19.8. Web アプリケーション用に Kerberos または MicrosoftActiveDirectory デスクトップ Active Directory を設定する

手順19.1 Web または EJB アプリケーションの SSO 認証を設定する

1. サーバーの ID を表す 1 つのセキュリティードメインを設定します。必要に応じてシステムプロパティーを設定します。

   最初のセキュリティードメインは、コンテナー自体をディレクトリーサービスに対して認証します。実際のユーザーは関与しないため、ある種の静的ログインメカニズムを受け入れるログインモジュールを使用する必要があります。この例では静的プリンシパルを使用し、クレデンシャルが含まれるキータブファイルを参照します。
   XML コードはわかりやすくするためにここに示されていますが、セキュリティードメインを設定するには管理コンソールまたは管理 CLI を使用する必要があります。

   <security-domain name="host" cache-type="default">
      <authentication>
         <login-module code="Kerberos" flag="required">
            <module-option name="storeKey" value="true"/>
            <module-option name="useKeyTab" value="true"/>
            <module-option name="principal" value="host/testserver@MY_REALM"/>
            <module-option name="keyTab" value="/home/username/service.keytab"/>
            <module-option name="doNotPrompt" value="true"/>
            <module-option name="debug" value="false"/>
         </login-module>
      </authentication>
   </security-domain>

2. 1 つまたは複数の Web アプリケーションを保護するために、2 番目のセキュリティードメインを設定します。必要に応じてシステムプロパティーを設定します。

   2 番目のセキュリティードメインは、Kerberos または SPNEGO 認証サーバーに対して個々のユーザーを認証するために使用されます。ユーザーを認証するために少なくとも 1 つのログインモジュールが必要であり、ユーザーに適用するロールを検索するために別のログインモジュールが必要です。次の XML コードは、SPNEGO セキュリティードメインの例を示しています。これには、ロールを個々のユーザーにマップするための承認モジュールが含まれています。認証サーバー自体でロールを検索するモジュールを使用することもできます。

   <security-domain name="SPNEGO" cache-type="default">
      <authentication>
         <!-- Check the username and password -->
         <login-module code="SPNEGO"  flag="requisite">
            <module-option name="password-stacking" value="useFirstPass"/>
            <module-option name="serverSecurityDomain" value="host"/>
         </login-module>
         <!-- Search for roles -->
         <login-module code="UsersRoles" flag="required">
            <module-option name="password-stacking" value="useFirstPass" />
            <module-option name="usersProperties" value="spnego-users.properties" />
            <module-option name="rolesProperties" value="spnego-roles.properties" />
         </login-module> 
      </authentication>
   </security-domain>

3. web.xml で security-constraint と login-config を指定します

   web.xml 記述子には、セキュリティーの制約とログイン設定に関する情報が含まれています。以下は、それぞれの値の例です。

   <security-constraint>
      <display-name>Security Constraint on Conversation</display-name>
      <web-resource-collection>
         <web-resource-name>examplesWebApp</web-resource-name>
         <url-pattern>/*</url-pattern>
      </web-resource-collection>
      <auth-constraint>
      <role-name>RequiredRole</role-name>
      </auth-constraint>
   </security-constraint>
   
   <login-config>
      <auth-method>SPNEGO</auth-method>
      <realm-name>SPNEGO</realm-name>
   </login-config>
    
   <security-role>
      <description> role required to log in to the Application</description>
      <role-name>RequiredRole</role-name>
   </security-role>

4. jboss-web.xml 記述子でセキュリティードメインおよびその他の設定を指定します。

   デプロイメントの jboss-web.xml 記述子でクライアント側のセキュリティードメイン (この例では 2 番目) の名前を指定して、このセキュリティードメインを使用するようにアプリケーションに指示します。
   オーセンティケーターを直接オーバーライドすることはできなくなりました。代わりに、必要に応じて、NegotiationAuthenticator をバルブとして jboss-web.xml 記述子に追加できます。<jacc-star-role-allow> を使用すると、アスタリスク (*) 文字を使用して複数のロール名と一致させることができます。これはオプションです。

   <jboss-web>
      <security-domain>SPNEGO</security-domain>
      <valve>
         <class-name>org.jboss.security.negotiation.NegotiationAuthenticator</class-name>
      </valve>
      <jacc-star-role-allow>true</jacc-star-role-allow>
   </jboss-web>

5. アプリケーションの MANIFEST.MF に依存関係を追加して、ネゴシエーションクラスを見つけます。

   Web アプリケーションにはクラスへの依存が必要ですorg.jboss.security.negotiationJBoss Negotiation クラスを見つけるために、デプロイメントの META-INF/MANIFEST.MF マニフェストに追加されます。以下に、適切にフォーマットされたエントリーを示します。

   Manifest-Version: 1.0
   Build-Jdk: 1.6.0_24
   Dependencies: org.jboss.security.negotiation

   • 別の方法として、META-INF/jboss-deployment-structure.xml ファイルを編集して、アプリケーションに依存関係を追加します。

     <?xml version="1.0" encoding="UTF-8"?>
     <jboss-deployment-structure>
       <deployment>
         <dependencies>
     	<module name='org.jboss.security.negotiation'/>
         </dependencies>
       </deployment>
     </jboss-deployment-structure>