Класс ServicePermission

public final class ServicePermission extends Permission implements Serializable

Этот класс используется для защиты Kerberos-сервисов и данных, необходимых для доступа к этим сервисам. Существует взаимно однозначное соответствие между главным принципом сервиса и данными, необходимыми для доступа к нему. Поэтому предоставление доступа к главному принципу сервиса подразумевает предоставление доступа к данным, необходимым для создания контекста безопасности с главным принципом сервиса. Это относится независимо от того, хранятся ли данные в кэше или приобретаются посредством обмена с KDC. Данные могут быть билетом на получение билета, билетом на сервис или секретным ключом из таблицы ключей.

Объект ServicePermission содержит имя главного принципа сервиса и список действий, определяющих контекст, в котором могут использоваться данные.

Имя главного принципа сервиса — это каноническое имя KerberosPrincipal предоставления сервиса, то есть KerberosPrincipal представляет собой главный принцип Kerberos-сервиса. Это имя обрабатывается с учетом регистра. Звездочка (*) может использоваться сама по себе для обозначения любого главного принципа сервиса.

Предоставление этого разрешения означает, что вызывающая сторона может использовать данные из кэша (TGT, билет на сервис или секретный ключ) в контексте, определённом действием. В случае с TGT предоставление этого разрешения также подразумевает, что TGT может быть получен посредством обмена с Сервисом аутентификации.

Предоставление этого разрешения также подразумевает создание KerberosPrincipal или GSSName без предоставления области Kerberos, если главный принцип сервиса в этой области.

Возможные действия:

    initiate -              allow the caller to use the credential to
                            initiate a security context with a service
                            principal.

    accept -                allow the caller to use the credential to
                            accept security context as a particular
                            principal.
 

Например, для указания разрешения на доступ к TGT для инициализации контекста безопасности разрешение создается следующим образом:

     ServicePermission("krbtgt/EXAMPLE.COM@EXAMPLE.COM", "initiate");
 

Для получения билета на сервис для инициализации контекста с сервисом "host" разрешение создается следующим образом:

     ServicePermission("host/foo.example.com@EXAMPLE.COM", "initiate");
 

Для сервера Kerberos действие — "accept". Например, разрешение, необходимое для доступа и использования секретного ключа Kerberos-сервиса "host" (telnet и т. п.), создается следующим образом:

     ServicePermission("host/foo.example.com@EXAMPLE.COM", "accept");