問題タブ [realm]

Tomcat 7.0.32（ここでは疑似XMLで記述）で次のようにレルムをネストしようとしています。

これは機能していないようです-Tomcatにレルムを2つ以上のレベルでネストすることは可能ですか？ログに警告が表示されます。

背後にある考え方は、Webサービスには、ロックアウトしてはならない重要なユーザー（DOSなど）と、lockoutRealmをアクティブにする必要のある弱いパスワードを持つ通常のユーザーがいるということです。他の人もこの状況にあったと思います。

これを実現する別の方法（たとえば、LockoutRealmのホワイトリスト）がある場合は、お知らせください。

シングルサインオンも必要です。

ロックアウトしないアカウントのリストを使用して既存のLockoutRealmコードを拡張することもできますが、自分のレルムを作成することにそれほど熱心ではありません。そのレベルのカスタムコードをTomcatに追加したくないのです。他の人のセットアップは複雑で、Tomcatを更新するたびに壊れることがあります。

助けてくれてありがとう！

これが私のテスト設定のserver.xmlの関連部分です：

現在、GlassfishでJPA / EJB / JSFアプリケーションを実行しており、認証にセキュリティJDBCレルムを使用しています。レルムは非常にうまく機能し、顧客がナビゲーションの小さな変更を要求するまで、要件を満たしています。

現在、保護されたページにアクセスしようとすると、認証メカニズムによってweb.xmlで指定されたログインページにリダイレクトされます。完全！認証が成功すると、アクセスしようとしていたページにリダイレクトされます。けっこうだ。ただし、顧客は、認証が成功するたびに、ユーザーが以前にアクセスしようとしていたページに関係なく、代わりにホームページにリダイレクトする必要があると判断しました。問題は、認証が成功するたびに固定ページにリダイレクトされるように、レルムをどのように変更できるかということです。

PHPを使用して、Apache HTTPサーバー（バージョン2.2）にHTTP基本認証を実装しています。パスワードで保護したい唯一のディレクトリは、私のWebサイトのメインのパブリックWebルートのサブディレクトリです（たとえば、保護されたディレクトリを「/ private」と呼び、そのレルムを「Private」と呼びましょう）。

可能であれば、「プライベート」レルムですでに認証されているユーザー（およびそれらのユーザーのみ）に、Webサイトのホームページ（さらに言えば、他のWebページ）でカスタマイズされたコンテンツを表示してもらいたいと思います。

私が知りたいのは、ドメインのトップレベルのトップレベルでログインプロンプトを強制せずにこれを行うことは可能ですwww.jdclark.orgか（たとえば、「プライベート」レルムの場合は外部の他のURI）？

編集：

上記を実現するために適用することを考えた1つの手法は、次のとおりです。ユーザーが「/ private」ディレクトリのアクセス制御を介して「Private」レルムに認証されると、PHPでセッションCookieを設定できます。次に、このCookieの存在を確認できます（セッションIDまたはある種の一意のランダムな文字列が含まれている可能性があります）が、ITセキュリティの専門家であるとは宣言していませんが、この方法は少し「ハック」と感じます、」と何かが私にこれは安全ではないことを教えてくれます（たとえば、悪意のあるユーザーがそのCookieをHTTPヘッダーで偽装するのは簡単でしょうか？）。アドバイスをいただければ幸いです。

MavenWebアプリケーションのユーザー認証を構築しています。Glassfishで新しいJDBCレルムを作成し、JPAを使用してドメインクラスを設定しました。作成したユーザーでログインして、特定の役割があるかどうかを確認できます。ただし、Beanを保護すると、いつでもアクセスできます。たとえば、@ RolesAllowed、@ DenyAllなど、セキュリティアノテーションは無視されます。

Spring ベースの Web アプリケーションで、shiro 1.2.1 を使用した authenticationStrategy 設定に苦労しています。私は2つの領域を持っています。1 つは LDAP に対して認証し、もう 1 つは LDAP に対して認証しdatabaseます。どちらrealmsも私が欲しかっただけでうまく機能していますFirstSuccessfulStrategyが、両方のレルムがまだ呼び出されているようです。ここに私のセキュリティアプリケーションコンテキストがあります:

私がうまくやっていないことはありますか？

Tomcat 7 で MySql 接続プールを使用してレルムをセットアップしようとしています。すべてのドキュメントを読み、人々が経験した多くの同様の問題を読みましたが、すべてうまくいきませんでした。

私は接続プール用に Tomcat 7 を構成しましたが、これは test.jsp を使用して正常にテストできました (図 1)。

図 2 は、アプリケーションのコンテキスト ファイルです。コメントアウトされたレルムは機能することに注意してください（コメントアウトされていない場合は明らかに）が、接続プールまたはjndiリソースを使用していないと思います。代わりに、毎回新しい接続を作成します。コメントアウトされていないレルムは、JNDI 構成済み接続プールを参照します。これは、図 1 のテスト コードが使用するのと同じ JNDI リソースです。ただし、レルムがユーザーのログイン要求を認証しようとすると、例外がスローされます (図 3) Name jdbc is not bound in this Context。ここで DataSourceRealm を使用するのは間違っていますか? 私は何が欠けていますか？

図 1 - test.jsp (正常に動作):

図 2 - Context.xml:

図 3 - 私が得る例外:

それはおそらく私が犯しているばかげた間違いかもしれませんが、ここ数日それに取り組んでいます。