SPNego аутентификация с помощью JBoss

Настройте EAP JBoss для аутентификации SPNego

Ручное редактирование файла конфигурации standalone.xml в jboss-eap-6.2 / standalone / configuration

Добавьте системные свойства в этот файл.

<system-properties>
  <property name="java.security.krb5.conf" value="/tmp/spnego-in-as7/krb5.conf"/>
  <property name="java.security.krb5.debug" value="true"/>
  <property name="jboss.security.disable.secdomain.option" value="true"/>
</system-properties>

Не забудьте поместить этот блок сразу после блока расширений (около строки 25 файла конфигурации).

Добавьте домены безопасности в этот файл.

<security-domain name="SPNEGO" cache-type="default">
    <authentication>
         <login-module code="SPNEGO" flag="required">
            <module-option name="serverSecurityDomain" value="host"/>
         </login-module>
     </authentication>
     <mapping>
         <mapping-module code="SimpleRoles" type="role">
            <module-option name="[email protected]" value="Admin"/>
            <module-option name="[email protected]" value="User"/>
         </mapping-module>
     </mapping>
 </security-domain>
 <security-domain name="host" cache-type="default">
     <authentication>
         <login-module code="Kerberos" flag="required">
            <module-option name="debug" value="true"/>
            <module-option name="storeKey" value="true"/>
            <module-option name="refreshKrb5Config" value="true"/>
            <module-option name="useKeyTab" value="true"/>
            <module-option name="doNotPrompt" value="true"/>
            <module-option name="keyTab" value="/tmp/spnego-in-as7/http.keytab"/>
            <module-option name="principal" value="HTTP/[email protected]"/>
         </login-module>
     </authentication>
  </security-domain>

Не забудьте поместить эти блоки в блок 
<subsystem xmlns = «urn: jboss: domain: security: 1.2»> .

$ java -classpath kerberos-using-apacheds.jar org.jboss.test.kerberos.CreateKeytab HTTP/[email protected] httppwd http.keytab

Обратите внимание, что http.keytab был настроен в домене безопасности с именем «host» в standalone.conf. Поэтому поместите файл keytab соответствующим образом, исправляя путь, определенный в домене безопасности.

Более подробная информация доступна по адресу  https://github.com/kwart/kerberos-using-apacheds/blob/master/README.md. 

JBoss EAP потребуется файл keytab. В этом примере мы используем keytab, называемый http.keytab

Существуют различные инструменты, такие как ktutil, для создания файлов ключей. Файлы ключей содержат принципы Kerberos и зашифрованные ключи. Важно защитить файлы keytab.

It is very important that JBoss EAP configuration for keytab in the security domain "host" refers to the actual path of the keytab file.

Настройте свои браузеры для SPNego

Браузеры, такие как Microsoft IE, Mozilla Firefox, Google Chrome, Apple Safari, имеют различные настройки для включения SPNego или встроенной аутентификации.

Запустите JBoss EAP

Перейдите в каталог bin JBoss EAP 6.2 и используйте standalone.sh (Unix / Linux) или standalone.bat для запуска вашего экземпляра.

Протестируйте свое веб-приложение

Предполагая, что вы выполнили шаги Приложения A для запуска сервера Kerberos и сделали kinit, вы готовы протестировать веб-приложение.

В этой статье мы использовали spnego-demo, мы можем проверить это, перейдя к 

HTTP: // локальный: 8080 / SPNEGO-демо /

Вы можете щелкнуть ссылку «Страница пользователя» и увидеть имя участника как «[email protected]».

Приложение

Локальный сервер Kerberos

1. Загрузите ZIP-файл  https://github.com/kwart/kerberos-using-apacheds/archive/master.zip 
2. Разархивируйте zip-файл в каталог.
3. Сборка пакета с использованием Maven.  

   $ mvn clean package

4. Запустите сервер Kerberos как

   $ java -jar target/kerberos-using-apacheds.jar test.ldif

5. Был создан файл krb5.conf.
6. Войдите сейчас используя [email protected]

   $ kinit [email protected]
   Password for [email protected]: secret

7. Запустите Firefox через командную строку, из которой запускался kinit На MacOSX

   $open -a firefox http://localhost:8080/spnego-demo/
   

Remember krb5.conf is important for client side kerberos interactions. You can use a environment variable on Unix/Linux/Mac systems called KRB5_CONFIG to point to your krb5.conf