4.17. 安全服务器配置更改

如果 JBoss EAP 7.0 中的服务器无法访问 LDAP 域，则 security 子系统会返回 HTTP 状态代码"401 Unauthorized"。

JBoss EAP 7.1 及之后的版本中的旧 security 子系统现在会返回 HTTP 状态代码 "500 Internal Error"，以更准确地描述导致服务器成功处理请求的意外状况。

在 JBoss EAP 7.0 中，org.jboss.as.domain.management.security.parseGroupNameFromLdapDN 系统属性用于启用 LDAP 安全域从 DN 解析角色。当此属性设置为 true 时，会从 DN 解析角色。否则，会使用普通的 LDAP 搜索来搜索角色。

在 JBoss EAP 7.1 及更新的版本中，这个系统属性已弃用。反之，您可以使用以下管理 CLI 命令在核心服务路径中将新引入的 parse-group-name-from-dn 属性设置为 true 来配置这个选项：

/core-service=management/security-realm=REALM_NAME/authorization=ldap/group-search=principal-to-group:add(parse-group-name-from-dn=true)

/core-service=management/security-realm=REALM_NAME/authorization=ldap/group-search=principal-to-group:add(parse-group-name-from-dn=true)

在 JBoss EAP 7.0 中，当管理界面配置为使用 ldapSSL 安全域时，服务器和 LDAP 之间的相互身份验证会失败，从而导致管理界面中的身份验证失败。这是因为，会进行两个不同的 LDAP 连接，每个连接各自有不同的线程，它们不共享 SSL 会话。

JBoss EAP 7.1 在 LDAP outbound-connection 中添加了一个新的 always-send-client-cert 管理属性（布尔值）。这个选项允许配置出站 LDAP 连接以支持配置为始终需要客户端证书的 LDAP 服务器。

LDAP 身份验证分为两个步骤：

默认情况下，always-send-client-cert 属性设为 false，即客户端 SSL 证书仅通过第一个搜索帐户请求发送。当此属性设置为 true 时，JBoss EAP LDAP 客户端使用搜索和验证请求将客户端证书发送到 LDAP 服务器。

您可以使用以下管理 CLI 命令将此属性设置为 true。

/core-service=management/ldap-connection=my-ldap-connection:write-attribute(name=always-send-client-cert,value=true)

/core-service=management/ldap-connection=my-ldap-connection:write-attribute(name=always-send-client-cert,value=true)

这会在服务器配置文件中生成以下 LDAP 出站连接。

<management>
  ....
  <outbound-connections>
    <ldap name="my-ldap-connection" url="ldap://127.0.0.1:389" search-dn="cn=search,dc=myCompany,dc=com" search-credential="myPass" always-send-client-cert="true"/>
  </outbound-connections>
  ....
</management>

<management>
  ....
  <outbound-connections>
    <ldap name="my-ldap-connection" url="ldap://127.0.0.1:389" search-dn="cn=search,dc=myCompany,dc=com" search-credential="myPass" always-send-client-cert="true"/>
  </outbound-connections>
  ....
</management>