带有Keycloak的安全JEE应用程序具有SessionContext.getCallerPrincipal（）匿名

Question

我有一个用Keycloak保护的JEE服务(JaxRx)，身份验证是有效的，但是当我想用@rolesalloved应用安全性时，我得到了EJBAccessException。

该服务部署在Wildfly11中，关于文档，我使用@securitydomain（“keycloak”）和下一个配置文件(jboss-ejb3.xml)将安全上下文传播到EJB层。

<?xml version="1.0" encoding="UTF-8"?>
<jboss:jboss
    xmlns="http://java.sun.com/xml/ns/javaee"
    xmlns:jboss="http://www.jboss.com/xml/ns/javaee"
    xmlns:s="urn:security:1.1"
    version="3.1" impl-version="2.0">

  <assembly-descriptor>
    <s:security>
      <ejb-name>*</ejb-name>
      <s:security-domain>keycloak</s:security-domain>
    </s:security>
  </assembly-descriptor>
</jboss:jboss>

我在Wildfly中安装了keycloaksecurity-domain。

如图中所示，请求用户是在RequestContext中标识的，但在SessionContext（上下文）不存在的情况下，它显示Anonymouth而不是用户。

一些想法在我的服务中会缺少什么？

Answer 1

在本例中，我的WEB-INF文件夹中缺少jboss-web.xml文件。

我添加了一个名为jboss-web.xml的文件，其内容如下，工作起来很有魅力。

<?xml version="1.0" encoding="UTF-8"?>
<jboss>
    <security-domain>keycloak</security-domain>
</jboss>