2.10. 使用 bearer 令牌配置身份验证和授权

流程

1. 使用 keytool 创建密钥存储。

   使用 keytool 创建密钥存储 的示例：

   keytool -genkeypair -alias <alias_name> -keyalg <key_algorithm> -keysize <key_size> -validity <key_validity_in_days> -keystore <key_store_path> -dname <distinguished_name> -keypass <key_password> -storepass  <key_store_password>

   接下来，在 elytron 子系统中添加 密钥存储 定义。

   在 elytron 子系统中添加 密钥存储 定义的示例：

   /subsystem=elytron/key-store=<key_store_name>:add(path=<key_store_path> , credential-reference={clear-text=<key_store_password>}, type=<keystore_type>)

2. 在 elytron 子系统中创建 token-realm，并为您的 token-realm 指定属性和 jwt 令牌验证器。

   在 elytron 子系统中创建 令牌域 的示例：

   /subsystem=elytron/token-realm=<token_realm_name>:add(jwt={issuer=[<issuer_name>],audience=[<audience_name>],key-store=<key_store_name>,certificate=<alias_name>},principal-claim=<principal_claim_key>)

流程

1. 创建令牌域。

   使用 elytron 子系统创建令牌域示例：

   /subsystem=elytron/token-realm=<token_realm_name>:add(principal-claim=<principal_claim_key>, oauth2-introspection={client-id=<client_id>, client-secret=<client_secret>, introspection-url=<introspection_URL>})

   以下示例显示了 token - realm 元素中指定的 oauth2-introspection 元素。此令牌域配置为针对预定义的 oauth2-introtion 端点验证令牌。oauth2-introspection 端点使用 client-id 和 client -secret 属性中指定的值来识别客户端。

   token -realm 元素中的 oauth2-introspection 元素示例：

   <token-realm name="${token_realm_name}" principal-claim="${principal_claim_key}">
       <oauth2-introspection client-id="${client_id}"
                             client-secret="${client_secret}"
                             introspection-url="${introspection_URL}"
                             host-name-verification-policy="${hostname_verification_policy_value}"/>
   </token-realm>

流程

1. 在 elytron 子系统中创建安全域。确保您在安全域中指定您的令牌安全域。

   在 elytron 子系统中创建安全域的示例.

   /subsystem=elytron/security-domain=<security_domain_name>:add(realms=[{realm=<token_realm_name>,role-decoder=<role_decoder_name>}],permission-mapper=<permission_mapper_name>,default-realm=<token_realm_name>)

2. 创建使用 BEARER_TOKEN 机制的 http-authentication-factory。

   创建 http-authentication-factory 的示例.

   /subsystem=elytron/http-authentication-factory=<authentication_factory_name>:add(security-domain=<security_domain_name>,http-server-mechanism-factory=global,mechanism-configurations=[{mechanism-name=BEARER_TOKEN,mechanism-realm-configurations=[{realm-name=<token_realm_name>}]}])

3. 在 undertow 子系统中配置 application-security-domain。

   在 undertow 子系统中配置 application-security-domain 的示例：

   /subsystem=undertow/application-security-domain=<application_security_domain_name>:add(http-authentication-factory=<authentication_factory_name>)

4. 配置应用的 web.xml 和 jboss-web.xml 文件。您必须确保应用程序的 web.xml 指定 BEARER_TOKEN 身份验证方法。此外，确保 jboss-web.xml 使用您在 JBoss EAP 中配置的 application-security-domain。