WebSphere Liberty中jaas定制登录模块的类加载

Question

更新：关于以下问题的一些上下文。我的目标是处理用户的请求，他们为每个请求提供一个Kafka主题。我使用部署在Bluemix上的MessageHub作为Kafka提供者。请求将传递代理URL、主题名称、用户名、密码和API密钥。Bluemix上的MessageHub需要JAAS身份验证，并提供具有不同LoginModule实现的登录模块。一些基于CallbackHandler，其他基于CredentialProviders。

我选择了在< code > com . IBM . message hub . log in . multiuserloginmodule 中实现的那个。使用该模块，我只需提供一个自定义凭据提供程序，如:

KafkaClient {
com.ibm.messagehub.login.MultiUserLoginModule required
credentialProvider="myApp.CustomCredentialProvider";
};

挑战在于类装入器，以及自定义凭据提供程序如何在运行时从传递给多用户登录模块的请求中获取用户名/密码。我必须使用什么配置才能使其正常工作？

详细信息：我有一个在WebSphere Liberty 8.5.5中运行的Web应用程序，并希望使用第三方服务进行身份验证。该第三方服务实现了一个带有凭据提供程序的JAAS LoginModule。我的Web应用程序使用CustomCreentalProvider扩展了凭据提供程序以传递凭据。

我不明白的是类加载应该如何工作。我的server.xml定义：

web应用程序

 <webApplication id="streaming-service" location="streaming-service.war" name="streaming-service"/>

第三方登录模块

<jaasLoginModule className="com.ibm.messagehub.login.MultiUserLoginModule" controlFlag="REQUIRED" id="KafkaClient" libraryRef="messageHubLoginLib">
<options credentialProvider="myApp.CustomCredentialProvider" serviceName="kafka"/>
</jaasLoginModule>

实现第三方登录模块的库

   <library id="messageHubLoginLib">
    <fileset dir="${server.output.dir}" includes="messagehub.login-1.0.0.jar"/>
</library>

登录上下文

 <jaasLoginContextEntry id="KafkaClient" loginModuleRef="KafkaClient" name="KafkaClient"/>

上述配置的结果是我的CustomCredentialProvider出现ClassNotFoundException：

Caused by: java.lang.RuntimeException: java.lang.ClassNotFoundException: myApp.CustomCredentialProvider
at com.ibm.messagehub.login.MultiUserLoginModule$MultiUserCallbackHandler.<clinit>(MultiUserLoginModule.java:80)

如何更改第三方JAAS登录模块的配置才能找到＜code＞myApp。CustomCredentialProvider在我的流服务web应用程序中实现？

注意:我已经尝试生成一个streaming-service.jar并将其直接添加到< code>messageHubLoginLib中。这解决了ClassNotFoundException，但是CustomCredentialProvider类完全是在我运行的web应用程序的上下文之外加载的，并且仍然不允许我访问我的凭据。

Answer 1

能否将MultiUserLoginModule和CustomCredentialProvider jar文件放在$ { server . config . dir }/lib/global目录中，并将libraryRef指向server.xml文件中的全局目录，如下所示:

  <jaasLoginModule className="com.ibm.messagehub.login.MultiUserLoginModule" controlFlag="REQUIRED" id="KafkaClient" libraryRef="global">
    <options credentialProvider="myApp.CustomCredentialProvider" serviceName="kafka"/>
    </jaasLoginModule>

Answer 2

生成一个流服务.jar并将其直接添加到messageHubLoginLib应该是正确的方法。在这种情况下，您有一个可在 JAAS 登录模块和 Web 应用程序之间共享的 jar 文件。

但是，您说"CustomCreentalProvider类完全在我正在运行的Web应用程序的上下文之外加载，并且仍然不允许我访问我的凭据"。这听起来像是您试图将凭据存储在CustomCreentalProvider类中，以便在登录模块和Web应用程序之间使用。

CustomCredentialProvider类应该独立于登录模块和web应用程序。当请求进来并试图访问web应用程序时，服务器触发登录模块进行认证。如果通过，将成功访问web应用程序。

我没看到你发布。可能你缺少以下配置？

<jaasLoginContextEntry id="system.WEB_INBOUND" name="system.WEB_INBOUND" loginModuleRef="KafkaClient,hashtable,certificate,token" />

Answer 3

使用单独的streaming-service.jar，您就快成功了。

1. 识别登录模块需要可见的类（来自应用程序）
2. 将所有这些类放入messageHubLoginLib（例如，在单独的流服务.jar中）
3. 从应用程序中删除这些类
4. 使用类加载器子元素配置应用程序，该子元素使用commonLibraryRef属性引用登录模块库：

<webApplication id="streaming-service" location="streaming-service.war" name="streaming-service">
    <classloader commonLibraryRef="messageHubLoginLib" />
</webApplication>