25.11. Kerberos を使用した Active Directory 認証 (GSSAPI)

手順25.7 Active Directory の Kerberos 認証の設定 (ライブラリーモード)

1. JBoss EAP サーバーが Kerberos で認証できるように設定します。これは、以下のような専用セキュリティードメインを設定して実行できます。

   <security-domain name="ldap-service" cache-type="default">
       <authentication>
           <login-module code="Kerberos" flag="required">
               <module-option name="storeKey" value="true"/>
               <module-option name="useKeyTab" value="true"/>
               <module-option name="refreshKrb5Config" value="true"/>
               <module-option name="principal" value="ldap/localhost@INFINISPAN.ORG"/>
               <module-option name="keyTab" value="${basedir}/keytab/ldap.keytab"/>
               <module-option name="doNotPrompt" value="true"/>
           </login-module>
       </authentication>
   </security-domain>

   Copy to Clipboard Toggle word wrap
2. 認証用のセキュリティードメインは JBoss EAP について正常に設定される必要があり、アプリケーションには有効な Kerberos チケットがなければなりません。Kerberos チケットを初期化するには、以下を使用して別のセキュリティードメインを参照する必要があります。

   <module-option name="usernamePasswordDomain" value="krb-admin"/>

   Copy to Clipboard Toggle word wrap

   . これは手順 3 で説明される標準の Kerberos ログインモジュールを参照します。

   <security-domain name="ispn-admin" cache-type="default">
       <authentication>
           <login-module code="SPNEGO" flag="requisite">
               <module-option name="password-stacking" value="useFirstPass"/>
               <module-option name="serverSecurityDomain" value="ldap-service"/>
               <module-option name="usernamePasswordDomain" value="krb-admin"/>
           </login-module>
           <login-module code="AdvancedAdLdap" flag="required">
               <module-option name="password-stacking" value="useFirstPass"/>
               <module-option name="bindAuthentication" value="GSSAPI"/>
               <module-option name="jaasSecurityDomain" value="ldap-service"/>
               <module-option name="java.naming.provider.url" value="ldap://localhost:389"/>
               <module-option name="baseCtxDN" value="ou=People,dc=infinispan,dc=org"/>
               <module-option name="baseFilter" value="(krb5PrincipalName={0})"/>
               <module-option name="rolesCtxDN" value="ou=Roles,dc=infinispan,dc=org"/>
               <module-option name="roleFilter" value="(member={1})"/>
               <module-option name="roleAttributeID" value="cn"/>
           </login-module>
       </authentication>
   </security-domain>

   Copy to Clipboard Toggle word wrap
3. 直前の手順で説明されているセキュリティードメインの認証設定は、以下の標準 Kerberos ログインモジュールを参照します。

   <security-domain name="krb-admin" cache-type="default">
       <authentication>
           <login-module code="Kerberos" flag="required">
               <module-option name="useKeyTab" value="true"/>
               <module-option name="principal" value="admin@INFINISPAN.ORG"/>
               <module-option name="keyTab" value="${basedir}/keytab/admin.keytab"/>
           </login-module>
       </authentication>
   </security-domain>

   Copy to Clipboard Toggle word wrap