12

我正在尝试使 Tomcat Web 应用程序对传入连接使用客户端证书身份验证。在 server.xml 中使用 clientAuth=true 时一切正常，但是由于其他应用程序在同一服务器上运行，我们无法在生产环境中使用它。

有没有办法形成一个 web.xml 文档，以便它以与 clientAuth=true 相同的方式强制应用程序使用客户端证书？似乎使用 CLIENT-CERT 设置还需要您为要访问系统的每个证书设置一个 tomcat 用户帐户？我们需要能够允许来自指定 CA（在服务器信任库中设置）的所有证书，其中主题匹配某些规则（在实际应用程序中检查）。我希望像下面这样的东西会起作用，但还没有运气！

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Everything</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>
<login-config>
    <auth-method>CLIENT-CERT</auth-method>
</login-config>
4

2 回答 2

7

首先，听起来你想要clientAuth=want而不是clientAuth=true: 这将允许客户端提供证书，但不是绝对需要。

当您使用任何类型的身份验证时，Tomcat（或任何 servlet 容器）必须能够从中构建一个Principal对象——一个具有名称（通常是用户名）的对象。然后容器必须决定用户具有什么角色才能正确授权特定请求。因此，Tomcat 需要事先了解用户才能进行授权。

另一方面，如果您不需要任何授权，您可以设置clientAuth=want然后使用 aFilter来验证证书。CLIENT-CERT如果您已经在进行自己的检查，则无需使用身份验证。

于 2012-08-01T18:55:40.337 回答
3

我只是在研究上述问题的解决方案，最终找到了解决方案：

  1. 使用连接器 clientAuth="false" 属性配置 tomcat（否则所有与服务器的安全连接都将进行相互、客户端服务器、ssl 身份验证。

  2. 在 web.xml 中添加以下内容（我刚刚在这里展示了示例）

    <security-constraint>
    <web-resource-collection>
        <url-pattern>/LoginTestServlet1</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>manager</role-name>
    </auth-constraint>
    <user-data-constraint>
        <!-- transport-guarantee can be CONFIDENTIAL, INTEGRAL, or NONE -->
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>
 <security-constraint>
    <web-resource-collection>
        <url-pattern>/LoginTestServlet2</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>manager</role-name>
    </auth-constraint>
   <!--  <user-data-constraint>
        transport-guarantee can be CONFIDENTIAL, INTEGRAL, or NONE
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>  
    </user-data-constraint> -->
</security-constraint>
 <login-config>
    <auth-method>CLIENT-CERT</auth-method>
    <realm-name>certificate</realm-name>
  </login-config>

    经理

  3. 在 tomcat users-users.xml 添加以下内容（请注意，如果信任库具有几乎相同的证书，那么您应该清楚地标识您的证书，如下所示）

    <role rolename="manager"/>

    <user username="EMAILADDRESS=hamzas100@yahoo.com, CN=KS, OU=OFF, O=OFS, L=Bukhara,
    ST=Bukhara, C=UZ" password="" roles="manager"/>

  4. 放入浏览器（或 curl）地址行：

    https://yourdomain.com:8443/LoginTest/LoginTestServlet1或
    https://yourdomain.com:8443/LoginTest/LoginTestServlet2

  5. 为此，您必须将证书添加到浏览器个人证书列表（如果您正在使用浏览器进行测试）。我已经尝试使用 Mozilla Firefox，它很容易让你这样做。（但它只接受 b12 证书，所以建议你应该使用带有 java keytool 的 openssl）。如果一切配置正确，那么您将收到 Mozilla 的提示以从现有证书中选择证书。如果您使用 curl（它用于自动 Web 界面测试，则使用以下命令行进行测试（我刚刚在这里给出了一个示例。）请注意，您应该选择导入到信任库中的证书。

    curl -s -k --cert selfsigned.pem --key key.pem -v --anyauth https://yourdomain.com:8443/LoginTest/LoginTestServlet1 --cacert selfsigned.pem 或 curl -s -k --cert selfsigned.pem --key key.pem -v --anyauth http://yourdomain.com:8080/LoginTest/LoginTestServlet2 --cacert selfsigned.pem

注意：我的连接器如下所示：

<Connector port="8443"
       maxThreads="150"  scheme="https" secure="true" SSLEnabled="true"
       sslProtocol="TLS" keystoreType="PKCS12"  truststoreType="PKCS12" clientAuth="false"
               keystoreFile="C:/Program Files/glassfish-3.1.2/glassfish/domains/domain1/config/cacerts.pkcs12"
               truststoreFile= "C:/Program Files/glassfish-3.1.2/glassfish/domains/domain1/config/cacerts.pkcs12"
               truststorePass="changeit"
               keystorePass="changeit"
               protocol="org.apache.coyote.http11.Http11Protocol">
于 2013-06-16T08:08:17.310 回答