उपयोगकर्ता नाम

Question

निर्दिष्ट किए बिना टोमकैट के लिए क्लाइंट-सीईआरटी का उपयोग करके मैं आने वाले कनेक्शन के लिए टॉमकैट वेब एप्लिकेशन क्लाइंट प्रमाणपत्र प्रमाणीकरण का उपयोग करने की कोशिश कर रहा हूं। Server.xml में clientAuth = true का उपयोग करते समय सब कुछ ठीक काम करता है, हालांकि उसी सर्वर पर चल रहे अन्य अनुप्रयोगों के कारण, हम उत्पादन वातावरण में इसका उपयोग नहीं कर सकते हैं।

क्या कोई वेब.एक्सएमएल दस्तावेज़ बनाने का कोई तरीका है जैसे कि यह क्लाइंट प्रमाण पत्र के उपयोग को क्लाइंटएथ = सत्य के रूप में उसी तरह से मजबूर करता है? ऐसा लगता है कि क्लाइंट-सीईआरटी सेटिंग का उपयोग करने के लिए आपको अपने सिस्टम तक पहुंचने के लिए प्रत्येक प्रमाणपत्र के लिए टॉमकैट उपयोगकर्ता खाता भी सेट करना होगा? हमें निर्दिष्ट प्रमाणपत्र (सर्वर ट्रस्टस्टोर में सेट) से सभी प्रमाणपत्रों को अनुमति देने में सक्षम होना चाहिए, जहां विषय कुछ नियमों (वास्तविक एप्लिकेशन के भीतर चेक किया गया) से मेल खाता है। मैं उम्मीद कर रहा था कि निम्नलिखित की तरह कुछ काम करेगा, लेकिन अभी तक कोई भाग्य नहीं है!

<security-constraint> 
    <web-resource-collection> 
     <web-resource-name>Everything</web-resource-name> 
     <url-pattern>/*</url-pattern> 
    </web-resource-collection> 
    <user-data-constraint> 
     <transport-guarantee>CONFIDENTIAL</transport-guarantee> 
    </user-data-constraint> 
</security-constraint> 
<login-config> 
    <auth-method>CLIENT-CERT</auth-method> 
</login-config> 

Answer 1

सबसे पहले, यह लग रहा है जैसे आप clientAuth=want बजाय clientAuth=true हैं: है कि ग्राहक एक प्रमाण पत्र प्रदान करने की अनुमति होगी, लेकिन पूरी तरह से एक की आवश्यकता नहीं।

जब आप किसी भी प्रकार के प्रमाणीकरण का उपयोग करते हैं, तो टोमकैट (या उस मामले के लिए कोई सर्वलेट कंटेनर) Principal ऑब्जेक्ट को बनाने में सक्षम होना चाहिए - जिसका नाम (आमतौर पर एक उपयोगकर्ता नाम) है। कंटेनर को यह तय करना होगा कि को एक विशेष अनुरोध को अधिकृत करने के लिए उपयोगकर्ता की कौन सी भूमिकाएं हैं। इसलिए, प्राधिकरण के काम को करने के लिए टोमकैट को पहले से ही उपयोगकर्ताओं के बारे में जानना होगा।

दूसरी तरफ, यदि आपको किसी प्राधिकरण की आवश्यकता नहीं है, तो आप clientAuth=want सेट कर सकते हैं और फिर प्रमाण पत्र सत्यापित करने के लिए Filter का उपयोग कर सकते हैं। CLIENT-CERT प्रमाणीकरण का उपयोग करने की आवश्यकता नहीं है यदि आप पहले से ही अपनी जांच कर रहे हैं।

Answer 2

मैं सिर्फ ऊपर समस्या का समाधान reseaching गया था और अंत में एक समाधान नहीं मिला:

1. कनेक्टर clientAuth = "false" विशेषता (अन्यथा सर्वर से सभी सुरक्षित कनेक्शन आपसी करेंगे, क्लाइंट सर्वर, SSL के साथ

   कॉन्फ़िगर बिल्ला authentification।

2. web.xml में निम्नलिखित (मैं बस यहाँ उदाहरण से पता चला है)

   <security-constraint> 
       <web-resource-collection> 
        <url-pattern>/LoginTestServlet1</url-pattern> 
        <http-method>GET</http-method> 
        <http-method>POST</http-method> 
       </web-resource-collection> 
       <auth-constraint> 
        <role-name>manager</role-name> 
       </auth-constraint> 
       <user-data-constraint> 
        <!-- transport-guarantee can be CONFIDENTIAL, INTEGRAL, or NONE --> 
        <transport-guarantee>CONFIDENTIAL</transport-guarantee> 
       </user-data-constraint> 
   </security-constraint> 
   <security-constraint> 
       <web-resource-collection> 
        <url-pattern>/LoginTestServlet2</url-pattern> 
        <http-method>GET</http-method> 
        <http-method>POST</http-method> 
       </web-resource-collection> 
       <auth-constraint> 
        <role-name>manager</role-name> 
       </auth-constraint> 
       <!-- <user-data-constraint> 
        transport-guarantee can be CONFIDENTIAL, INTEGRAL, or NONE 
        <transport-guarantee>CONFIDENTIAL</transport-guarantee> 
       </user-data-constraint> --> 
   </security-constraint> 
   <login-config> 
       <auth-method>CLIENT-CERT</auth-method> 
       <realm-name>certificate</realm-name> 
       </login-config> 
   

   जोड़ेप्रबंधक

3. बिल्ला में उन-users.xml निम्नलिखित जोड़ें (कृपया ध्यान दें कि आप स्पष्ट रूप से अपने प्रमाण पत्र की पहचान करनी चाहिए अगर विश्वास की दुकान लगभग समान प्रमाण पत्र तो है इस प्रकार है)

   <role rolename="manager"/> 
   

   < उपयोगकर्ता उपयोगकर्ता नाम = "EMAILADDRESS=hamzas100@yahoo.com, सीएन = एस, OU = बंद, हे = ओएफएस, एल = बुखारा,
   अनुसूचित जनजाति = बुखारा, सी = UZ" पासवर्ड = "" भूमिकाओं = "प्रबंधक" />

4. एक ब्राउज़र (या कर्ल) पता पंक्ति में डाल दिया:

   https://yourdomain.com:8443/LoginTest/LoginTestServlet1 या
   https://yourdomain.com:8443/LoginTest/LoginTestServlet2

5. इसके लिए काम करने के लिए आप ब्राउज़र व्यक्तिगत प्रमाणपत्र सूची में प्रमाणपत्र जोड़ने के लिए (आप ब्राउज़र के साथ परीक्षण कर रहे हैं) है।मैंने मोज़िला फ़ायरफ़ॉक्स के साथ प्रयास किया है और यह आपको आसानी से ऐसा करने देगा। (लेकिन यह केवल बी 12 प्रमाण पत्र स्वीकार करता है, इसलिए यह सुझाव दिया जाता है कि आपको जावा कीटोल के साथ openssl का उपयोग करना चाहिए)। अगर सब ठीक से कॉन्फ़िगर किया गया है तो आप मौजूदा लोगों से प्रमाण पत्र चुनने के लिए मोज़िला से संकेत प्राप्त करेंगे। यदि आप कर्ल का उपयोग कर रहे हैं (इसका उपयोग स्वचालित वेब इंटरफेस परीक्षण के लिए किया जाता है तो परीक्षण के लिए निम्नलिखित कमेंट लाइन का उपयोग करें (मैंने अभी यहां एक उदाहरण दिया है।) कृपया ध्यान दें कि आपको ट्रस्ट स्टोर में आयात किया गया प्रमाणपत्र चुनना चाहिए।

   curl -s -k --cert selfsigned.pem --key key.pem -v --anyauth https://yourdomain.com:8443/LoginTest/LoginTestServlet1 --cacert selfsigned.pem या curl -s -k --cert selfsigned.pem --key key.pem -v --anyauth http://yourdomain.com:8080/LoginTest/LoginTestServlet2 --cacert selfsigned.pem

नोट: मेरा कनेक्टर की तरह इस प्रकार दिखता है:

<Connector port="8443" 
     maxThreads="150" scheme="https" secure="true" SSLEnabled="true" 
     sslProtocol="TLS" keystoreType="PKCS12" truststoreType="PKCS12" clientAuth="false" 
       keystoreFile="C:/Program Files/glassfish-3.1.2/glassfish/domains/domain1/config/cacerts.pkcs12" 
       truststoreFile= "C:/Program Files/glassfish-3.1.2/glassfish/domains/domain1/config/cacerts.pkcs12" 
       truststorePass="changeit" 
       keystorePass="changeit" 
       protocol="org.apache.coyote.http11.Http11Protocol">