5.8.2. Desktop SSO using SPNEGO

Procédure 5.5. Configurer Desktop SSO utilisant SPNEGO

1. Configurer Domaine de sécurité

   Configurer les domaines de sécurité pour qu'il représentent l'identité du serveur et pour sécuriser l'application web.

   Exemple 5.15. Configuration du domaine de sécurité

   <security-domains>
   
       <security-domain name="host" cache-type="default">
   
         <authentication>
   
           <login-module code="Kerberos" flag="required">
   
             <module-option name="storeKey" value="true"/>
   
             <module-option name="useKeyTab" value="true"/>
   
             <module-option name="principal" value="host/testserver@MY_REALM"/>
   
             <module-option name="keyTab" value="/home/username/service.keytab"/>
   
             <module-option name="doNotPrompt" value="true"/>
   
             <module-option name="debug" value="false"/>
   
           </login-module>
   
          </authentication>
   
        </security-domain>
   
      
   
        <security-domain name="SPNEGO" cache-type="default">
   
          <authentication>
   
            <login-module code="SPNEGO"  flag="requisite">
   
              <module-option name="password-stacking" value="useFirstPass"/>
   
              <module-option name="serverSecurityDomain" value="host"/>
   
            </login-module>
   
   
            <!-- Login Module For Roles Search -->
   
          </security-domain>
   
   

2. Configuration des propriétés système

   Si nécessaire, les propriétés système peuvent être configurées dans le modèle de domaine.

   Exemple 5.16. Configurer les propriétés système

   <system-properties>
   
         <property name="java.security.krb5.kdc" value="mykdc.mydomain"/>
   
         <property name="java.security.krb5.realm" value="MY_REALM"/>
   
       </system-properties>
   
   

3. Configurer Application Web

   Il n'est pas possible de remplacer les authentificateurs, mais il est possible d'ajouter le NegotiationAuthenticator comme valve à votre jboss-web.xml pour configurer l'application web.

   Note

   La valve a besoin d'avoir security-constraint et login-config définis dans le fichier web.xml car c'est utilisé pour décider quelles sources sont sécurisées. Cependant, l' auth-method est remplacée par cet authenticateur.

   Exemple 5.17. Configurer Application Web

    <!DOCTYPE jboss-web PUBLIC
     "-//JBoss//DTD Web Application 2.4//EN"
     "http://www.jboss.org/j2ee/dtd/jboss-web_4_0.dtd">   
   
     <jboss-web>
   
       <security-domain>java:/jaas/SPNEGO</security-domain>
   
       <valve>
   
         <class-name>org.jboss.security.negotiation.NegotiationAuthenticator</class-name>
   
       </valve>
   
     </jboss-web>
   
   

   L'application web exige aussi qu'une dépendance soit définie dans META-INF/MANIFEST.MF pour trouver les classes de JBoss Negotiation.

   Exemple 5.18. Définir la dépendance dans META-INF/MANIFEST.MF

       Manifest-Version: 1.0
   
       Build-Jdk: 1.6.0_24
   
       Dependencies: org.jboss.security.negotiation