answer 5

javax.security ist imho überkomplizierte API. Daher gibt es nicht nur Implementierungsmodule von LoginModules, sondern auch die gesamte Authentifizierungs- und Autorisierungs-API, die Abstraktionsschicht oben erzeugt, wie Authentifizierung & Autorisierungsmanager.

Für den Anfang ist es gut, this in Ihren Speicher zu drucken.

Zweitens, imho die einfachste, Setup & Go-Bibliothek für JAAS ist Jboss PicketBox. Sie erfahren, wie Sie die Authentifizierung und Autorisierung über JBossAuthenticationManager und JBossAuthorizationManager durchführen können ... Einfach konfigurierbar über XML oder Anmerkungen. Sie können damit Webapps und eigenständige Anwendungen verwalten.

Wenn Sie den Autorisierungsteil für die Verwaltung des Repository-Zugriffs in Bezug auf ACL für Ressourcen benötigen, ist dies genau das, wonach Sie suchen.

Problem mit der Sicherheit, die Sie benötigen in der Regel an Ihre Bedürfnisse anpassen, so dass Sie die Umsetzung bis Ende Mai:

Loginmodule - prüft Benutzername + Passwort

Callbackhandler verwendet wird, wie Diese new LoginContext("Sample", new MyCallbackHandler());

CallbackHandler wird an die zugrunde liegenden LoginModule weitergegeben, damit sie mit den Benutzern kommunizieren und interagieren können - Aufforderung zur Eingabe eines Benutzernamens und Passworts über eine grafische Benutzerschnittstelle zum Beispiel. Innerhalb des Handlers erhalten Sie den Benutzernamen und das Passwort vom Benutzer und es wird an das LoginModul übergeben.

LoginContext - dann rufen Sie einfach lc.login(); und authentifizieren die Anmeldeinformationen. LoginContext wird mit dem authentifizierten Betreff ausgefüllt.

Allerdings bietet Jboss Picketbox Ihnen einen wirklich einfachen Weg zu gehen, es sei denn, Sie brauchen etwas Bestimmtes.

Answer 6

lsiu Antwort ist eine der wenigen Antworten hier, die „get it“ wirklich;)

Zusätzlich zu dieser Antwort, eine wirklich gute Referenz zu diesem Thema Whatever Happened to JAAS? ist.

Es wird erläutert, wie JASPIC der Link in Java EE zwischen den Servlet- und EJB-Sicherheitsmodellen und möglicherweise einem JAAS-Anmeldemodul ist. In vielen Fällen reduziert sich die Rolle von JAAS jedoch auf einen relativ einfachen Benutzernamen und Rollenanbieter in Java EE.

Aus dem gleichen Autor ist JAAS in the Enterprise, die ein älterer Artikel ist, bietet aber eine Menge historischer Hintergrund, warum die Java SE (JAAS) und Java EE-Modelle die Art und Weise, wie sie auseinander gingen.

Insgesamt werden jedoch einige Typen von JAAS direkt in Java EE verwendet, im Wesentlichen Principal, Subject und CallbackHandler. Die letzteren beiden werden hauptsächlich von JASPIC verwendet. Ich habe JASPIC im Artikel Implementing container authentication in Java EE with JASPIC erklärt.