Portlet 认证

凭证保险库组织

保险库段

保险库段被标志为管理员管理或用户管理。当 Portlet（代表门户网站用户）可以设置和检索这两种类型的段中的凭证时，它们只能在用户管理的保险库段中创建保险库槽。下图显示如何在不同的保险库实现中分布管理员管理的保险库段。用户管理的保险库段只有一个，它位于 WebSphere Portal 所提供的缺省定制保险库中。

保险库槽

凭证对象

Object userSecret = credential.getUserSecret();

  < portlet connects to backend system authenticates using the user's secret >

  < portlet can use the connection to communicate with the backend application >

  < portlet takes care of logging at the backend >

门户网站中所有可用的凭证类型都在凭证类型注册表中进行注册。WebSphere Portal 提供了少量凭证类型，但您可以在此注册表中注册额外的凭证对象。

PassiveCredential 接口继承自 Credential 基本接口。下列主题描述了 WebSphere Portal 所提供的不同类型的被动凭证对象：

被动凭证对象：

SimplePassive

此凭证对象以可序列化 Java 对象的形式存储保密信息。由于保险库服务当前不支持二进制大对象（BLOB）保密信息，因此该服务仅供将来使用。

UserPasswordPassive

以用户标识/密码对形式存储保密信息的凭证对象。

JaasSubjectPassive

此凭证对象以 javax.security.auth.Subject 对象的形式存储保密信息。另外，此类保密信息当前无法由保险库服务存储。它用作从用户会话获取的非持久瞬态凭证。

BinaryPassiveCredential

此凭证对象以字节列的形式存储保密信息。

将凭证对象存储在 PortletSession 中

凭证对象未实现 java.io.Serializable - 出于安全原因，不能将它们存储在 PortletSession 中。凭证类会将实际的凭证保密信息作为它们的某个专用属性进行存储。因此，任何可以访问应用程序服务器会话数据库的人员都可能会发现此保密信息。

但是，如果您确定不会在集群环境中对凭证对象进行序列化，那么可以将其存储在 PortletSession 中。实现此操作的一种方法是定义一个凭证容器类，该类会将实际凭证对象作为瞬态成员进行存储。然后，可以将此容器对象存储在 PortletSession 中，而不会产生任何问题。您必须确保检查序列化期间凭证对象是否丢失，并且如果丢失，那么重新从保险库中检索凭证对象。

import com.ibm.portal.portlet.service.credentialvault.credentials.Credential;

public class CredentialSessionContainer implements java.io.Serializable
{
   private transient Credential credential = null;

   public void setCredential(Credential cred) {this.credential = cred;}

   public Credential getCredential() {return credential;}

   public boolean hasCredential() {return credential != null;}
}

凭证保险库使用方案

您选择的选项取决于如何使用 Portlet。通常最好的解决方案是，向用户隐藏凭证保险库的技术详细信息。以下是某些使用槽的示例方案。

内部网 Lotus Notes 邮件 Portlet

• 公司拥有内部网雇员门户网站。每个门户网站用户都拥有 Lotus Notes 邮件服务器帐户，并且 Lotus Notes 邮件 Portlet 将部署在员工的其中一个缺省门户网站页面上并进行预配置。
• 设计解决方案。
• Notes 邮件 Portlet 需要存储用户的 Notes 密码。由于大部分用户使用此 Portlet，因此管理员需要通过凭证保险库管理 Portlet 为它创建“Lotus Notes 凭证槽”。使用 Portlet 的配置方式，管理员可为所有 Portlet 条目设置保险库槽标识。Portlet 允许用户以编辑方式设置其个人 Notes 密码。Portlet 可以在凭证保险库中存储每个用户的密码。
• 如果公司使用与门户网站使用同一单点登录域中的 Domino® 服务器，那么可以使用基于用户的 JAAS 主题的 LTPAToken 凭证。此凭证使您能通过已认证的连接（此连接重复使用用户的 LTPA 令牌）访问 domino 服务器。

库存 Portlet

公司的购买部门运行一个集成不同旧应用程序的门户网站。其中一个应用程序是直接连接到供应商的系统的大型机订购应用程序。多个雇员使用订购 Portlet。然而，大型机应用程序由单个系统标识保护；它不支持多个用户帐户。

设计解决方案：订购 Portlet 需要使用系统标识访问订购应用程序。管理员配置会在 Portlet 部署期间配置保险库槽标识。因此，门户网站管理员在管理员管理的保险库段中创建保险库槽，并且把它标记为系统凭证。管理员使用凭证保险库 Portlet 在此槽中存储订购系统标识和密码。购买部门的雇员完全不必关心凭证。

因特网邮件联合 POP3 Portlet

因特网社区门户网站在其他功能中还提供了邮件联合 Portlet，门户网站用户可以使用它从许多 POP3 邮件帐户收集邮件。

设计解决方案：邮件联合 Portlet 只是社区门户网站的另一个功能，因此可能仅由某些门户网站用户使用。另外，不确定用户希望联合的帐户数。因此，门户网站管理员为该 Portlet 创建保险库槽是没有意义的。相反，Portlet 以编辑方式为用户提供适当的配置。用户可以按需添加许多 POP3 邮箱。Portlet 在用户管理的保险库段中为每个用户邮箱创建一个保险库槽。

理论上，用户可以在一个页面上配置两个 Portlet 实例，一个用于企业帐户，而另一个用于专用邮件帐户。出于上述原因，并且由于和其他 Portlet 共享用户的邮件凭证很可能没有意义，因此 Portlet 创建的保险库槽最好标记为 Portlet 专用。

凭证保险库样本

凭证保险库样本部分包含有关使用凭证保险库服务的样本代码。请参阅 Portlet API Javadoc 文档，以获取有关 CredentialVaultService 方法的信息。

Rational Application Developer 的标准 Portlet 示例

当您使用 Rational Application Developer 中的 Portlet 向导来创建使用凭证保险库 Portlet 服务的 Portlet 时，向导会为您生成处理常见任务的 SecretManager 类。向导生成的会话 Bean 包含用于保密信息类型和保险库槽名称的 getter 方法和 setter 方法。以下示例显示了可能为您生成的代码，具体取决于您在创建 JSR 168 Portlet 项目时进行的选择。

注： 此代码只是您可以如何使用凭证保险库的一个演示。您必须针对特定应用程序需求进一步定制任何要生成的代码。

1. 监视凭证保险库 Portlet 服务。
   此代码放在 SecretManager 的 init() 方法中，并从主 Portlet 类的 init() 进行调用。请参阅访问 Portlet 服务以获取有关如何使用 JNDI 检索 Portlet 服务的一般信息。

   public static void init(PortletConfig config) throws PortletException {
     try {
       if( vaultService == null ) {
         Context ctx = new InitialContext();
         PortletServiceHome cvsHome = 
           (PortletServiceHome)ctx.lookup("portletservice/com.ibm.portal.portlet.
              service.credentialvault.CredentialVaultService"); 
         if (cvsHome != null) {
           vaultService = (CredentialVaultService)cvsHome.getPortletService
             (CredentialVaultService.class);
         }
       }
     } catch (Exception e) {
       throw(new PortletException("Error on init()", e)); 
     }
   }

2. 设置凭证。
   Portlet 的 processAction() 方法从来自编辑 JSP 的操作请求中获取 USERID 和 PASSWORD 参数。如果这两个参数都不为 Null，那么可使用它们来设置凭证。

   if( request.getParameter(USER_SUBMIT) != null ) {
      // Set userId/password text in the credential vault
      PortletSessionBean sessionBean = getSessionBean(request);
      if( sessionBean!=null ) {
         String userID   = request.getParameter(USERID);
         String password = request.getParameter(PASSWORD);
         // save only if both parameters are set
         if(userID!=null && password!=null && !userID.trim().equals("") && 
           !password.trim().equals("")) {
            try {
               SecretManager.setCredential(request,sessionBean,userID,password);
            }
            catch (Exception e) {
               //Exception Handling
            }
         }
      }
   }

   SecretManager 类中的 setCredential() 方法可确定 Portlet 是否可以写入槽以及槽标识是否有内容。如果可以写入槽且槽标识有内容，那么此 setCredential() 方法会使用凭证保险库服务的 setCredentialSecretUserPassword() 方法在槽中设置凭证。

   public static boolean setCredential(PortletRequest portletRequest,
                                       PortletSessionBean sessionBean,
                                       String userID,
                                       String password)  throws PortletException {
   try {
      if( isWritable(sessionBean) ) {
         String slotId = getSlotId(portletRequest,sessionBean,true); // create
           slot if necessary
         if( slotId != null ) {
            vaultService.setCredentialSecretUserPassword(slotId,userID,password.
           toCharArray(),portletRequest);
            return true;
         }
      }
   }
   catch( CredentialVaultException e) {
   			//Exception Handling
   }
   return false;
   }

3. 获取用于存储用户凭证的槽。
   setCredential() 方法调用此方法来创建新槽或使用现有可访问的槽。

   • 槽名称设置为 Portlet 首选项，因此管理员可以将它更改为使用门户网站管理接口创建的任何槽。
   • 对于 Portlet 专用槽，如果 Portlet 首选项中的槽名称为 null，那么此方法会创建一个新槽。createNewSlot() 方法是 SecretManager 的另一个定制方法，它用于凭证保险库服务的 createCredentialSlot() 方法。此方法可以创建非系统槽，并返回 CredentialSlotConfig 对象。新槽的 slotID 存储在 Portlet 的首选项中，并用于更新和获取 Portlet 专用凭证。
   • 对于共享槽，此方法可从可访问的槽中搜索共享资源名称。如果共享槽不可用，那么此方法会创建新槽。

   private static String getSlotId(PortletRequest portletRequest, 
                                   PortletSessionBean sessionBean, 
                                   boolean bCreate)  throws PortletException {
      String slotId = null;
      String slotName = sessionBean.getVaultSlotName();
      switch( sessionBean.getSecretType() ) {
         case SECRET_PORTLET_PRIVATE_SLOT:
            PortletPreferences prefs = portletRequest.getPreferences();
            String prefsKey = ".slot."+portletRequest.getRemoteUser()+".
              "+slotName;
            slotId = prefs.getValue(prefsKey,null);
            if( slotId==null && bCreate ) {
               slotId = createNewSlot(portletRequest,slotName, true);  // 
                 create private slot
               if( slotId != null ) {
                  try {
                     prefs.setValue(prefsKey,slotId);
                     prefs.store();
                  }
                  catch( Exception e ) {
                     throw(new PortletException("Error on PortletPreferences.
                       store()", e));
                  }
               }
            }
            break;
         case SECRET_SHARED_SLOT:
            try {
               Iterator it = vaultService.getAccessibleSlots(portletRequest);
               while( it.hasNext() ) {
                  CredentialSlotConfig config = (CredentialSlotConfig)it.next() ;
                  //searches for shared resource name
                  if( config.getResourceName().startsWith(slotName ) ) {
                     slotId = config.getSlotId();
                     break;
                  }
               }
               if( slotId==null && bCreate )
                   slotId = createNewSlot(portletRequest,slotName,false);  
                     // create shared slot
            }
            catch( CredentialVaultException e) {
            // exception handling goes here
            }
            break;
         default:
            slotId = slotName;
            break;
      }
      return slotId;
   }

4. 检索凭证
   doView() 和 doEdit 方法可从 SecretManager 中调用 getCredential()。对于被动凭证，此 Portlet 将通过此方法返回的 USERID 和 PASSWORD 设置为请求的属性。

   StringBuffer userId = new StringBuffer("");
   StringBuffer password = new StringBuffer("");
   try {
      SecretManager.getCredential(request,sessionBean,userId, password);
   }
   catch( Exception e ) {
      getPortletContext().log("Exception on SecretManager.getCredential(): "+e.getMessage());
   }
   request.setAttribute(USERID,userId.toString());
   request.setAttribute(PASSWORD,password.toString());

   SecretManager 的 getCredential() 方法可处理 UserPasswordPassiveCredential 类型。此凭证类型在 Portlet 首选项中被设置为整数。凭证保险库服务的 getCredential() 方法用于获取槽中存储的凭证。

   public static void getCredential(PortletRequest portletRequest,
                                    PortletSessionBean sessionBean,
                                    StringBuffer userid, 
                                    StringBuffer password) throws PortletException {
      try {
         String slotId = getSlotId(portletRequest,sessionBean,false);
            if( slotId != null ) {
               UserPasswordPassiveCredential credential = 
                  (UserPasswordPassiveCredential)vaultService.getCredential
                     (slotId,CredentialTypes.USER_PASSWORD_PASSIVE,new 
                       HashMap(),portletRequest);
               if( credential != null) {
                  userid.append(credential.getUserId());
                  password.append(String.valueOf(credential.getPassword()));
               }
            }
      }
      catch( CredentialVaultException e) {
      // exception handling goes here
      }
   }

更改凭证保险库加密

WebSphere Portal 支持插入用于存储和检索凭证的不同保险库适配器。WebSphere Portal 随附的缺省保险库适配器将用户凭证存储在门户网站配置数据库中。缺省情况下，仅混乱密码，而不加密密码。存在一个加密插入点，可在此使用定制加密对密码进行加密。下列各节提供定制构建加密逻辑，此逻辑可以插入到现有的凭证保险库基础结构中。

定制加密

要为缺省保险库适配器编写定制加密出口，必须实现 WebSphere Portal 所提供的 EncryptionExit 接口，然后部署此接口。