Hawt.io Web应用程序-用户权限

Question

我对hawt.io安全性有疑问。 我已经将hawt.io安装为Web应用程序（当前是其嵌入式码头，但我们也可以选择在嵌入式/常规模式下使用tomcat）。 Hawt.io可视化同一过程的JMX mbeans树，我们不连接到远程服务器，所有都是本地的。 我想做的是找到提供要使用的身份验证和授权机制的最佳方法：

• 用户身份验证：最好通过LDAP进行
• 用户授权：某些用户可以获得对所有mbean的完全访问权限，其他用户则被限制为不执行mbean操作，而只能读取属性。

我以为我可以安装一个Web过滤器，在码头上也可以在web.xml之外执行它并检查请求，但是由于hawt.io使用POST Web方法与内部jolokia通信，因此操作执行的标识符位于请求主体，因此我实际上没有从Web过滤器中访问它的权限，因为在Java Servlet中，我只能读取一次请求主体。 我知道我可以提供“虚假请求”，但也许存在更好的解决方案。

也许有人可以提供有关配置这样的安装的配置摘要。 提前谢谢

Answer 1

对于基于角色的授权，您可以预先查询用户是否有权访问给定的mbean / operation / attribute。 如果实现此接口 ，则可能可以与JMX的某些服务器端授权集成。 默认情况下，hawtio使用虚拟实现 ，可以让所有内容通过。 最初所有设计目的都是为了与为Apache Karaf实现的JMX保护功能配合使用，该功能公开了相同的mbean，但实际上确实限制了通过ACL配置的访问。 无论如何，通过扫描“ type = security; area = jmx”设置了客户端javascript来定位该mbean，只需在mbean中设置一个更高的“ rank”属性，然后javascript就会使用它。