3

/ public/authenticateにマップされるWebサービスとして単純なPOJOがあります。

 WebService
 @SOAPBinding(style = SOAPBinding.Style.DOCUMENT)
 public class AuthWS{

   @WebMethod
   public boolean doAuthenticate(String securityToken) {
    ....
   }
}

このWebサービスは認証を必要とせず、保護されたリソースではありません。

パスにマップされた他のプライベートWebサービスがあります：/ private / ws / *;

今のところ、データベースログインモジュールが設定されているセキュリティドメインを使用しています。正常に動作しますが、ユーザーはまず、/j_security_checkへのPOSTリクエストを行うWebフォームベースで認証する必要があります。このステップの後でのみ、ユーザーは他のプライベートWebサービスを使用できます。

クライアントがこのdoAuthenticateメソッドを呼び出した後、プログラムで認証を実行したいと思います。そのため、クライアントは他の/ private / ws /*Webサービスメソッドを呼び出すことができます。

達成したいことを入力します。

@WebService
@SOAPBinding(style = SOAPBinding.Style.DOCUMENT)
public class AuthWS{

@WebMethod
public boolean doAuthenticate(String securityToken) {
      SomeSecurityManager manager= SomeSecurityManager.getDefaultManager()
      Map<String,Object> map = new HashMap<String, Object>();
      map.put("MY_CUSTOM_SECURITY_TOKEN",securityToken);
      manager.doLogin(map);
    // after webservice method returns, client should now be able to invoke other private webservice
    // this means that the manager should associate with this session an authenticated user.
    // in order that authorization to work.
  }
}

そして私のCustomLoginModule：

class CustomLogModule implements LoginModule {

  ...
   public void initialize(Subject subject, CallbackHandler callbackHandler, Map<String, ?> sharedState, Map<String, ?> options) {
       // store what's needed
   } 


  public boolean login(){ 
    // get securityToken send from the SomeSecurityManager and validate it.
    // get user information from that token and store into Subject object.
  } 
}

また、JAAS LoginModuleを実装するCustomLoginModuleで、カスタムロジックを使用してそのsecurityTokenをチェックし、たとえば公開鍵で正しく署名されているかどうかを確認します。そのsecurityTokenには、プリンシパルに関する情報が含まれています。

詳細が必要な場合は、お気軽にお問い合わせください。

ありがとう。

編集済み

1.）module.xmlと一緒にcustom-login-module.jarを作成しました

<module xmlns="urn:jboss:module:1.1" name="custom.login.module">
    <resources>
        <resource-root path="custom-login-module.jar"/>
    </resources>


    <dependencies>
        <module name="org.picketbox"/>
        <module name="javax.api"/>
        <module name="org.slf4j"/>
    </dependencies>
</module>

2.）custom-login-module.jarとmodule.xmlをjboss-as-7.1.1.Final \ modules \ custom \ login\moduleに追加しました

3.）custom-login-module.jarに含まれるもの：パブリッククラスCustomCallbackHandlerはCallbackHandlerを実装します{

    private static final Logger LOGGER = LoggerFactory.getLogger(CustomCallbackHandler.class);
    private String token;

    public CustomCallbackHandler(String token) {
        this.token= token;
    }

    public String getToken() {
        return token;
    }

    @Override
    public void handle(Callback[] callbacks) throws IOException, UnsupportedCallbackException {
        for (Callback callback : callbacks) {
            if (callback instanceof TokenCallback) {
                ((TokenCallback) callback).setToken(token);
            }
        }
    }
}

public class TokenCallback implements Callback {
 private static final Logger LOGGER = LoggerFactory.getLogger(TokenCallback.class);
 private String token;

 public TokenCallback() {
 }

 public String getToken() {
     return token;
 }

 public void setToken(String token) {
     LOGGER.info("Setting token = " + token);
     this.token = token;
 }
}

public class CustomLoginModule extends AbstractServerLoginModule {
 private static final Logger LOGGER = LoggerFactory.getLogger(CustomLoginModule.class);

 @Override
 public boolean login() throws LoginException {
     LOGGER.info("Doing login()");
     boolean login = super.login();
     super.loginOk = true;
     return login;
 }

 @Override
 protected Principal getIdentity() {
     return new UserPrincipal("some user");
 }

 @Override
 protected Group[] getRoleSets() throws LoginException {
     return new Group[]{new MyGroup()}; // that and has name 'dummy'
 }
}

これらは単なるダミーの実装です。

私のWebアプリケーションは.warアーカイブ内からデプロイされます。そしてそれは以下を含みます：jboss-web.xml

<?xml version='1.0' encoding='UTF-8' ?>
<!DOCTYPE jboss-web
    PUBLIC -//JBoss//DTD Web Application 2.3V2//EN
    http://www.jboss.org/j2ee/dtd/jboss-web_3_2.dtd>
 <jboss-web>
    <security-domain>custom-auth</security-domain>
 </jboss-web>

web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://java.sun.com/xml/ns/javaee"
     xmlns:web="http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
     xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
     id="WebApp_ID" version="2.5">
    <display-name>WebApp</display-name>
    <session-config>
        <session-timeout>120</session-timeout>
    </session-config>
    <security-constraint>
        <web-resource-collection>
           <web-resource-name>All resources</web-resource-name>
           <description>Protects all private resources</description>
           <url-pattern>/private/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>dummy</role-name>
        </auth-constraint>
        <user-data-constraint>
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>
        </user-data-constraint>
    </security-constraint>

    <security-role>
        <role-name>dummy</role-name>
    </security-role>

    <servlet>
        <servlet-name>Private</servlet-name>
        <servlet-class>com.company.private.PrivateWs</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>Private</servlet-name>
        <url-pattern>/private/PrivateWs</url-pattern>
    </servlet-mapping>

    <servlet>
        <servlet-name>AuthWS</servlet-name>
        <servlet-class>com.company.auth.AuthWS</servlet-class>
    </servlet>
     <servlet-mapping>
        <servlet-name>AuthWS</servlet-name>
        <url-pattern>/AuthWS</url-pattern>
    </servlet-mapping>
</web-app>

@WebService
@SOAPBinding(style = SOAPBinding.Style.DOCUMENT)
public class AuthWS{
private static final Logger LOGGER = LoggerFactory.getLogger(AuthWS.class);


@WebMethod
public boolean doAuthenticate(String token) {
    tryProgrammaticLogin(token);
    return true;
}


private void tryProgrammaticLogin(String token) {
    LoginContext loginContext = null;
    try {
        loginContext = new LoginContext("custom-auth", new CustomCallbackHandler(token));
        loginContext.login();
    } catch (LoginException e) {
        LOGGER.info("Some problem occured when trying to custom login.", e);
    }
}
}

wsクライアントからのdoAuthenticateの呼び出しは機能しますが、問題は、ProgrammaticLoginを試行した後に例外が発生することです。また、PrivateWSはクライアントからアクセスできません。

17:33:40,901 INFO  [com.mycompany.AuthWS] (http--0.0.0.0-8080-1) Some problem occured when trying to custom login.: javax.security.auth.login.LoginException: Login Failure: all modules ignored
      at javax.security.auth.login.LoginContext.invoke(LoginContext.java:921) [rt.jar:1.6.0_26]
      at javax.security.auth.login.LoginContext.access$000(LoginContext.java:186) [rt.jar:1.6.0_26]
      at javax.security.auth.login.LoginContext$4.run(LoginContext.java:683) [rt.jar:1.6.0_26]
      at java.security.AccessController.doPrivileged(Native Method) [rt.jar:1.6.0_26]
      at javax.security.auth.login.LoginContext.invokePriv(LoginContext.java:680) [rt.jar:1.6.0_26]
      at javax.security.auth.login.LoginContext.login(LoginContext.java:579) [rt.jar:1.6.0_26]

jboss設定ディレクトリのstandalone.xmlには以下が含まれます。

<security-domain name="custom-auth">
    <authentication>
         <login-module code="com.mycompany.CustomLoginModule" flag="required" module="custom.login.module"/>
    </authentication>
</security-domain>

新しいLoginContextオブジェクトを作成して認証を行う方法が正しい方法であるかどうかを教えてください。この問題が発生する理由がわかりません。

4

0 に答える 0