spnego身份驗證后的glassfish ldap授權

Question

我們使用Apache mod_proxy_http和SPNEGO成功實現了SSO。 在我的Java EE 6 Web應用程序中，我通過request.getRemoteUser（）獲得了經過身份驗證的用戶。

現在，什么是最好的授權方式。 我們的目標是檢查通過LDAP的Microsoft AD中用戶的特定角色成員身份。 用glassfish 3.1.2實現此目標的最佳方法是什么？

Answer 1

這取決於您的用例。 如果您只想從廣告中了解角色，則可以在LDAP上進行手動搜索。

例：

import javax.naming.*;
import javax.naming.directory.*;

public class test {

    public String ldapUri = "ldap://localhost";
    public String usersContainer = "cn=users,dc=example,dc=com"; // base DN for search
    public String username = "user";
    public String password = "pass";

    public static void main(String args[]){

    Hashtable env = new Hashtable();
    env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
    env.put(Context.PROVIDER_URL, ldapUri);
    env.put( Context.SECURITY_PRINCIPAL, username );
    env.put( Context.SECURITY_CREDENTIALS, password );
    env.put(Context.REFERRAL, "follow");

    try {
        DirContext ctx = new InitialDirContext(env);
        SearchControls ctls = new SearchControls();

        String name = "your_username"; // full DN name
        NamingEnumeration answer = ctx.search(usersContainer, "(member=" + name + ")",ctls );    

        while(answer.hasMore()) {
                SearchResult rslt = (SearchResult)answer.next();
                Attributes attrs = rslt.getAttributes();
                System.out.println(attrs.get("cn"));
            }

        ctx.close();


    } catch (NamingException e) {
        e.printStackTrace();
    }    
    }
 }

請注意，用戶名必須是用戶的完整DN，例如CN=user1,CN=users,DC=company,DC=com

如果要在應用程序中使用這些組進行角色分配，則有些棘手。 為此，您可能需要自定義ServerAuthModule （ 此處為示例），或者您必須修改SPNEGO部分以根據來自AD / LDAP的數據分配角色。