Hawt.io Web應用程序-用戶權限

Question

我對hawt.io安全性有疑問。 我已經將hawt.io安裝為Web應用程序（當前是其嵌入式碼頭，但我們也可以選擇在嵌入式/常規模式下使用tomcat）。 Hawt.io可視化同一過程的JMX mbeans樹，我們不連接到遠程服務器，所有都是本地的。 我想做的是找到提供要使用的身份驗證和授權機制的最佳方法：

• 用戶身份驗證：最好通過LDAP進行
• 用戶授權：某些用戶可以獲得對所有mbean的完全訪問權限，其他用戶則被限制為不執行mbean操作，而只能讀取屬性。

我以為我可以安裝一個Web過濾器，在碼頭上也可以在web.xml之外執行它並檢查請求，但是由於hawt.io使用POST Web方法與內部jolokia通信，因此操作執行的標識符位於請求主體，因此我實際上沒有從Web過濾器中訪問它的權限，因為在Java Servlet中，我只能讀取一次請求主體。 我知道我可以提供“虛假請求”，但也許存在更好的解決方案。

也許有人可以提供有關配置這樣的安裝的配置摘要。 提前謝謝

Answer 1

對於基於角色的授權，您可以預先查詢用戶是否有權訪問給定的mbean / operation / attribute。 如果實現此接口 ，則可能可以與JMX的某些服務器端授權集成。 默認情況下，hawtio使用虛擬實現 ，可以讓所有內容通過。 最初所有設計目的都是為了與為Apache Karaf實現的JMX保護功能配合使用，該功能公開了相同的mbean，但實際上確實限制了通過ACL配置的訪問。 無論如何，通過掃描“ type = security; area = jmx”設置了客戶端javascript來定位該mbean，只需在mbean中設置一個更高的“ rank”屬性，然后javascript就會使用它。