Spec-Zone .ru спецификации, руководства, описания, API

Содержание документации

Аутентификация Http

Краткий обзор

• Стандартная аутентификация HTTP (RFC2617)
• Дайджест-аутентификация HTTP (RFC2617)
• NTLM (определенный Microsoft)
• Http SPNEGO Согласовывают (определенный Microsoft) со следующими базовыми механизмами:
  • Kerberos
  • NTLM

Обычно, все схемы аутентификации работают и с прокси и с серверами. Некоторые (основной и обзор) могут использоваться одновременно с прокси и серверами. См. ниже для того, как различить аутентификацию сервера и прокси.

Как использовать Аутентификатор class

Расширение java.net. Аутентификатор

    class MyAuthenticator extends Authenticator {

        public PasswordAuthentication getPasswordAuthentication () {
            return new PasswordAuthentication ("user", "password".toCharArray());
        }
    }

Этот простой пример возвращает имя пользователя "пользователь" и пароль для каждого взаимодействия при аутентификации HTTP. Более реалистический пример использовал бы другие методы java.net. Аутентификатор, чтобы получить больше информации о HTTP запрашивает что потребности аутентифицироваться. Любой из следующих методов может вызвать реализация getPasswordAuthentication (), чтобы решить, как обработать каждый запрос на учетные данные.

• getRequestingHost ()
• getRequestingPort ()
• getRequestingPrompt ()
• getRequestingProtocol ()
• getRequestingScheme ()
• getRequestingURL ()
• getRequestingSite ()
• getRequestorType (). Возвраты, является ли проситель прокси или сервером.

Включение аутентификации

        Authenticator.setDefault (authinstance);

где authinstance экземпляр объявленной реализации class. Если это не вызывают, то аутентификация отключается, и ошибки аутентификации сервера будут возвращены к пользовательскому коду через объекты IOException. После того, как установленный, http реализация попытается аутентифицировать автоматически где только возможно (через кэшируемые учетные данные, или учетные данные, которые могут быть получены от системы). Если корректные учетные данные не доступны тогда, аутентификатор пользователя вызывается, чтобы обеспечить их.

Управление, какая схема аутентификации используется

Если пользователь должен гарантировать, что определенная схема используется, то следующее системное свойство может быть установлено изменить поведение значения по умолчанию.

        -Dhttp.auth.preference="scheme"

-D определяется, если свойство устанавливается на командной строке. "http.auth.preference" является именем свойства, и схема является именем схемы использовать. Если сервер не включает эту схему в свой список предложенных схем, то выбор значения по умолчанию делается.

Детали каждой схемы аутентификации

Основной Http

getRequestingPrompt () метод возвращает область Стандартной аутентификации в соответствии с сервером.

Обзор Http

        -Dhttp.auth.digest.validateServer="true"
        -Dhttp.auth.digest.validateProxy="true"

getRequestingPrompt () метод возвращает область Дайджест-аутентификации в соответствии с сервером.

NTLM

На платформах Microsoft Windows аутентификация NTLM пытается получить удостоверения пользователя от системы, не запрашивая объект аутентификатора пользователя. Если эти учетные данные не будут приняты сервером тогда, то аутентификатор пользователя вызовут.

Поскольку Аутентификатор, class был определен до NTLM быть поддерживаемым, не было возможно добавить поддержку в API для поля домена NTLM. Есть три опции для того, чтобы определить домен:

1. Не определяйте это. В некоторых средах фактически не требуется домен, и приложение не должно определить это.
2. Доменное имя может быть закодировано в пределах имени пользователя, снабжая префиксом доменное имя, сопровождаемое наклонной чертой влево '\' перед именем пользователя. С этим методом не должны быть изменены существующие приложения, которые используют Аутентификатор class, пока пользователи информируются, что эта нотация должна использоваться.
3. Если доменное имя не будет определено как в методе 2), и системное свойство "http.auth.ntlm.domain" определяется, то значение этого свойства будет использоваться в качестве доменного имени.

Хттп Согласовывает (SPNEGO)

Kerberos 5 Конфигураций

• Некоторый способ обеспечить конфигурации Kerberos. Это может быть достигнуто с системным свойством Java java.security.krb5.conf. Например:

            java -Djava.security.krb5.conf=krb5.conf \
                 -Djavax.security.auth.useSubjectCredsOnly=false \
                 ClassName

• Файл конфигурации JAAS, обозначающий, что модуль входа в систему использовать. HTTP коды SPNEGO будет искать стандартную названную запись com.sun.security.jgss.krb5.initiate.

          com.sun.security.jgss.krb5.initiate {
              com.sun.security.auth.module.Krb5LoginModule
                  required useTicketCache=true;
          };

            java -Djava.security.krb5.conf=krb5.conf \
                 -Djava.security.auth.login.config=spnegoLogin.conf \
                 -Djavax.security.auth.useSubjectCredsOnly=false \
                 ClassName

Имя пользователя и Извлечение Пароля

    class MyAuthenticator extends Authenticator {

        public PasswordAuthentication getPasswordAuthentication () {
            if (getRequestingScheme().equalsIgnoreCase("negotiate")) {
                String krb5user;
                char[] krb5pass;
                // get krb5user and krb5pass in your own way
                ....
                return (new PasswordAuthentication (krb5user,
                            krb5pass));
            } else {
                ....
            }
        }
    }

Предпочтение схемы

• GSS/SPNEGO-> Обзор-> NTLM-> Основной

Нейтрализация

Пример

Вы должны подготовить эти файлы, чтобы получить защищенный файл:

Листинг кода для RunHttpSpnego.java

import java.io.BufferedReader;
import java.io.InputStream;
import java.io.InputStreamReader;
import java.net.Authenticator;
import java.net.PasswordAuthentication;
import java.net.URL;

public class RunHttpSpnego {

    static final String kuser = "username"; // your account name
    static final String kpass = password; // retrieve password for your account 

    static class MyAuthenticator extends Authenticator {
        public PasswordAuthentication getPasswordAuthentication() {
            // I haven't checked getRequestingScheme() here, since for NTLM
            // and Negotiate, the usrname and password are all the same.
            System.err.println("Feeding username and password for " + getRequestingScheme());
            return (new PasswordAuthentication(kuser, kpass.toCharArray()));
        }
    }

    public static void main(String[] args) throws Exception {
        Authenticator.setDefault(new MyAuthenticator());
        URL url = new URL(args[0]);
        InputStream ins = url.openConnection().getInputStream();
        BufferedReader reader = new BufferedReader(new InputStreamReader(ins));
        String str;
        while((str = reader.readLine()) != null)
            System.out.println(str);
    }
}

Листинг кода для krb5.conf

[libdefaults]
    default_realm = AD.LOCAL
[realms]
    AD.LOCAL = {
        kdc = kdc.ad.local
    }
    

Листинг кода для login.conf

com.sun.security.jgss.krb5.initiate {
  com.sun.security.auth.module.Krb5LoginModule required doNotPrompt=false useTicketCache=true;
};

Затем, скомпилировать RunHttpSpnego.java и выполненный:

java -Djava.security.krb5.conf=krb5.conf \
    -Djava.security.auth.login.config=login.conf \
    -Djavax.security.auth.useSubjectCredsOnly=false \
    RunHttpSpnego \
    http://www.ad.local/hello/hello.html

Вы будете видеть:

Feeding username and password for Negotiate
<h1>Hello, You got me!</h1>

Фактически, если Вы работаете на машине Windows как пользователь домена, или, Вы работаете на Linux или машине Соляриса, которая уже вышла kinit команда и получила учетный кэш. class MyAuthenticator будет полностью проигнорирован, и вывод будет просто

<h1>Hello, You got me!</h1>

java RunHttpSpnego \
    http://www.ad.local/hello/hello.html

Feeding username and password for ntlm
<h1>Hello, You got me!</h1>

---

Авторское право © 1993, 2012, Oracle и/или его филиалы. Все права защищены.

Свяжитесь с Нами