Класс ServicePermission

public final class ServicePermission extends Permission implements Serializable

Этот класс используется для защиты Kerberos-сервисов и учетных данных, необходимых для доступа к этим сервисам. Существует взаимно однозначное соответствие между принципалом сервиса и учетными данными, необходимыми для доступа к сервису. Поэтому предоставление доступа к принципалу сервиса подразумевает предоставление доступа к учетным данным, необходимым для установления контекста безопасности с принципалом сервиса. Это относится независимо от того, хранятся ли учетные данные в кэше или получены в результате обмена с KDC. Учетные данные могут быть билетом предоставления билетов, билетом сервиса или секретным ключом из таблицы ключей.

Объект ServicePermission содержит имя принципала сервиса и список действий, которые определяют контекст, в котором можно использовать учетные данные.

Имя принципала сервиса — это каноническое имя KerberosPrincipal предоставляющего сервис, то есть KerberosPrincipal представляет принципал Kerberos-сервиса. Это имя обрабатывается с учетом регистра. Звездочка может появляться сама по себе, чтобы обозначить любой принципал сервиса.

Предоставление этого разрешения подразумевает, что вызывающая сторона может использовать кэшированные учетные данные (TGT, билет сервиса или секретный ключ) в контексте, определяемом действием. В случае TGT предоставление этого разрешения также подразумевает, что TGT может быть получен в результате обмена с службой аутентификации.

Предоставление этого разрешения также подразумевает создание KerberosPrincipal или GSSName без предоставления области Kerberos, если принципал сервиса в этом разрешении находится в этой области.

Возможные действия:

    initiate -              allow the caller to use the credential to
                            initiate a security context with a service
                            principal.

    accept -                allow the caller to use the credential to
                            accept security context as a particular
                            principal.
 

Например, для указания разрешения на доступ к TGT для инициирования контекста безопасности разрешение конструируется следующим образом:

     ServicePermission("krbtgt/EXAMPLE.COM@EXAMPLE.COM", "initiate");
 

Для получения билета сервиса для инициирования контекста с сервисом «host» разрешение конструируется следующим образом:

     ServicePermission("host/foo.example.com@EXAMPLE.COM", "initiate");
 

Для сервера Kerberos действие равно «accept». Например, разрешение, необходимое для доступа и использования секретного ключа Kerberos-сервиса «host» (telnet и т. п.), конструируется следующим образом:

     ServicePermission("host/foo.example.com@EXAMPLE.COM", "accept");