JAAS 程式化登入

在開始使用程式化登入 API 進行開發之前，請考量下列要點:

• 對於純 Java 用戶端應用程式或用戶端儲存器應用程式，請先起始設定用戶端 Object Request Broker (ORB) 安全，再執行 JAAS 登入。 在 JAAS 登入之前執行下列程式碼來執行此動作:

  ...
  import java.util.Hashtable;
  import javax.naming.Context;
  import javax.naming.InitialContext;
  ...
  // Perform an InitialContext and default lookup prior to logging 
  // in to initialize ORB security and for the bootstrap host/port 
  // to be determined for SecurityServer lookup. If you do not want 
  // to validate the userid/password during the JAAS login, disable 
  // the com.ibm.CORBA.validateBasicAuth property in the 
  // sas.client.props file.
  
  Hashtable env = new Hashtable();
  env.put(Context.INITIAL_CONTEXT_FACTORY, 
      "com.ibm.websphere.naming.WsnInitialContextFactory");
  env.put(Context.PROVIDER_URL, 
       "corbaloc:iiop:myhost.mycompany.com:2809");
  Context initialContext = new InitialContext(env);
  Object obj = initialContext.lookup("");
  

  附註: 每當連接至 z/OS® 伺服器時，請設定 com.ibm.CORBA.validateBasicAuth=false 。 此功能目前無法從分散式用戶端運作到 z/OS 伺服器，因為 SecurityServer 是使用 z/OS 系統上不接受的 "UNAUTHENTICATED" 主體找到的。
• 對於純 Java 用戶端應用程式或用戶端儲存器應用程式，請確定已適當地指定目標「Java 命名和目錄介面 (JNDI)」引導內容的主機名稱和埠號。 如需詳細資料，請參閱 開發使用 CosNaming (CORBA 命名介面) 一節。
• 如果應用程式使用自訂 JAAS 登入配置，請確定 自訂 JAAS 登入配置已適當定義。
• 部分 JAAS API 受到 Java 2 安全許可權保護。 如果應用程式碼使用這些 API ，請確定這些許可權已新增至應用程式 was.policy 檔。 如需詳細資料，請參閱 將 was.policy 檔新增至 Java 2 安全的應用程式、 使用 PolicyTool 來編輯 Java 2 安全的原則檔 及 配置 Java 2 安全的 was.policy 檔 小節。 如需哪些 API 受到 Java 2 安全許可權保護的詳細資料，請檢查 IBM® Developer Kit Java Technology Edition; JAAS 和 WebSphere Application Server 公用 API 文件，以取得詳細資料。 下列清單包含在本文件所提供的範例程式碼中使用的 API。
  • javax.security.auth.login.LoginContext 建構子受到 javax.security.auth.AuthPermission "createLoginContext" 保護。
  • javax.security.auth.Subject.doAs 和 com.ibm.websphere.security.auth.WSSubject.doAs 受到 javax.security.auth.AuthPermission "doAs" 保護。
  • javax.security.auth.Subject.doAsPrivileged 和 com.ibm.websphere.security.auth.WSSubject.doAsPrivileged 受到 javax.security.auth.AuthPermission "doAsPrivileged" 的保護。
• com.ibm.websphere.security.auth.WSSubject: 由於 JAAS 1.0版中的設計監督， javax.security.auth.Subject.getSubject 不會傳回與 java.security.AccessController.doPrivileged 程式碼區塊。 這可能呈現有問題的不一致行為，並導致不想要的工作暫行解決方法。 com.ibm.websphere.security.auth.WSSubject API 提供暫行解決方法，可讓「主體」與執行中的執行緒產生關聯。 com.ibm.websphere.security.auth.WSSubject API 會將 JAAS 模型延伸至 Java EE 資源，以進行授權檢查。 與 com.ibm.websphere.security.auth.WSSubject.doAs 或 com.ibm.websphere.security.auth.WSSubject.doAsPrivileged 程式碼區塊內執行中的執行緒相關聯的「主題」用於 Java EE 資源授權檢查。
• 定義新的 JAAS 登入配置的管理主控台支援: 您可以在管理主控台中配置 JAAS 登入配置，並將它儲存在 WebSphere Application Server 配置 API 中。 應用程式可以在管理主控台中定義新的 JAAS 登入配置，資料會持續保存在 WebSphere Application Server 配置 API 所儲存的配置儲存庫中。 不過， WebSphere Application Server 仍然支援 JAAS 預設實作所提供的預設 JAAS 登入配置格式。 如果同時以 WebSphere Application Server 配置 API 和純文字檔案格式來定義重複登入配置，則 WebSphere Application Server 配置 API 中的登入配置優先。 在 WebSphere Application Server 配置 API 中定義登入配置的優點包括:
  • 利用管理主控台來定義 JAAS 登入配置。
  • 集中管理 JAAS 登入配置。
  • 在 WebSphere Application Server Network Deployment 安裝中配送 JAAS 登入配置。
• WebSphere Application Server的 JAAS 登入配置: WebSphere Application Server 為應用程式提供 JAAS 登入配置，以執行 WebSphere Application Server 安全執行時期的程式化鑑別。 WebSphere Application Server 的這些 JAAS 登入配置會根據所提供的鑑別資料，對所配置的鑑別機制、簡易 WebSphere 鑑別機制 (SWAM) 或小型認證機構 (LTPA) ，以及使用者登錄 (本端 OS、LDAP 或自訂) 執行鑑別。 這些 JAAS 登入配置中的已鑑別主體包含必要的主體和認證，可供 WebSphere Application Server 安全執行時期用來對 Java EE 角色型受保護資源執行授權檢查。
  附註: SWAM 在 WebSphere Application Server 9.0 中已淘汰，並將在未來版本中移除。
  以下是 WebSphere Application Server所提供的 JAAS 登入配置:
  • WSLogin JAAS 登入配置 :Java 用戶端、用戶端儲存器應用程式、Servlet、JSP 檔、Enterprise Bean 等，可用來執行以使用者 ID 和密碼為基礎的鑑別，或 WebSphere Application Server 安全記號的通用 JAAS 登入配置 執行時期。 不過，這項配置不支援用戶端儲存器部署描述子中指定的 CallbackHandler 處理程式。
  • ClientContainer JAAS 登入配置: 這個 JAAS 登入配置可辨識用戶端儲存器部署描述子中指定的 CallbackHandler 處理程式。 這個登入配置的登入模組會使用用戶端儲存器部署描述子中的 CallbackHandler 處理程式 (如果有指定的話) ，即使應用程式碼在登入環境定義中指定了一個 CallbackHandler 處理程式也一樣。 這是用於用戶端儲存器應用程式。
  • 使用先前提及的 JAAS 登入配置來鑑別的主體包含 com.ibm.websphere.security.auth.WSPrincipal 主體和 com.ibm.websphere.security.auth.WSCredential 認證。 如果將已鑑別的 Subject 傳給 com.ibm.websphere.security.auth.WSSubject.doAs 方法或其他 doAs 方法， WebSphere Application Server 安全執行時期可以根據 com.ibm.websphere.security.auth.WSCredential 認證，對 Java EE 資源執行授權檢查。
• 客戶定義的 JAAS 登入配置: 您可以 定義其他 JAAS 登入配置。 使用這些登入配置，對自訂鑑別機制執行程式化鑑別。 不過，如果主體不包含必要的主體和認證， WebSphere Application Server 安全執行時期可能不會使用這些客戶定義 JAAS 登入配置中的主體來執行授權檢查。

下列 determineCause 範例可用於處理「 CustomUser登錄」異常狀況類型。

try 
    {
         lc.login(); 
    } 
    catch (LoginException le)
    {
	// drill down through the exceptions as they might cascade through the runtime
	Throwable root_exception = determineCause(le);
	
	// now you can use "root_exception" to compare to a particular exception type
	// for example, if you have implemented a CustomUserRegistry type, you would 
  //  know what to look for here.
    }


/* Method used to drill down into the WSLoginFailedException to find the 
"root cause" exception */

    public Throwable determineCause(Throwable e) 
      {
				Throwable root_exception = e, temp_exception = null;

				// keep looping until there are no more embedded WSLoginFailedException or 
				// WSSecurityException exceptions 
         while (true) 
				{
						if (e instanceof com.ibm.websphere.security.auth.WSLoginFailedException)
						{
							temp_exception = ((com.ibm.websphere.security.auth.WSLoginFailedException)
							e).getCause();
						}
						else if (e instanceof com.ibm.websphere.security.WSSecurityException)
						{
							temp_exception = ((com.ibm.websphere.security.WSSecurityException)
							e).getCause();
						}
						else if (e instanceof javax.naming.NamingException)
								// check for Ldap embedded exception
								{
										temp_exception = ((javax.naming.NamingException)e).getRootCause();
								}
						else if (e instanceof your_custom_exception_here)
						{
								// your custom processing here, if necessary
						}
						else
						{
								// this exception is not one of the types we are looking for,
								// lets return now, this is the root from the WebSphere 
								//  Application Server perspective
								return root_exception;
						}
						if (temp_exception != null)
						{
								// we have an exception; go back and see if this has another
								// one embedded within it.
								root_exception = temp_exception;
								e = temp_exception;
								continue;
						}
						else
						{
								// we finally have the root exception from this call path, this
								// has to occur at some point
								return root_exception;
						}
				}
		}

在處理後置表單登入處理時，您也可以從 Servlet 過濾器收到主要原因異常狀況。 此異常狀況非常有用，因為它會向使用者顯示發生的情況。 您可以發出下列 API ，以取得主要原因異常狀況:

Throwable t = com.ibm.websphere.security.auth.WSSubject.getRootLoginException();  
if (t != null)  	
         t = determineCause(t);

WebSphere Application Server 提供 javax.security.auth.callback.CallbackHandler 介面的非提示實作，稱為 com.ibm.websphere.security.auth.callback.WSCallbackHandlerImpl。 使用此介面，應用程式可以將鑑別資料推送至 WebSphere LoginModule 實例，以執行鑑別。 這項功能有助於伺服器端應用程式碼鑑別身分，以及使用該身分來呼叫下游 Java EE 資源。

javax.security.auth.login.LoginContext lc = null;

try {
lc = new javax.security.auth.login.LoginContext("WSLogin",
new com.ibm.websphere.security.auth.callback.WSCallbackHandlerImpl("user", 
      "securityrealm", "securedpassword"));

// create a LoginContext and specify a CallbackHandler implementation
// CallbackHandler implementation determine how authentication data is collected
// in this case, the authentication data is "push" to the authentication mechanism
//   implemented by the LoginModule.
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: failed to instantiate a LoginContext and the exception: " 
+ e.getMessage());
e.printStackTrace();

// maybe javax.security.auth.AuthPermission "createLoginContext" is not granted
//   to the application, or the JAAS login configuration is not defined.
}

if (lc != null)
try {
lc.login();  // perform login
javax.security.auth.Subject s = lc.getSubject();
// get the authenticated subject

// Invoke a Java EE resource using the authenticated subject
com.ibm.websphere.security.auth.WSSubject.doAs(s,
new java.security.PrivilegedAction() {
public Object run() {
try {
bankAccount.deposit(100.00);  // where bankAccount is a protected EJB
} catch (Exception e) {
System.out.println("ERROR: error while accessing EJB resource, exception: " 
+ e.getMessage());
e.printStackTrace();
}
return null;
}
}
);
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: login failed with exception: " + e.getMessage());
e.printStackTrace();

// login failed, might want to provide relogin logic
}

WebSphere Application Server 也提供 javax.security.auth.callback.CallbackHandler 實作的使用者介面實作，以透過使用者介面登入提示來收集使用者的鑑別資料。 com.ibm.websphere.security.auth.callback.WSGUICallbackHandlerImpl 回呼處理常式會呈現使用者介面登入畫面，以提示使用者輸入鑑別資料。

javax.security.auth.login.LoginContext lc = null;

try {
lc = new javax.security.auth.login.LoginContext("WSLogin",
new com.ibm.websphere.security.auth.callback.WSGUICallbackHandlerImpl());

// create a LoginContext and specify a CallbackHandler implementation
// CallbackHandler implementation determine how authentication data is collected
// in this case, the authentication date is collected by GUI login prompt
//   and pass to the authentication mechanism implemented by the LoginModule.
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: failed to instantiate a LoginContext and the exception: " 
+ e.getMessage());
e.printStackTrace();

// maybe javax.security.auth.AuthPermission "createLoginContext" is not granted
//   to the application, or the JAAS login configuration is not defined.
}

if (lc != null)
try {
lc.login();  // perform login
javax.security.auth.Subject s = lc.getSubject();
// get the authenticated subject

// Invoke a Java EE resources using the authenticated subject
com.ibm.websphere.security.auth.WSSubject.doAs(s,
new java.security.PrivilegedAction() {
public Object run() {
try {
bankAccount.deposit(100.00);  // where bankAccount is a protected enterprise bean
} catch (Exception e) {
System.out.println("ERROR: error while accessing EJB resource, exception: " 
+ e.getMessage());
e.printStackTrace();
}
return null;
}
}
);
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: login failed with exception: " + e.getMessage());
e.printStackTrace();

// login failed, might want to provide relogin logic
}

如果 wsjaas_client.conf 檔案中存在下列選項，請將它們設為 false:

javax.security.auth.login.LoginContext lc = null;

String krb5Ccache = /etc/krb5/krb5cc_utle;

try {
lc = new javax.security.auth.login.LoginContext("WSKRB5Login",
new com.ibm.websphere.security.auth.callback.WSCcacheCallBackHandlerImpl(user, krb5Realm, krb5Ccache, false));
// create a LoginContext and specify a CallbackHandler implementation
// CallbackHandler implementation determines how authentication data is collected
// in this case, the authentication date is collected by stdin prompt
// and passed to the authentication mechanism implemented by the LoginModule.
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: failed to instantiate a LoginContext and the exception: 
          " + e.getMessage());
e.printStackTrace();

// maybe javax.security.auth.AuthPermission "createLoginContext" is not granted
//   to the application, or the JAAS login configuration is not defined.
}

if (lc != null)
try {
lc.login();  // perform login
javax.security.auth.Subject s = lc.getSubject();
// get the authenticated subject

// Invoke a Java EE resource using the authenticated subject
com.ibm.websphere.security.auth.WSSubject.doAs(s,
new java.security.PrivilegedAction() {
public Object run() {
try {
bankAccount.deposit(100.00);  
// where bankAccount is a protected enterprise bean
} catch (Exception e) {
System.out.println("ERROR: error while accessing EJB resource, exception: " 
       + e.getMessage());
e.printStackTrace();
}
return null;
}
}
);
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: login failed with exception: " + e.getMessage());
e.printStackTrace();

// login failed, might want to provide relogin logic
}

Application Server with the default Kerberos credential cache.

javax.security.auth.login.LoginContext lc = null;

try {
lc = new javax.security.auth.login.LoginContext("WSKRB5Login",
new com.ibm.websphere.security.auth.callback.WSCcacheCallBackHandlerImpl(user, krb5Realm, null, true));
// create a LoginContext and specify a CallbackHandler implementation
// CallbackHandler implementation determines how authentication data is collected
// in this case, the authentication date is collected by stdin prompt
// and passed to the authentication mechanism implemented by the LoginModule.
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: failed to instantiate a LoginContext and the exception: 
          " + e.getMessage());
e.printStackTrace();

// maybe javax.security.auth.AuthPermission "createLoginContext" is not granted
//   to the application, or the JAAS login configuration is not defined.
}

if (lc != null)
try {
lc.login();  // perform login
javax.security.auth.Subject s = lc.getSubject();
// get the authenticated subject

// Invoke a Java EE resource using the authenticated subject
com.ibm.websphere.security.auth.WSSubject.doAs(s,
new java.security.PrivilegedAction() {
public Object run() {
try {
bankAccount.deposit(100.00);  
// where bankAccount is a protected enterprise bean
} catch (Exception e) {
System.out.println("ERROR: error while accessing EJB resource, exception: " 
       + e.getMessage());
e.printStackTrace();
}
return null;
}
}
);
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: login failed with exception: " + e.getMessage());
e.printStackTrace();

// login failed, might want to provide relogin logic
}

Application Server with the Microsoft native Kerberos credential cache. The client must
login to the Microsoft Domain Controller.

javax.security.auth.login.LoginContext lc = null;

try {
lc = new javax.security.auth.login.LoginContext("WSKRB5Login",
new com.ibm.websphere.security.auth.callback.WSCcacheCallBackHandlerImpl(null, null, null, true));
// create a LoginContext and specify a CallbackHandler implementation
// CallbackHandler implementation determines how authentication data is collected
// in this case, the authentication date is collected by stdin prompt
// and passed to the authentication mechanism implemented by the LoginModule.
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: failed to instantiate a LoginContext and the exception: 
          " + e.getMessage());
e.printStackTrace();

// maybe javax.security.auth.AuthPermission "createLoginContext" is not granted
//   to the application, or the JAAS login configuration is not defined.
}

if (lc != null)
try {
lc.login();  // perform login
javax.security.auth.Subject s = lc.getSubject();
// get the authenticated subject

// Invoke a Java EE resource using the authenticated subject
com.ibm.websphere.security.auth.WSSubject.doAs(s,
new java.security.PrivilegedAction() {
public Object run() {
try {
bankAccount.deposit(100.00);  
// where bankAccount is a protected enterprise bean
} catch (Exception e) {
System.out.println("ERROR: error while accessing EJB resource, exception: " 
       + e.getMessage());
e.printStackTrace();
}
return null;
}
}
);
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: login failed with exception: " + e.getMessage());
e.printStackTrace();

// login failed, might want to provide relogin logic
}

WebSphere Application Server 也提供 javax.security.auth.callback.CallbackHandler 介面的 stdin 實作。 回呼處理常式 com.ibm.websphere.security.auth.callback.WSStdinCallbackHandlerImpl會提示並透過 stdin 提示從使用者收集鑑別資料。

javax.security.auth.login.LoginContext lc = null;

try {
lc = new javax.security.auth.login.LoginContext("WSLogin",
new com.ibm.websphere.security.auth.callback.WSStdinCallbackHandlerImpl());

// create a LoginContext and specify a CallbackHandler implementation
// CallbackHandler implementation determines how authentication data is collected
// in this case, the authentication date is collected by stdin prompt
// and passed to the authentication mechanism implemented by the LoginModule.
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: failed to instantiate a LoginContext and the exception: 
          " + e.getMessage());
e.printStackTrace();

// maybe javax.security.auth.AuthPermission "createLoginContext" is not granted
//   to the application, or the JAAS login configuration is not defined.
}

if (lc != null)
try {
lc.login();  // perform login
javax.security.auth.Subject s = lc.getSubject();
// get the authenticated subject

// Invoke a Java EE resource using the authenticated subject
com.ibm.websphere.security.auth.WSSubject.doAs(s,
new java.security.PrivilegedAction() {
public Object run() {
try {
bankAccount.deposit(100.00);  
// where bankAccount is a protected enterprise bean
} catch (Exception e) {
System.out.println("ERROR: error while accessing EJB resource, exception: " 
       + e.getMessage());
e.printStackTrace();
}
return null;
}
}
);
} catch (javax.security.auth.login.LoginException e) {
System.err.println("ERROR: login failed with exception: " + e.getMessage());
e.printStackTrace();

// login failed, might want to provide relogin logic
}