Форум программистов [Powered by Invision Power Board]

Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате

Форум программистов > Java EE (J2EE) и Spring > JAAS: секьюрити

Автор: Domestic Cat 15.3.2005, 07:52

JAAS

1. Что такое JAAS? Java Authentication and Authorization Services. Этот сервис был интегрирован в Java 1.4. JAAS позволяет ограничить доступ к системным ресурсам.

2. В качестве примера рассмотрим доступ к ресурсу "os.name" smile

3. Код для авторизации выглядит следующим образом:

Код


import java.security.*;
import javax.security.auth.*;
import javax.security.auth.login.*;
import javax.security.auth.callback.*;
import com.sun.security.auth.callback.*;

public class JaasTest
{
    public static void main(String[] args ) throws Exception
    {
        LoginContext lc = new LoginContext("JaasTest", new DialogCallbackHandler());
        lc.login();
        System.out.println("Login successful");
        Subject me = lc.getSubject();
        PrivilegedAction pa = new GetOsName();
        Subject.doAsPrivileged(me, pa, null);
    }    
}

Отмечу несколько моментов.
Во-первых, DialogCallbackHandler - это ГУИ хендлер на случай, если требуется аутентификация. Для модуля com.sun.security.auth.module.NTLoginModule этот хендлер вызываться не будет. Для com.sun.security.auth.module.Krb5LoginModule - будет.
Во-вторых, Subject - это любой, кто пытается получить доступ к ресурсам. Каждый Subject содержит лист Principalов, которым и даются определеные права. Наконец, Subjectу сопоставлено
PrivilegedAction, код которого приведен ниже

Код


import java.security.*;

public class GetOsName implements PrivilegedAction
{
    public Object run()
    {
        System.out.println("Your OS is " + System.getProperty("os.name"));
        return null;    
    }    
}

4. Кроме этого, требуется 2 файла. Первый из них называется jaas.conf и содержит информацию об используемых модулях аутентификации.

Цитата

JaasTest {
com.sun.security.auth.module.NTLoginModule required;
// com.sun.security.auth.module.Krb5LoginModule required; //
};

(Krb5LoginModule можно написать для интереса - чтоб посмотреть как выглядит диалог хендлер. Керберос все равно доступа не даст).
Ве это означает, что для успешного выполнения действия нужно пройти две аутентификации - стандартную Виндовс НТ и Керберос. required - означает, что следующий модуль будет вызван независимо от того, успешна аутентификация или нет.

5. Полиси файл - jaas.policy.

Цитата

grant CodeBase "file:./JaasTest.jar"
{
permission javax.security.auth.AuthPermission
"createLoginContext.JaasTest";
permission javax.security.auth.AuthPermission
"doAsPrivileged";
};

grant CodeBase "file:./GetOsName.jar", Principal com.sun.security.authNTUserPrincipal "Cat"
{
permission java.util.PropertyPermission "os.name", "read";
};

Этот файл позволяет ограничить круг разрешенных действий для кода. Например, если нехороший человек заменит "os.name" в GetOsName на другое свойство, эму в этом дествии будет отказано.

6. Теперь компилим и пакуем все в архивы:
javac *.java
jar -cvf GetOsName.jar GetOsName.class
jar -cvf JaasTest.jar JaasTest.class

7. Запускаем:
C:\projects>java -cp GetOsName.jar;JaasTest.jar -Djava.security.manager -Djava.s
ecurity.auth.login.config=jaas.conf -Djava.security.policy=jaas.policy JaasTest
Login successful
Your OS is Windows 2000