问题标签 [jaas]

我需要为我的 EJB 中的密钥库提供密码，但我不希望它对开发人员可见。我的想法是在 Websphere Console 中创建身份验证别名，然后查找 MY_ALIAS 并从别名获取密码。我在以下位置找到了一些与主题相关的讨论：http: //www.coderanch.com/t/79439/Websphere/Authentication-Data

有人知道可以查找别名吗？你建议的实现我的目标的方法是什么？

非常感谢！

我正在尝试通过 JAAS 在我的 Apache Tomcat 下的 Web 应用程序中集成 Web SSO。我已经通过 Apache 文档和其他东西进入。

常见的方法是实现登录模块、配置 Web 应用程序（准确地说是 web.xml）、配置服务器（jaas.config、server.xml），如http://jakarta.apache.org/slide/howto-jaas 所述。 .html _ 在我的公司环境中，我遇到了配置服务器的问题。按照 Apache 的建议配置环境变量更糟糕。

有没有办法在我的 Web 应用程序中进行所有配置？

PS。我确实知道 Spring 安全框架。
谢谢。

当用户登录我的网站时，我想显示一个带有用户菜单的 div，其中包含他的收件箱、通知等。我必须使用 JAAS 和 JSF 来完成此操作吗？最好的方法是什么？如果你能指出我正确的方向或者一些教程，或者如果有一些奇特的方法可以做到这一点而不是使用渲染属性。提前致谢。

I'm trying to accomplish a jsf2-based form login where a user can go straight to his chosen URL after being redirected to the login-page. How can this be accomplished? My current settings are as following (using glassfish 3)

Web.XML

Session scoped managed bean handling login

From another question i got the tip to use a filter instead of the contained handled redirect to the login page, and store the URL before redirect as an attribute in the request like this:

With the url-pattern set to the same as the sum of all security constraints. The problem is how to combine this with the container based login. Leaving login-config auth method as FORM causes the filter to not be executed. Removing it sets the auth-method to BASIC which 1. causes my form to not appear, and 2. httpServletRequest.getUserPrincipal() is automatically set by the web browser to a cached value, so even if the filter is executed, the if-statement will always be false. From what i know, there is no way to keep the browser from doing this, even if the session is invalidated.

Is there any solution to this?

大家好，我正在使用 Tomcat 6.0.14，并且想知道实现一个系统，该系统允许我们向用户发送链接，例如 mysite.com?token=12345678912334333（长字符串继续），但这将允许用户自动登录。

我发现了一篇很棒的白皮书（由 Sun 撰写），其中介绍了将 Kerberos、JAAS 和 GSS-API 集成在一起以实现重型 SSO 系统。不幸的是，这篇文章是为 Java 1.4 编写的，已经有好几年了。

(1) 我想知道：这个“triumverate”（Kerberos-JAAS-GSS，或简称 KJG）是否仍然（从 J6 开始，J7 即将推出）是 Java EE 应用程序的主要 SSO 机制？如果不是，那是什么，你能简要解释一下它的架构吗？

我的应用程序还需要一些安全的 Web 服务。在阅读本文之前，我正在考虑使用 SSL 来保护传输以及 XWSS 或（更有可能）Apache 的 WSS4J 框架用于身份验证/sigs/加密：

(2) KJG（或您为上述问题 1 推荐的任何解决方案）是否能够提供安全的 Web 服务？例如，是否可以使用 KJG 代替 WSS4J/SSL？

第二个问题是我尝试查看是否可以重用大量 SSO 代码来实现安全的 Web 服务。提前感谢您在正确方向上的任何输入或轻推。

这是我的问题：我找不到任何关于使用 java+kerberos 进行跨域身份验证的文档。我必须针对其他领域的远程 LDAP 进行身份验证。我们如何在java中做到这一点？

谢谢

编辑：

这是我的 krb5.conf：

[libdefaults]

default_realm = REALM1

dns_lookup_realm = 假

dns_lookup_kdc = 假

可转发=真

[领域]

领域1 = {

kdc = kerberos.my.url.domain1:88

admin_server = kerberos.my.url.domain1:749

默认域 = 。

}

领域2 = {

kdc = kerberos.my.url.domain2:88

admin_server = kerberos.my.url.domain2:749

}

[domain_realm]

.my.url.domain1 = REALM1

.my.url.domain2 = REALM2

当我在 domain1 上执行时，跨领域在命令行中工作

ldapsearch -H "ldap:/my.url.domain2"

所以我想我的 krb5.conf 很好

我的业务方法中有许多 EJB。这些方法使用@RolesAllowed 注解来检查用户是否可以执行该方法。

所以我有一个调用这些 EJB 方法的 EJB 调度程序。EJB 调度程序使用匿名用户运行，因此授权失败。

我如何以其他角色运行我的调度程序？对于测试建议，我使用 @RunAs("SYSTEM") 注释运行，但我不知道这是否正确。

我的调度程序类

我的 EJB 课程

我想在接缝应用程序中使用@Restrict。我的一个场景包含一系列动作。我需要限制每一个动作还是只限制开始动作？除了第一个动作之外的所有动作都是从第一个动作调用的。