Как включить проверку подлинности Kerberos для удаленного вызова EJB в WebSphere?

Ответ 1

Подводя итог контексту: наше развертывание с годами работает с IBM WebSphere, работающим в Linux, и приложение, развернутое благодаря Java WebStart, работающему на Sun JavaSE 6, с IBM ORB, включенным и настроенным для подключения без какой-либо аутентификации. Теперь мы хотим включить аутентификацию Kerberos и однократную регистрацию по RMI-IIOP, поддерживаемую с WebSphere 6 (я думаю).

Вот фрагменты ответа.

Начиная с WebSphere 7, была введена новая концепция для настройки аспектов безопасности для каждого сервера: домена безопасности. Теоретически любой параметр, который не был изменен в домене безопасности, наследуется от глобальной секции безопасности.

При тестировании установки Kerberos мы создали выделенный домен безопасности для нашего тестового сервера, чтобы избежать проблем с другими серверами, работающими в ячейке.

НО, даже если Kerberos включен в глобальной безопасности, он не наследуется/не разрешен для сервера, настроенного с собственным доменом безопасности.

Как только мы запустим наш тестовый сервер с глобальной безопасностью по умолчанию, где параметры Kerberos видны и включены, аутентификация Kerberos начал работать с IBM JavaSE 6, выполненным из cmd bat script с обычным ClassPath и всеми свойствами, объявленными в документации.

Примечание: параметр JNDI Context.SECURITY_AUTHENTICATION никогда не устанавливается. После декомпиляции единственными доступными значениями для IBM ORB являются none, simple и strong, но strong еще не реализована.

Другой момент: согласно сгенерированному журналу, IBM ORB не может работать с file:/C:/temp/sas.client.config как значение для com.ibm.CORBA.ConfigURL. Он ДОЛЖЕН быть URI, а не путь к файлу. Мы даже получили отказ DNS-поиска для решения C hostname! ARFF. Все примеры документации основаны на Unix на основе file:/path/to/sas.client.config, поэтому мы сделали множество пробных версий перед доставкой этого файла с HTTP-сервера.

Теперь часть Java WebStart развертывания:

• тот же оригинальный JNLP без какой-либо защиты, и никакие настройки Kerberos не работают отлично как с Oracle JavaSE 6, так и с IBM Java 6

• с включенной защитой WebSphere и Kerberos в JNLP (и только этот набор изменений) IBM ORB, работающий на IBM Java 6, жалуется на NoClassDefFoundError о реализации менеджера журналов ffdc, который (все еще/всегда) доступен в ClassPath. Это действительно похоже на несовместимость кода с иерархией классов ClassLoader с Java WebStart.

• с Kerberos JNLP, IBM ORB, работающий на Oracle JavaSE 6, похоже, просто игнорирует параметры безопасности и анонимно подключается, как обычно.

Итак, первый шаг теперь работает: IBM Java 6 запускается из командной строки, но исследования не завершены для достижения нашей цели: Kerberos с Oracle JavaSE 6 в контексте Java WebStart.

Ответ 2

В соответствии с GSS-API/Kerberos v5 Аутентификация, вы должны пройти аутентификацию в Kerberos перед тем, как позвонить в контекст JNDI. После того как вы выполнили конфигурацию Kerberos, вы настраиваете контекстный контекст следующим образом:

• При создании исходного контекста установите для свойства среды Context.SECURITY_AUTHENTICATION (в справочной документации API) строку "GSSAPI".

Я имел дело с получением Java-клиента для использования Kerberos в прошлом (хотя и не с JNDI). Вот мой подход, чтобы устранить необходимость в настройках JVM и локальных файлах конфигурации на стороне клиента (вызывать этот код до того, как клиент пытается выполнить проверку подлинности):

public static void initKerberosConfig() 
{                 
        System.setProperty("javax.security.auth.useSubjectCredsOnly", "false"); 
        System.setProperty("java.security.krb5.kdc", "host.name:88"); 
        System.setProperty("java.security.krb5.realm", "REALM"); 
        System.setProperty("sun.security.krb5.debug", "false");                                 
        Configuration progConfig = getProgramaticLoginConfig(); 
        Configuration.setConfiguration(progConfig); 
} 

private static Configuration getProgramaticLoginConfig() 
{ 
        HashMap<String, String> options = new HashMap<String, String>(); 
        options.put("useTicketCache", "true"); 
        options.put("doNotPrompt", "true");                                                 
        AppConfigurationEntry krb5LoginModule = new AppConfigurationEntry("com.sun.security.auth.module.Krb5LoginModule", LoginModuleControlFlag.REQUIRED, options); 
        final AppConfigurationEntry[] aces = new AppConfigurationEntry[]{krb5LoginModule}; 
        Configuration progConfig = new Configuration() 
        { 
                @Override 
                public AppConfigurationEntry[] getAppConfigurationEntry(String arg0) 
                {                                 
                        return aces; 
                } 

        }; 
        return progConfig; 
} 

Вам, вероятно, понадобится настроить его для вашего контекста (java.security.krb5.kdc и java.security.krb5.realm будет неправильным), но я надеюсь, что это поможет. Поворачивайте sun.security.krb5.debug true для объемных количеств каротажа.

Ответ 3

Поскольку вы не указали конкретно в своих шагах, настроили ли вы sas.client.props, как указано в установочной ссылке клиента?

Вы можете проверить RedBook Внедрение Kerberos в среде WebSphere Application Server для примеров того, как сделать эту конфигурацию, а также оставшуюся конфигурацию для приложения Клиент.

В разделе 13.5 (13.5 Настройка клиента приложения Java EE) приводятся примеры для настройки вашей толстой клиентской среды выполнения, включая файл sas.client.props.