Autenticação e Autorização: JAAS com JDBC Realm

Transcrição

1 «A sabedoria numa corrida de canoas Colabore com uma internet mais saudável: antispam.br» Autenticação e Autorização: JAAS com JDBC Realm DAT-Autenticação em cloud Single Sign-on e Autenticação forte em cloud computing videoaulas NERI FLEX,JAVA, j2me, jsp,delphi,oracle php - Aulas c/ prof Pós-Graduado ADS Pesquisar Recentemente ministrei um curso sobre Segurança em aplicações JavaEE, onde, grande parte do treinamento é a utilização e configuração do JAAS (Java Authentication and Authorization Service) abordando Basic e Form Authentication usando os realms: File, JDBC e LDAP. Aproveitando o embalo do treinamento e principalmente pela empolgação dos alunos da turma quando viram quão simples e fácil é usar o JAAS, vou mostrar a configuração de autenticação e autorização em uma aplicação JavaEE usando Basic Authentication e JDBC Realm. TAGS Anúncios Go O JAAS (Java Authentication and Authorization Service) é a API padrão do Java para controle de acesso e autorização em aplicações JavaEE. Com JAAS é possível autenticar e validar usuários e certificados, bem como controlar a possibilidade de acesso e/ou utilização de recursos na aplicação (arquivos, diretórios, URLs, conteúdo, etc). Resumidamente o JAAS cuida de: Autenticação: deve verificar se um usuário é ele mesmo através de validação de senhas e/ou certificados. Autorização: com base em um usuário identificado, as regras e controles de permissão e acesso serão aplicadas na aplicação/produto e seus recursos. O exemplo a seguir foi feito usando o Eclipse, Glassfish_v2 e MySQL, e não há nenhum segredo obscuro, simplesmente criaremos um Dynamic Web Project e usaremos o console do Glassfish para criar o realm. A infra-estrutura (servidor e banco de dados) O ponto chave para a configuração do JDBC Realm é o banco de dados (tabelas de usuário e grupos). Criaremos o schema com o SQL a seguir. Basicamente são apenas duas tabelas: usertable e grouptable. Agile Agile-ES BDD Blog Caelum CEJug Desenvolvimento Eclipse EJES ESJUG Eventos Falando.em.Java Gerência Giran globo.com GUJ Hibernate IDE iphone Java Líder Liderança Linux Mac Metodologias Netbeans Off-Topic Palestras Pessoal PHP Portal Java Projetos Python Rails Ruby Segurança Testes SCRUM TDD Tutoriais Ubuntu Web2.0 Wordpress WTF XP

2 CATEGORIAS A configuração do schema no realm será feita adiante e este exemplo está simples desta forma apenas para ficar o mais claro possível na configuração do realm. Certamente no seu caso você já terá suas tabelas de usuários e grupos e para usá-los basta fazer a configuração do realm de acordo com a sua realidade, alterando os valores das propriedades de configuração CREATE DATABASE learn_jaas; Certificações (2) USE learn_jaas; Eclipse (5) CREATE TABLE usertable(userid VARCHAR(10) PRIMARY KEY, password VARCHAR ESJUG (15) CREATE TABLE grouptable(userid VARCHAR(10), groupid VARCHAR Netbeans (1) ALTER TABLE grouptable ADD CONSTRAINT FK_USERID FOREIGN KEY COMMIT; Portal Java (2) E agora vamos inserir alguns usuários e grupos para os testes, conforme o SQL abaixo. Os usuários serão: user, guest e admin e os grupos serão: users, e admins. Reparem que os grupos estão no plural, enquanto os usuários estão no singular. Este é um importante detalhe, a seguir, na configuração das roles usaremos os grupos para aplicar as regras e não os usuários INSERT INTO usertable VALUES ('user', 'user'); INSERT INTO grouptable VALUES ('user', 'users'); INSERT INTO usertable VALUES ('guest', 'guest'); INSERT INTO grouptable VALUES ('guest', 'users'); INSERT INTO usertable VALUES ('admin', 'admin'); INSERT INTO grouptable VALUES ('admin', 'admins'); Com o banco de dados pronto ainda precisamos de um passo antes do realm, precisaremos criar agora o Connection Pool e o DataSource para este banco de dados. O JNDI Name deste DataSource será usado na criação do realm, portanto, este passo é essencial para o funcionamento do exemplo. Entretanto, como o foco aqui não é a criação do DataSource, darei apenas o JNDI Name conforme usei no exemplo: learn-jaas-jdbc. Agile (13) Carreira (4) Desenvolvimento (34) Erlang (1) Eventos (37) Gerência (9) Giran (5) Java (59) App Servers (2) Applets (1) Liderança (2) Linux (11) Metodologias (9) Off-Topic (20) Pessoal (51) Blog (7) Palestras (20) Viagens (6) Produtividade (1) Projetos (7) Python (4) Refactory (1) Ruby (5) Segurança (5) Testes (10) WTF (5) MEUS ÚLTIMOS TWEETS Agora só precisamos criar o realm, o nome usado para ele será learnjaas-realm. No console do glassfish vamos em: Configuration >> Securiy >> Realm >> New. As propriedades deverão ser preenchidas de acordo com a imagem e a tabela abaixo (se o seu schema for diferente é só ajustar os valores): Jeveaux 582 followers É impressão minha ou agora o google está empurrando os posts do #buzz para os

3 compartilhados do #reader? #fail about 6 hours ago Propriedade Valor jaas-context jdbcrealm datasource-jndi learn-jaas-jdbc user-table usertable user-name-column userid password-column password group-table grouptable group-name-column groupid digest-algorithm none A aplicação Com a infra-estrutura necessária criada e funcionando, partiremos para a aplicação. Este será um ponto bem simples, a aplicação não terá nada além de 4 páginas JSP, web.xml e sun-web.xml. No Eclipse, criaremos um Dynamic Web Project usando o glassfish como servidor (JavaEE 5). As páginas citadas anteriormente ficarão dispostas conforme o projeto abaixo: Estamos chegando aos 100 inscritos! Já garantiu a sua vaga? Inscreva-se, as vagas são limitadas. about 6 hours ago Isso que eu chamo de "flagrante" Não acredito, só pode ser combinado. about 7 hours ago Domain-Driven Design - #MareVix #DDD #Agile #Comunicacao about 8 hours ago Tem um novo integrante do time da #giran que tem dois #easteregg: Quem descobre? about 9 hours ago - Um produto em duas semanas! - #Marevix #Scrum #Agile #PMI about 10 hours ago Em cada página index.jsp dos diretórios admin, public e users há um dizer assim: Welcome Admin! ; Welcome Guest! ; Welcome User! ; respectivamente. E em /index.jsp há apenas os links para as demais páginas. Estes diretórios serão protegidos posteriormente. VRaptor Lançado! Changelog: Download: about 11 hours ago Pessoal de #Vix, dia 29/05 tem o #MareVIX! Não

4 O próximo passo consiste na criação das roles em nossa aplicação. Este costuma ser o ponto onde os iniciantes se confundem muito, por isso houve aquela distinção entre os nomes dos usuários e os grupos anteriormente. A criação das roles é livre, podemos criá-las como bem entendermos, o único ponto de atenção aqui é que a role é associada ao grupo, ou seja, uma role será aplicada para todos os usuários de um determinado grupo. Então, em WEB-INF/sun-web.xml criaremos as roles associadas com os seus respectivos grupos: percam! #TDD #DDD #Scrum #Agile about 13 hours ago ÚLTIMOS COMENTÁRIOS <security-role-mapping> <role-name>user-role</role-name> <group-name>admins</group-name> <group-name>users</group-name> </security-role-mapping> <security-role-mapping> <role-name>admin-role</role-name> <group-name>admins</group-name> </security-role-mapping> <security-role-mapping> <role-name>guest-role</role-name> <group-name>admins</group-name> <group-name>users</group-name> <group-name>guests</group-name> </security-role-mapping> As roles foram criadas com o sufixo -role apenas para ficar bem claro que são roles e não usuários ou grupos. Vejam que as roles estão associadas aos grupos e não aos usuários. Este é um momento onde aplicaremos as regras hierárquicas e organizacionais da empresa, repare que o grupo admins aparece em todas as roles, afinal de contas, não queremos barrar ao administrador do sistema o acesso às páginas públicas ou de usuários, certo? Próximo passo: Configuração do web.xml! A configuração da autenticação em si não passa de 4 linhas de xml, informaremos o tipo (método) de autenticação (pode ser none, basic, form e digest/certificate) e qual o nome do realm associado: <login-config> <auth-method>basic</auth-method> <realm-name>learn-jaas-realm</realm-name> </login-config> O que precisaremos agora é, com base nas roles, criar as regras de acesso na aplicação. Elas podem ser feitas de várias formas e como podemos usar URL Pattern para definir onde a regra será aplicada, faremos isso por diretórios, combinando os diretórios com as roles (admin, user e guest): Victor Honorato em Maré de Agilidade em Vitória- ES: Maré Vix Autenticação e Autorização em Aplicativos Web :: Tutoriais CTDO - Sua Base de Tutoriais Online em Autenticação e Autorização: JAAS com JDBC Realm Maxwell Leonardo em Gabriel M. Barboza em Makoto Hashimoto em Tagliati em Maré de Agilidade em Vitória-ES: Maré Vix Edgar Muniz Berlinck em imasters em Maré de Agilidade em Vitória-ES: Maré Vix Junior moreira em Maré de Agilidade em Vitória- ES: Maré Vix Alessandro Dourado em webcapixaba em Maré de

5 webcapixaba em Maré de <security-constraint> Agilidade em Vitória-ES: <web-resource-collection> <web-resource-name>paginas admnistrativas</web-resource-name Maré Vix <url-pattern>/admin/*</url-pattern> Carlan Calazans em Maré <http-method>get</http-method> de Agilidade em Vitória- <http-method>post</http-method> ES: Maré Vix </web-resource-collection> Edgar Muniz Berlinck em <auth-constraint> <role-name>admin-role</role-name> </auth-constraint> </security-constraint> Maré Vix <security-constraint> <web-resource-collection> <web-resource-name>paginas para usuários</web-resource-name <url-pattern>/users/*</url-pattern> <http-method>get</http-method> <http-method>post</http-method> </web-resource-collection> Selecionar o mês <auth-constraint> <role-name>user-role</role-name> </auth-constraint> </security-constraint> Agile no Mundo Real <security-constraint> <web-resource-collection> Alberto Leal <web-resource-name>paginas para visitantes</web-resource-name Alisson Vale <url-pattern>/public/*</url-pattern> Almir Mendes <http-method>get</http-method> Anselmo Alves <http-method>post</http-method> Antoni Carlos Silveira </web-resource-collection> Azambuja <auth-constraint> <role-name>guest-role</role-name> </auth-constraint> </security-constraint> Repare que o código ficou grande, mas é muito repetitivo. Os pontos de atenção são o elemento url-pattern, onde é gerada a regra para onde as restrições serão aplicadas e, principalmente, o elemento rolename, onde definimos qual a role está associada com aquela regra. Mais uma vez repare que a regra de acesso é associada à role, já a role, por sua vez está associada com um grupo, que por sua vez está associado com um usuário. Agora é só fazer o deploy e executar o projeto. Lembre-se das senhas (ou consulte no banco de dados) e faça o teste de acesso em cada página. Para facilitar disponibilizei o projeto para download, basta clicar aqui. (por algum motivo alheio a minha compreensão o wordpress não deixou o nome do arquivo igual ao original, então, baste colocar um ponto antes do tar, deve ficar project-to-learn-jass.tar.gz) 3 retweet csantanaes em Maré de Agilidade em Vitória-ES: ARQUIVOS BLOGS Blog da Caelum Boaglio Bruno AbstractJ Bruno Carvalho CV Daniel Quirino Fernando Meyer Francisco Souza Franklin Samir Guilherme Chapiewski Guilherme Cirne Guilherme Silveira Juliano Carniel Léo Hackin Loiane Groner Loiane Groner (en_us) Loiane DeveloperWorks Louds Luca Lucas Teixeira

6 Tags: Desenvolvimento, Eclipse, Glassfish, JAAS, Java, Realm, Segurança Compartilhe! Este texto foi publicado em 13 de janeiro de 2009 às 22:53, e está categorizado em Desenvolvimento, Eclipse, Java, Segurança. Você pode acompanhar os comentários desse post através do feed RSS 2.0. Deixe um comentário ou trackback. TRACKBACKS (7) #1 escrito por Rafael Carneiro 15 de janeiro de :51 POSTS RELACIONADOS Parabéns pelo artigo Jevô. É muito bom para a comunidade Java brasileira possuir um artigo de alto nível sobre JAAS. Lucas Teixeira (en_us) Makoto Marcos Sousa Natanael Pantoja Plentz Rafael Carneiro Rafael Steil Reinaldo Junior Rodrigo Cansian Rodrigo Yoshima (Aspercom) Shoes Tiago Motta Tiago Peczenyj Urubatan Visão Ágil Vitor Pellegrino Washington Botelho #2 escrito por Rogério 21 de janeiro de :48 Parabéns a dias procurando material. Não havia encontrado nada bem claro. Já havia entendido todo o funcionamento do JAAS porém não conseguia implementar nada. E o Logout? #3 escrito por jeveaux 21 de janeiro de :01 LINKS Agile ES Caelum Efetividade ESJUG Giran Soluções e Ensino GUJ InfoQ BR PortalJava Olá Rogério, obrigado pelo feedback. Sobre o logout, você pode fazer de maneira programática usando o método logout da classe LoginContext. Abraço META Login Posts RSS RSS dos comentários WordPress.org #4 escrito por Diego Prates 14 de fevereiro de :14 É possível definir as roles em banco de dados tb?? para não precisar definir estáticamente em um arquivo xml, pois minha aplicação necessita possiblitar que o administrador possa definir regras de acesso para os usuários. Obrigado #5 escrito por sebastiao

7 16 de fevereiro de :26 Sobre o logout, você pode fazer de maneira programática usando o método logout da classe LoginContext. Também estou procurando algo sobre o logout. Mas toda referência que encontro é session.invalidate(). Mas como o LoginContext.logout() seria executado? Alguns outros servidores como o Websphere adicionam cookies (ltpa) que inviabilizam o session.invalidate() como solução de logout. Abraço #6 escrito por jeveaux 16 de fevereiro de O session.invalidate() você poderá usar quando estiver, de alguma forma, fazendo o login/logout do usuário de forma manual, trabalhando com algum objeto na sessão. Para garantir é melhor você remover diretamente o objeto da sessão, desta forma você não correrá riscos. Já o logout mencionado, da LoginContext, você usará quando estiver trabalhando com autenticação através de JAAS. #7 escrito por sebastiao 19 de fevereiro de :29 Jeveaux, Acho que não fui claro. Quando programei meu LoginModule, implementei também um método logout(). Quando faço logout na minha aplicação Web usando JAAS, a única coisa que faço é invalidar a sessão e invalidar os eventuais cookies ltpa do WAS. A questão é quando o método logout() do meu LoginModule será disparado? É necessário disparar? Não fica lixo em memória dessa forma? Eu deveria além de invalidar a sessão e cookies, de alguma

8 forma disparar LoginContext.logout()? Como? Abraço #8 escrito por Luiz Taborda Bukowski 27 de fevereiro de :06 Fala Jeveaux, blz? Ótimo post, simprão de tudo, por isso mesmo muito fácil de entender. Cara sempre que vejo um tutorial sobre jaas as permissões nas páginas ficam no web.xml, e se eu quiser manter isso no banco? entendeu minha dúvida? Outra coisa e pra controlar acesso á uma parte do código, como por exemplo um campo, ou um link? #9 escrito por jeveaux 27 de fevereiro de Sobre armazenar as roles em banco de dados, creio que não há nada default pra isso. Dá pra usar um arquivo de policy com o controle de autorização, isso dá sim. Mas nada impede que implementemos um novo LoginModule para usar o banco de Você pode disparar o logou junto com o invalidate, não teria problemas. Mas é estranho, pois ao fazer o invalidate os cookies deveriam ser eliminados completamente e, com isso, a autenticação seria Sobre a exibição de componentes na página de acordo com a permissão do usuário vai depender de que framework de view que você está usando, se não houver suporte a JAAS você vai ter que fazer manualmente. #10 escrito por renan 17 de julho de :30 Existe uma maneira de usarmos chaves primarias substitutas como idusuario e idgrupo ao inves de usarmos os nomes (que no caso sao chaves naturaris)?

9 grande abraço #11 escrito por Leandro 3 de dezembro de :36 Jeveaux, exelente conteúdo,parabéns e obrigado! Eu precisarei autenticar usando informações de mainframe. Existe Realm para mainframe ao invés de jbdcrealm? Outra coisa que notei é que no não fala se é application ou container.sendo assim, por default esta autenticação não seria gerenciada pelo container,certo? me perguntei, como pode haver a configuração do realm no glasfish se não é autenticado por container?fiquei confuso. Obrigado. #12 escrito por jeveaux 4 de dezembro de :40 Olá Leandro, Eu não conheço nenhum realm que possa ser utilizado diretamente com mainframe não =( Talvez (muito talvez), e ainda dependendo de qual mainframe for possa ser que existe algum conector ou algo do tipo para facilitar na comunicação, mas realmente eu não conheço praticamente nada nessa área, não posso ajudar muito. #13 escrito por Danilo Magrini 28 de janeiro de :03 A documentação da Sun sobre JAAS é uma merda, já li tudo que você imagina e ainda não entendi qual é a dele. Entra as dúvidas, quando uso LoginModule com CallbackHandler ou quando devo fazer diretamente no AS como noseu exemplo? #14 escrito por Leandro 1 de fevereiro de :24 jeveaux, no final das contas descobri que não precisarei fazer um realm para mainframe. O que meu cliente faz é carregar um ldap com as informações do mainframe e então a aplicação obtém deste repositório.

10 Ficou mains fácil,certo?rsss Grato pela atenção. #15 escrito por Danilo Magrini 12 de abril de :02 ué.. mas como a aplicação passa o usuário que deverá ser autenticado pelo jaas? #16 escrito por Sebastiao 12 de abril de :09 Pelo que aprendi no decorrer de muito sofrimento, é responsabilidade do servidor fazer o logout no container J2EE. Cada um faz de uma maneira, no JBoss você precisa invalidar a sessão, no Websphere, dependendo da configuração, você precisa invalidar ou excluir um cookie ltap2, e por aí vai. Abraço, #17 escrito por Sebastiao 12 de abril de :09 Ops, o cookie correto é ltpa2. Nome (obrigatório) (obrigatório, não será publicado) Website Quero receber notificações por sobre este post. Enviar

11 Copyright 2010 Jeveaux's Weblog RSS FEEDS