JMX身份验证-基于角色的MBean操作

Question

我已经通过 RMI 实现了用于 JMX 身份验证的 JMXAuthenticator，但是我不确定如何创建角色以允许只读/读写访问级别。例如，在JMXAuthenticator.authenticate中，我有我的自定义身份验证逻辑，并希望它来确定访问角色。我已经尝试了以下内容，但在JConsole中执行操作时没有区别：

@Override
public Subject authenticate(Object credentials) {
    Subject subject = new Subject();
    JMXPrincipal p;

    //...my logic
    String accessLevel = myCustomLogic();
    if (accessLevel.equals("admin")) {
        p = new JMXPrincipal("adminrole");
    } else {
        p = new JMXPrincipal("basicrole");
    }

    subject.getPrincipals().add(p);
    return subject;
}

然后我创建了一个访问文件，jmxacess。属性，包含

adminuser readwrite
basicuser readonly

和< code > JMX . management . properties ，其中包含< code > com . sun . management . JMX remote . ACCESS . FILE =访问文件的路径，我使用< code >-DCOM . sun . management . config . FILE = JMX . management . properties的路径运行该应用程序。

但是，当我通过JConsol连接并作为basicuser（只读访问）进行身份验证时，我可以访问bean上的setter。我通过完整的服务进行连接：jmx： rmi：…url。

所以我的问题是

• 我是否需要对bean中的setter进行注释/执行任何操作以指定它们仅对管理员用户可见？
• 我没有正确构建主题对象吗？
• 缺少任何其他配置/设置？

谢谢

Edit My MBean只是一个基本的POJO，其中包含具有公共getter和setter以及另一个公共方法的私有字段。

Answer 1

找到答案：需要通过 InvocationHandler 接口实现自定义调用处理程序。这会在服务器调用到达 bean 之前拦截它们。在身份验证方法中，您需要检查主体

AccessControlContext acc = AccessController.getContext();
Subject subject = Subject.getSubject(acc);
Set principals = subject.getPrincipals(JMXPrincipal.class);
if(principals != null && !principals.isEmpty()) {
    Principal principal = (Principal)principals.iterator().next();
    //your checks
}

我扩展了JMXPrincipal（每个访问级别一个扩展），并将其分配给上面的Authenticator中的Subject，然后在IH中检索主体后，我可以通过＜code＞instanceof＜/code＞检查类型，并允许操作继续或抛出＜code＞SecurityException＜/code>。