Liberty ldap安全角色/组映射无法工作

Question

在我的服务器中。xml我有以下配置：

<enterpriseApplication location="myApp.ear" name="myApp" id="myapp" autoStart="true">
    <classloader commonLibraryRef="global" apiTypeVisibility="spec, ibm-api, api, third-party"/>
    <application-bnd >
        <security-role name="MyAdmin">
            <group name="App.Admin"/>
            <group name="cn=App.Admin,ou=ent,ou=App,ou=apps,o=somedir"/>
            <!--user name="memyselfandi"/-->
            <!--group name="App.Admin" access-id="group:LdapRegistry/cn=App.Admin,ou=ent,ou=App,ou=apps,o=somedir"/-->
        </security-role>
    </application-bnd>
</enterpriseApplication>

认证后我的主题是这样的：

    Principal: WSPrincipal:uid=MEMYSELFANDI,ou=person,o=somedir
    Public Credential: com.ibm.ws.security.credentials.wscred.WSCredentialImpl@b29eac,
        realmName=LdapRegistry,
        securityName=MEMYSELFANDI,
        realmSecurityName=LdapRegistry/MEMYSELFANDI,
        uniqueSecurityName=uid=MEMYSELFANDI,ou=person,o=somedir,
        primaryGroupId=null,
        accessId=user:LdapRegistry/uid=MEMYSELFANDI,ou=person,o=somedir,
        groupIds=[SomeOtherGroups, App.Admin]
    Private Credential: CustomLoginModuleCredential
    Private Credential: com.ibm.ws.security.token.internal.SingleSignonTokenImpl@7c2ff51c

组 ID 是由我的自定义登录模块设置的，因为 ldap 注册表中的组在具有成员的属性中没有条目，因此不是由标准 Liberty 登录模块设置的。因此，在我的自定义模块中，我在LDAP中搜索用户，并将条目的组添加到私有凭据的groupIds数组中：

WSCredential credential = (WSCredential) _sharedState.get(com.ibm.wsspi.security.
                auth.callback.Constants.WSCREDENTIAL_KEY);
String[] grpList = ldapEntry.getAttribute("myEntGrps").getValues();
[..]
credential.getGroupIds().add(grpList[i]);

我还需要做些什么吗？或者只需要将组的字符串添加到数组中就足够了？

我还尝试使用securityGroupName(例如cn=myGroup，ou=...)而不仅仅是组名(例如myGroup)。

什么是正确的格式？

完成所有这些操作后，当我调用受保护的 servlet 时，我会收到错误消息：

CWWKS9104A：在 / 上调用 myApp 时，用户 uid = MEMYSELFANDI、ou=person、o=somedir 的授权失败。用户未被授予对任何所需角色的访问权限：[我的管理员]。

当我在服务器中更改配置.xml接受用户 memyselfandi 时，我将获得访问权限。因此，该配置适用于用户，但不适用于组。我也尝试过使用访问 ID，但这也不起作用（我的 LDAP 领域名为 Ldap 注册）。

在trace.log我看到以下内容（我猜日志条目被Liberty截断）：

 ppbnd.internal.authorization.AppBndAuthorizationTableService 3 Added the following subject to role mapping for application: myApp.
    App.Admin
    []
[..]
< updateMapsForAccessId Exit
    {user:LdapRegistry/uid=MEMYSELFANDI,ou=person,o=somedir=[],App.Admin=[]}

在服务器中配置了用户。xml，角色映射到用户user:LdapRegistry/uid=MEMYSELFANDI，ou=person，o=somedir=[MyAdmin]

有没有办法测试它为什么不工作？也许是一些LDAP配置问题？我可以设置什么来获取所需的日志信息？目前我记录：

< code > trace specification = " * = info:com . IBM . ws . security . * = all:com . IBM . WebSphere . security . * = all:com . IBM . ws . web container . security . * = all:com . IBM . ws . WIM . * = all "/

我想知道在尝试映射组时在后台处理的内容。或者更好的是，我犯的错误导致无法映射或找到组。

Answer 1

经过一些测试，结果是，当您将组添加到主题时，您必须使用“access-id”格式。

这就是我的登录模块现在所做的:

WSCredential credential = (WSCredential) _sharedState.get(com.ibm.wsspi.security.
            auth.callback.Constants.WSCREDENTIAL_KEY);
UserRegistry registry = RegistryHelper.getUserRegistry(credential.getRealmName());
String[] grpList = ldapEntry.getAttribute("myEntGrps").getValues();
[..]
  credential.getGroupIds().add("group:"+credential.getRealmName()+"/"+registry.getGroupSecurityName(grpList[i]));

最终，组条目将如下所示:

组：MyLdapRealm/cn=myGroup，ou..