主页
产品
Red Hat JBoss Enterprise Application Platform
6.2
安全指南
10.12.2. 在管理接口里使用 LDAP 进行验证

10.12.2. 在管理接口里使用 LDAP 进行验证

要在管理控制台、管理 CLI 或 API 里将 LDAP 目录服务器用作验证源，你需要执行下列过程:

创建一个到 LDAP 服务器的转出连接。
创建一个启用 LDAP 的安全区。
在管理接口里引用新的安全区。

创建一个到 LDAP 服务器的转出连接

LDAP 转出连接允许下列属性：

Expand

表 10.1. LDAP 转出连接的属性
属性	要求的	描述
url	是	目录服务器的 URL 地址。
search-dn	是	授权执行搜索的用户的全限定可区分名称（Distinguished Name，DN）。
search-credentials	是	用户授权执行搜索的密码。
initial-context-factory	否	当建立连接时使用的初始上下文。默认为 `com.sun.jndi.ldap.LdapCtxFactory`。
security-realm	否	为了获得建立连接时所需的已配置的 `SSLContext` 而引用的安全区。

例 10.13. 添加 LDAP 转出连接

这个例子用下列属性集添加了一个转出连接：

搜索 DN: cn=search,dc=acme,dc=com
搜索凭证: myPass
URL: ldap://127.0.0.1:389

第一个命令添加了安全区。

/host=master/core-service=management/security-realm=ldap_security_realm:add

/host=master/core-service=management/security-realm=ldap_security_realm:add

Copy to Clipboard

Toggle word wrap

第二个命令添加了 LDAP 连接。

/host=master/core-service=management/ldap-connection=ldap_connection/:add(search-credential=myPass,url=ldap://127.0.0.1:389,search-dn="cn=search,dc=acme,dc=com")

/host=master/core-service=management/ldap-connection=ldap_connection/:add(search-credential=myPass,url=ldap://127.0.0.1:389,search-dn="cn=search,dc=acme,dc=com")

Copy to Clipboard

Toggle word wrap

创建一个启用 LDAP 的安全区

管理接口可以针对 LDAP 服务器而不是默认的基于属性文件的安全区进行验证。LDAP 验证器将首先建立一个和远程目录服务器的连接，然后使用传入验证系统的用户名来执行搜索以找到 LDAP 记录的全限定可区分名称（Distinguished Name，DN）。新的连接将以用户的 DN 为凭证以及用户提供的密码来建立。如果这个针对 LDAP 服务器的验证成功，DN 就被证明为有效的。

LDAP 安全区需要下列配置属性和元素来执行它的功能。

connection

<outbound-connections> 里定义的连接的名称，用来连接 LDAP 目录。

base-dn

用户开始搜索的上下文的可区分的名称。

recursive

搜索是否应该在 LDAP 目录树里进行递归，或者只搜索指定的上下文。默认为 false。

user-dn

保存可区分名称的用户的属性。它会被用来测试验证。默认为 dn。

子元素是 username-filter 或 advanced-filter 中的一个。

username-filter 采用一个名为 attribute 的属性，它的值是保存用户名的 LDAP 属性的名称，如 userName 或 sambaAccountName。

advanced-filter 采用一个名为 filter 的属性。这个属性包含以标准 LDAP 语法编写的过滤器队列。请小心地将 & 字符修改为 &。下面是一个过滤器的例子：

(&(sAMAccountName={0})(memberOf=cn=admin,cn=users,dc=acme,dc=com))

(&(sAMAccountName={0})(memberOf=cn=admin,cn=users,dc=acme,dc=com))

Copy to Clipboard

Toggle word wrap

After escaping the ampersand character, the filter appears as:

(&amp;(sAMAccountName={0})(memberOf=cn=admin,cn=users,dc=acme,dc=com))

(&amp;(sAMAccountName={0})(memberOf=cn=admin,cn=users,dc=acme,dc=com))

Copy to Clipboard

Toggle word wrap

例 10.14. 代表启用了 LDAP 的安全区的 XML 片段

这个例子使用了下列参数：

connection - ldap_connection
base-dn - cn=users,dc=acme,dc=com.
username-filter - attribute="sambaAccountName"

<security-realm name="ldap_security_realm">
   <authentication>
      <ldap connection="ldap_connection" base-dn="cn=users,dc=acme,dc=com">
         <username-filter attribute="sambaAccountName" />
      </ldap>
  </authentication>
</security-realm>

<security-realm name="ldap_security_realm">
   <authentication>
      <ldap connection="ldap_connection" base-dn="cn=users,dc=acme,dc=com">
         <username-filter attribute="sambaAccountName" />
      </ldap>
  </authentication>
</security-realm>

Copy to Clipboard

Toggle word wrap

警告

确保不允许空 LDAP 密码是很重要的；除非你故意这么做，但这是严重的安全隐患。

EAP 6.1 包含一个用于 CVE-2012-5629 的补丁，它设置 LDAP 登录模块的 allowEmptyPasswords 选项为 false（如果它还没有被设置）。在旧的版本里，这个选项应该手动进行配置。

例 10.15. 添加 LDAP 安全区

下面的命令添加了一个安全区并针对独立服务器设置其属性。

/host=master/core-service=management/security-realm=ldap_security_realm/authentication=ldap:add(base-dn="DC=mycompany,DC=org", recursive=true, username-attribute="MyAccountName", connection="ldap_connection")

/host=master/core-service=management/security-realm=ldap_security_realm/authentication=ldap:add(base-dn="DC=mycompany,DC=org", recursive=true, username-attribute="MyAccountName", connection="ldap_connection")

Copy to Clipboard

Toggle word wrap

应用新的安全区到管理接口里

在创建了安全区后，你需要在管理接口的配置里引用它。管理接口将使用安全区来进行 HTTP digest 验证。

例 10.16. 应用安全区到 HTTP 接口里

在配置完成后，你重启主机控制器，基于 web 的管理控制台将使用 LDAP 来验证用户。

/host=master/core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=ldap-security-realm)

/host=master/core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=ldap-security-realm)

Copy to Clipboard

Toggle word wrap

配置受管域成员以使用 Microsoft Active Directory 来进行验证

要配置受管域里的主机根据 Microsoft Active Directory 来验证，请按照这个过程来进行，它创建了一个安全域并使用 JAAS 验证映射角色到活动目录组。这个过程是必需的，因为 Microsoft Active Directory 允许用空的密码进行绑定。这个过程防止了在应用程序平台里使用空的密码。

在执行这个过程之前，你需要知道主机控制器的名称。这个例子假定主机控制器名为 master。

添加一个名为 ldap_security_realm 的新的 <security-realm>，并配置它使用 JAAS。

下列管理 CLI 命令添加了新的安全区并设置了它的验证机制。请按需要修改主机的名称。

/host=master/core-service=management/security-realm=ldap_security_realm/:add

/host=master/core-service=management/security-realm=ldap_security_realm/:add

Copy to Clipboard

Toggle word wrap

/host=master/core-service=management/security-realm=ldap_security_realm/authentication=jaas/:add(name=managementLDAPDomain)

/host=master/core-service=management/security-realm=ldap_security_realm/authentication=jaas/:add(name=managementLDAPDomain)

Copy to Clipboard

Toggle word wrap

配置 <http-interface> 以使用这个新的安全区。

下列管理 CLI 命令配置了 HTTP 接口。

/host=master/core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=ldap_security_realm)

/host=master/core-service=management/management-interface=http-interface/:write-attribute(name=security-realm,value=ldap_security_realm)

Copy to Clipboard

Toggle word wrap

配置 JBoss EAP，在其启动参数里添加自定义的 JAAS 配置。
编辑 EAP_HOME/bin/domain.conf 文件。搜索 HOST_CONTROLLER_JAVA_OPTS 变量。这是你添加 JBoss EAP 启动前所需的 JVM 指令的地方。下面是这个参数的默认内容的示例：
```
HOST_CONTROLLER_JAVA_OPTS="$JAVA_OPTS"
```
```
HOST_CONTROLLER_JAVA_OPTS="$JAVA_OPTS"
```
Copy to Clipboard Toggle word wrap
添加下列指令：-Djava.security.auth.login.config=/opt/jboss-eap-6.0/domain/configuration/jaas.conf"
被编辑的行类似于：
```
-Djava.security.auth.login.config=/opt/jboss-eap-6.0/domain/configuration/jaas.conf"
```
```
-Djava.security.auth.login.config=/opt/jboss-eap-6.0/domain/configuration/jaas.conf"
```
Copy to Clipboard Toggle word wrap
在模块选项里添加登陆模块。
在相同的文件里，找到包含下列内容的行：
```
JBOSS_MODULES_SYSTEM_PKGS="org.jboss.byteman"
```
```
JBOSS_MODULES_SYSTEM_PKGS="org.jboss.byteman"
```
Copy to Clipboard Toggle word wrap
修改它为下面的样子请确保不要插入任何多余的空格。
```
JBOSS_MODULES_SYSTEM_PKGS="org.jboss.byteman,com.sun.security.auth.login"
```
```
JBOSS_MODULES_SYSTEM_PKGS="org.jboss.byteman,com.sun.security.auth.login"
```
Copy to Clipboard Toggle word wrap
保存并关闭 domain.conf 文件。

创建将添加至 classpath 的 JAAS 配置。

在下列位置创建一个新的文件：EAP_HOME/domain/configuration/jaas.conf

这个文件应该包含下列内容。请按照自己的环境编辑相关的参数。

managementLDAPDomain {
    org.jboss.security.auth.spi.LdapExtLoginModule required
        java.naming.factory.initial="com.sun.jndi.ldap.LdapCtxFactory"
        java.naming.provider.url="ldap://your_active_directory_host:389"
        java.naming.security.authentication="simple"
        bindDN="cn=Administrator,cn=users,dc=domain,dc=your_company,dc=com"
        bindCredential="password"
        baseCtxDN="cn=users,dc=domain,dc=redhat,dc=com"
        baseFilter="(&(sAMAccountName={0})(|(memberOf=cn=Domain Guests,cn=Users,dc=domain,dc=acme,dc=com)(memberOf=cn=Domain Admins,cn=Users,dc=domain,dc=acme,dc=com)))"
        allowEmptyPasswords="false"
        rolesCtxDN="cn=users,dc=domain,dc=acme,dc=com"
        roleFilter="(cn=no such group)"
        searchScope="SUBTREE_SCOPE";
};

managementLDAPDomain {
    org.jboss.security.auth.spi.LdapExtLoginModule required
        java.naming.factory.initial="com.sun.jndi.ldap.LdapCtxFactory"
        java.naming.provider.url="ldap://your_active_directory_host:389"
        java.naming.security.authentication="simple"
        bindDN="cn=Administrator,cn=users,dc=domain,dc=your_company,dc=com"
        bindCredential="password"
        baseCtxDN="cn=users,dc=domain,dc=redhat,dc=com"
        baseFilter="(&(sAMAccountName={0})(|(memberOf=cn=Domain Guests,cn=Users,dc=domain,dc=acme,dc=com)(memberOf=cn=Domain Admins,cn=Users,dc=domain,dc=acme,dc=com)))"
        allowEmptyPasswords="false"
        rolesCtxDN="cn=users,dc=domain,dc=acme,dc=com"
        roleFilter="(cn=no such group)"
        searchScope="SUBTREE_SCOPE";
};

Copy to Clipboard

Toggle word wrap

重启 JBoss EAP，你的 HTTP 接口应该使用 LDAP 服务器来验证了。

提交 bug 报告

返回顶部

10.12.2. 在管理接口里使用 LDAP 进行验证

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links