Spec-Zone .ru
спецификации, руководства, описания, API
|
|
Spec-Zone .ru
спецификации, руководства, описания, API
|
Это учебное руководство разворачивает программу и файл политики, разработанный в учебном руководстве по Аутентификации JAAS, чтобы демонстрировать компонент авторизации JAAS, который гарантирует, что у аутентифицируемой вызывающей стороны есть права управления доступом (полномочия), требуемые сделать последующие секретные операции безопасности. Так как компонент авторизации требует, чтобы пользовательская аутентификация сначала была завершена, пожалуйста, считайте учебное руководство по Аутентификации JAAS сначала, если Вы уже не сделали так.
Остальная часть этого учебного руководства состоит из следующих разделов:
Если Вы хотите сначала видеть учебный код в действии, можно пропустить непосредственно к Выполнению Учебного Кода Авторизации и затем вернуться к другим разделам, чтобы учиться больше.
Авторизация JAAS расширяет существующую архитектуру безопасности Java, которая использует политику безопасности, чтобы определить то, что права доступа предоставляют выполняющемуся коду. Та архитектура, представленная в Java 2 платформы, центральна кодом. Таким образом, полномочия предоставляют основанные на характеристиках кода: куда код прибывает из и подписывается ли он в цифровой форме и раз так кого. Мы видели пример этого в sampleacn.policy файл используется в учебном руководстве по Аутентификации JAAS. Тот файл содержит следующее:
grant codebase "file:./SampleAcn.jar" {
permission javax.security.auth.AuthPermission
"createLoginContext.Sample";
};
Это предоставляет код в SampleAcn.jar файл, расположенный в текущем каталоге, указанном разрешении. (Никакое подписывающее лицо не определяется, таким образом, не имеет значения, подписывается ли код или нет.)
Авторизация JAAS увеличивает существующие центральные кодом средства управления доступом с новыми центральными пользователем средствами управления доступом. Полномочия можно предоставить базируемые не только на том, что код выполняет, но также и на том, кто выполняет его.
Когда приложение использует аутентификацию JAAS, чтобы аутентифицировать пользователя (или другой объект такой как сервис), Предмет создается в результате. Цель Предмета состоит в том, чтобы представить аутентифицируемого пользователя. Предмет состоит из ряда Принципалов, где каждый Принципал представляет идентификационные данные для того пользователя. Например, у Предмета мог быть Принципал имени ("Сьюзен Смит") и Принципал Номера социального страхования ("987-65-4321"), таким образом отличая этот Предмет от других Предметов.
Полномочия можно предоставить в политике определенным Принципалам. После того, как пользователь аутентифицировался, приложение может связать Предмет с текущим контекстом управления доступом. Для каждой последующей проверенной в безопасности работы (локальный доступ к файлу, например), Среда выполнения Java автоматически определит, предоставляет ли политика необходимое разрешение только определенному Принципалу и если так, работа будет позволена, только если Предмет, связанный с контекстом управления доступом, содержит определяемый Принципал.
Чтобы заставить авторизацию JAAS иметь место, следующее требуется:
Файл политики
grant операторы могут теперь дополнительно включать одно или более полей Principal. Включение поля Principal указывает, что у пользователя или другого объекта, представленного указанным Принципалом, выполняя указанный код, есть определяемые полномочия.
Таким образом, основной формат a grant оператор теперь
grant <signer(s) field>, <codeBase URL>
<Principal field(s)> {
permission perm_class_name "target_name", "action";
....
permission perm_class_name "target_name", "action";
};
где каждое подписывающее лицо, кодовая база и поля Principal является дополнительным, и порядок между полями не имеет значения. Поле Principal похоже на следующее:
Principal Principal_class "principal_name"
Таким образом, это - слово "Principal" (где случай не имеет значения), сопровождаемый (полностью определенным) именем Основного класса и основным именем.
Основной класс является классом, который реализует java.security. Основной интерфейс. У всех Объектов принципала есть связанное имя, которое может быть получено, вызывая их getName метод. Формат, используемый для имени, зависит от каждой Основной реализации.
Тип Принципала, помещенного в Предмет, создаваемый механизмом стандартной аутентификации, используемым этим учебным руководством, SamplePrincipal, так, чтобы был тем, что должно использоваться в качестве Principal_class часть нашего grant Основное обозначение оператора. Имена пользователей для SamplePrincipals имеют форму "имя", и единственное имя пользователя, принятое для этого учебного руководства, является "testUser", таким образом, principal_name обозначение, чтобы использовать в grant оператор является "testUser".
Возможно включать больше чем одно поле Principal в a grant оператор. Если многократные поля Principal определяются, то полномочия в этом grant оператор предоставляют, только если Предмет, связанный с текущим контекстом управления доступом, содержит все те Принципалы.
Чтобы предоставить тот же самый набор полномочий к различным Принципалам, создайте многократный grant операторы, где каждый перечисляет полномочия и содержит единственное поле Principal, определяющее один из Принципалов.
Файл политики для этого учебного руководства включает тот grant оператор с полем Principal:
grant codebase "file:./SampleAction.jar",
Principal sample.principal.SamplePrincipal "testUser" {
permission java.util.PropertyPermission "java.home", "read";
permission java.util.PropertyPermission "user.home", "read";
permission java.io.FilePermission "foo.txt", "read";
};
Это определяет, что обозначенные полномочия предоставляют указанному принципалу, выполняющему код в SampleAction.jar. (Отметьте: класс SamplePrincipal находится в sample.principal пакет.)
Чтобы создать и связать Предмет с текущим контекстом управления доступом, Вы нуждаетесь в следующем:
doAs метод от Подчиненного класса нужно вызвать, передавая это аутентифицируемый Предмет и java.security. PrivilegedAction или java.security. PrivilegedExceptionAction. (См. API для Привилегированных Блоков для сравнения PrivilegedAction и PrivilegedExceptionAction.) doAs метод связывает обеспеченный Предмет с текущим контекстом управления доступом и затем вызывает run метод от действия. run реализация метода содержит весь код, который будет выполняться как указанный Предмет. Действие таким образом выполняется как указанный Предмет. Помехи doAsPrivileged метод от Подчиненного класса можно вызвать вместо doAs метод, как будет сделан для этого учебного руководства. В дополнение к параметрам, к которым передают doAs, doAsPrivileged требует третьего параметра: AccessControlContext. В отличие от этого doAs, который связывает обеспеченный Предмет с текущим контекстом управления доступом, doAsPrivileged связывает Предмет с обеспеченным контекстом управления доступом или с пустым контекстом управления доступом, если параметр, который передают в, null, как имеет место для этого учебного руководства. См. doAs по сравнению с doAsPrivileged в Справочнике JAAS для сравнения тех методов.
Код для этого учебного руководства состоит из четырех файлов:
SampleAcn.java файл приложения из учебного руководства по Аутентификации JAAS за исключением дополнительного кода должен был вызвать Subject.doAsPrivileged.run метод, который содержит весь код, мы хотим быть выполненными с Основанными на принципале проверками авторизации. SampleLoginModule.java и SamplePrincipal.java файлы также использовались в учебном руководстве по Аутентификации JAAS, таким образом, они не описываются далее здесь. Другие исходные файлы описываются ниже.
Как SampleAcn, класс SampleAzn инстанцирует LoginContext lc и вызовы login метод, чтобы выполнить аутентификацию. В случае успеха аутентифицируемый Предмет (который включает SamplePrincipal, представляющий пользователя) получается, вызывая LoginContext getSubject метод:
Subject mySubject = lc.getSubject();
После обеспечения пользователя некоторая информация о Предмете, такой как, какие Принципалы это имеет, main метод тогда вызывает Subject.doAsPrivileged, передача этого аутентифицируемый Предмет mySubject, PrivilegedAction (SampleAction) и a null AccessControlContext, как описано в следующем.
Класс SampleAction инстанцируют через следующее:
PrivilegedAction action = new SampleAction();
Звонок Subject.doAsPrivileged выполняется через:
Subject.doAsPrivileged(mySubject, action, null);
doAsPrivileged метод вызывает выполнение run метод в PrivilegedAction action (SampleAction), чтобы инициировать выполнение остальной части кода, который, как полагают, выполняется от имени Предмета mySubject.
Передача null как AccessControlContext (треть) параметр doAsPrivileged указывает на это mySubject должен быть связан с новым пустым AccessControlContext. Результат состоит в том, что проверки безопасности, происходящие во время выполнения SampleAction, только потребуют полномочий для кода SampleAction непосредственно (или другой код, который это вызывает), работая как mySubject. Отметьте что вызывающая сторона doAsPrivileged (и вызывающие стороны на стеке выполнения в это время doAsPrivileged был вызван), не требуют никаких полномочий, в то время как действие выполняется.
SampleAction.java содержит класс SampleAction. Этот класс реализации java.security.PrivilegedAction и имеет a run метод, который содержит весь код, мы хотим быть выполненными как Предмет mySubject. Для этого учебного руководства мы выполним три операции, каждая из которых не может быть сделана, если коду не предоставили требуемые полномочия. Мы будем:
java.home системное свойство,user.home системное свойство, иfoo.txt существует в текущем каталоге.Вот код:
package sample;
import java.io.File;
import java.security.PrivilegedAction;
public class SampleAction implements PrivilegedAction {
public Object run() {
System.out.println("\nYour java.home property value is: "
+ System.getProperty("java.home"));
System.out.println("\nYour user.home property value is: "
+ System.getProperty("user.home"));
File f = new File("foo.txt");
System.out.print("\nfoo.txt does ");
if (!f.exists())
System.out.print("not ");
System.out.println("exist in the current working directory.");
return null;
}
}
Конфигурационный файл входа в систему, используемый для этого учебного руководства, может быть точно тем же самым как используемым учебным руководством по Аутентификации JAAS. Таким образом мы можем использовать sample_jaas.config, который содержит только одну запись:
Sample {
sample.module.SampleLoginModule required debug=true;
};
Эту запись называют "Демонстрационной", и это - имя что оба наших учебных приложения SampleAcn и SampleAzn используйте, чтобы обратиться к этому. Запись определяет, что LoginModule, который будет использоваться, чтобы сделать пользовательскую аутентификацию, является SampleLoginModule в sample.module пакет и что этот SampleLoginModule обязан "успешно выполняться" для аутентификации, которую будут считать успешным. SampleLoginModule успешно выполняется, только если имя и пароль, предоставленное пользователем, является тем, которое это ожидает ("testUser" и "testPassword", соответственно).
SampleLoginModule также определяет опцию "отладки", которая может быть установлена в true как показано. Если эта опция устанавливается в true, Выводы SampleLoginModule дополнительная информация о продвижении аутентификации.
Приложение для этого учебного руководства по авторизации состоит из двух классов, SampleAzn и SampleAction. Код в каждом классе содержит некоторые секретные операции безопасности, и таким образом соответствующие полномочия требуются в файле политики для операций быть выполненными.
LoginModule, используемый этим учебным руководством, SampleLoginModule, также содержит работу, требующую разрешения.
Полномочия, требуемые каждым из этих классов, описываются ниже, сопровождаются ссылкой к полному файлу политики.
Основной метод SampleAzn класс делает две операции, для которых требуются полномочия. Это
doAsPrivileged статический метод Подчиненного класса.Создание LoginContext является точно тем же самым, как был сделан в учебном руководстве по аутентификации, и это таким образом нуждается в том же самом javax.security.auth.AuthPermission разрешение с целью"createLoginContext.Sample".
Чтобы вызвать doAsPrivileged метод Подчиненного класса, у Вас должен быть a javax.security.auth.AuthPermission с целью"doAsPrivileged".
Принятие SampleAzn класс помещается в названный файл JAR SampleAzn.jar, эти полномочия можно предоставить SampleAzn код через следующий grant оператор в файле политики:
grant codebase "file:./SampleAzn.jar" {
permission javax.security.auth.AuthPermission
"createLoginContext.Sample";
permission javax.security.auth.AuthPermission "doAsPrivileged";
};
SampleAction код делает три операции, для которых требуются полномочия. Это
foo.txt существует в текущем каталоге.Полномочия, требуемые для этих операций, являются следующим:
permission java.util.PropertyPermission "java.home", "read"; permission java.util.PropertyPermission "user.home", "read"; permission java.io.FilePermission "foo.txt", "read";
Мы должны предоставить эти полномочия коду в SampleAction.class, который мы поместим в названный файл JAR SampleAction.jar. Однако, для этой детали grant оператор, который мы хотим предоставить полномочиям не только к коду, но и определенному пользователю, выполняющему код, демонстрировать, как ограничить доступ к определенному пользователю.
Таким образом, как объяснено в том, Как Вы Делаете Основанные на принципале Операторы Файла Политики?, наш grant оператор похож на следующее:
grant codebase "file:./SampleAction.jar",
Principal sample.principal.SamplePrincipal "testUser" {
permission java.util.PropertyPermission "java.home", "read";
permission java.util.PropertyPermission "user.home", "read";
permission java.io.FilePermission "foo.txt", "read";
};
SampleLoginModule код делает одну работу, для которой требуются полномочия. Это нуждается в a javax.security.auth.AuthPermission с целью "modifyPrincipals", чтобы заполнить Предмет с Принципалом. Оператор предоставления является следующим:
grant codebase "file:./SampleLM.jar" {
permission javax.security.auth.AuthPermission "modifyPrincipals";
};
Полный файл политики является sampleazn.policy.
Чтобы выполнить наш учебный код авторизации JAAS, все, что необходимо сделать,
sample): sample.module): sample.principal): javac sample/SampleAction.java sample/SampleAzn.java sample/module/SampleLoginModule.java sample/principal/SamplePrincipal.java(Введите все это на одной строке.)
SampleAzn.jar содержа SampleAzn.class и MyCallbackHandler.class (Отметьте, что источники для обоих этих классов находятся в SampleAzn.java): jar -cvf SampleAzn.jar sample/SampleAzn.class sample/MyCallbackHandler.class
(Введите все это на одной строке.)
SampleAction.jar содержа SampleAction.class: jar -cvf SampleAction.jar sample/SampleAction.class
SampleLoginModule.class и SamplePrincipal.class: jar -cvf SampleLM.jar sample/module/SampleLoginModule.class sample/principal/SamplePrincipal.class
SampleAzn приложение, определяя -classpath пункт, что классы должны разыскиваться в SampleAzn.jar, SampleAction.jar, и SampleLM.jar Файлы JAR,-Djava.security.manager то, что менеджер безопасности должен быть установлен,-Djava.security.policy==sampleazn.policy то, что файл политики, который будет использоваться, sampleazn.policy, и-Djava.security.auth.login.config==sample_jaas.config то, что конфигурационный файл входа в систему, который будет использоваться, sample_jaas.config.Ниже полные команды, чтобы использовать и для Microsoft Windows и для систем Unix. Единственная разница - то, что на системах Windows Вы используете точки с запятой, чтобы разделить элементы пути к классу, в то время как Вы используете двоеточия с этой целью на системах Unix.
Вот полная команда для систем Windows:
java -classpath SampleAzn.jar;SampleAction.jar;SampleLM.jar -Djava.security.manager -Djava.security.policy==sampleazn.policy -Djava.security.auth.login.config==sample_jaas.config sample.SampleAzn
Вот полная команда для систем UNIX:
java -classpath SampleAzn.jar:SampleAction.jar:SampleLM.jar -Djava.security.manager -Djava.security.policy==sampleazn.policy -Djava.security.auth.login.config==sample_jaas.config sample.SampleAzn
Введите полную команду на одной строке. Многократные строки используются здесь для четкости. Если команда является слишком длинной для Вашей системы, Вы, возможно, должны поместить это в.bat файл (для Windows) или.sh файл (для UNIX) и затем петлять, чтобы выполнить команду.
Вы будете запрошены имя пользователя, и пароль (используйте "testUser" и "testPassword"), и SampleLoginModule, определенный в конфигурационном файле входа в систему, проверит имя и пароль. Если Ваш вход в систему будет успешен, то Вы будете видеть сообщение "Аутентификация, за которой следуют!" и в противном случае Вы будете видеть "Отказавшую аутентификацию:" сопровождаемый причиной отказа.
Как только аутентификация успешно завершается, остальная часть программы (в SampleAction) будет выполняться от имени Вас, пользователя, требуя, чтобы Вы были предоставлены соответствующие полномочия. sampleazn.policy файл политики предоставляет Вам необходимые полномочия, таким образом, Вы будете видеть дисплей значений Вашего java.home и user.home системные свойства и оператор относительно того, назвали ли Вам файл foo.txt в текущем каталоге.
