配置安全性以通过WS-WFlyEJB0364连接访问EJB时被拒绝

Question

我已经按照本教程使用密码12345678和角色appcitas配置用户ejbuser。我遵循的指示是：

C:\wildfly-14.0.1.final\bin>jboss-cli.bat
您现在断开了连接。键入“connect”连接到服务器，或键入“help”获取支持的命令列表。
[断开连接/]连接

[standalone@localhost:9990/]/subsystem=elytron/filesystem-realm=proxyrealm:add(path=proxy-realm-users,relative-to=jboss.server.config.dir)
{“output”=>“success”}

[standalone@localhost:9990/]/subsystem=elytron/filesystem-realm=proxyrealm:add-identity(identity=ejbuser)
{“output”=>“success”}

[standalone@localhost:9990/]/subsystem=elytron/filesystem-realm=proxyrealm:set-password(identity=ejbuser,clear={password=12345678}）
{“output”=>“成功”}

[standalone@localhost:9990/]/subsystem=elytron/filesystem-realm=proxyrealm:add-identity-attribute(identity=ejbuser,name=roles,value=[“guest”,“appcitas”])
{“output”=>“success”}

[standalone@localhost:9990/]/subsystem=elytron/simple-role-decoder=from-roles-attribute:add(attribute=roles)
{“outlate”=>“success”}

[standalone@localhost:9990/]/subsystem=elytron/security-domain=proxysd:add(default-realm=proxyrealm,permission-mapper=default-permission-mapper,realms=[{realm=proxyrealm,role-decoder=from-roles-attribute},{realm=local}])
{“output”=>“成功”}

[standalone@localhost:9990/]/subsystem=elytron/sasl-authentication-factory=proxy-application-sasl-autentiation:add(mechanism-configurations=[{mechanism-name=jboss-local-user,realm-mapper=local},{mechanism-name=digest-md5,mechanism-realm-configurations=[{realm-name=proxyrealm}]},{mechanism-name=basic,

[standalone@localhost:9990/]/subsystem=ejb3/application-security-domain=other:add(Security-domain=proxySD)
{“output”=>“success”}

[standalone@localhost:9990/]/subsystem=remoting/http-connector=http-remoting-connector:write-attribute(Name=SASL-authentication-Factory，value=proxy-application-sasL-autentication)
{“output”=>“success”，“response-Headers”=>{“operation-required-reload”=>true，“process-state”=>“reload-required”}}

在mi EJB中，我有

@WebService(
  endpointInterface = "es.ssib.otic.test.prototipoEjbCitas.ApiCitasPublico",
  name = "ApiCitasEjb")
@RolesAllowed("apiCitas")
@Stateless
public class ApiCitasPublicoImpl
    implements ApiCitasPublico {

    @Override
    public @XmlElement(name = "pacienteCitaResponse", required = true) PacienteCitaResponse getPacienteCita(
        @WebParam(name = "datosSolicitante") @XmlElement(required = true) IdPeticion idPaciente) {
   ...
}

我的jboss-app.xml是

<?xml version="1.0" encoding="UTF-8"?>
<jboss-app>
   <security-domain>other</security-domain>
</jboss-app>

ear部署正确，并且没有显示任何日志问题，但我尝试从SoapUI访问一个方法，并添加了一个基本身份验证：

• 用户名:ejbuser
• 密码:12345678
• 域：我已尝试使用other、proxySD、proxyRealm并将其保留为空
• 抢先身份验证：我已将“domain”的上述所有值与“use-global-preference”和“authenticate pre-emptivality”结合起来。

<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
  <soap:Body>
    <soap:Fault>
       <faultcode>soap:Server</faultcode>
       <faultstring>WFLYEJB0364: Invocation on method: public es.ssib.otic.test.prototipoEjbCitas.beans.PacienteCitaResponse es.ssib.otic.test.prototipoEjbCitas.impl.ApiCitasPublicoImpl.getPacienteCita(es.ssib.otic.test.prototipoEjbCitas.beans.IdPeticion) of bean: ApiCitasPublicoImpl is not allowed</faultstring>
    </soap:Fault>
  </soap:Body>
</soap:Envelope>

如果我删除了安全配置，我就可以通过SoapUI访问，没有任何问题。

使用WildFly 14.0.0.1 final。

注意：这个问题和我之前的问题有些关联，但是由于我已经重新安装了wildfly，并且我已经按部就班地遵循了上面提到的教程，所以我认为还是把它作为一个单独的问题贴出来比较好。

[standalone@localhost:9990/]/subsystem=undertow/application-security-domain=proxyad:add(http-authentication-factory=proxy-application-http-authentication)
{“output”=>“success”}

并将jboss-app.xml中的security-domain的值更改为proxyad时,部署EAR时会出现错误：

{
“WflyCTL0412:未安装的必需服务：”=>[“jboss.security.security-domain.proxyad”],
“WflyCTL0180:具有丢失/不可用依赖项的服务”=>[
“jboss.deployment.subunit.\”Prototipoearcitas-0.0.1-snapshot.ear\“.\”Prototipoearcitas-0.0.1-snapshot.jar\“.Component.ApicitasPublicoImpl.Create缺少

Answer 1

有几件事需要注意：

>

要使用HTTP基本身份验证，需要一个Elytronhttp-authentication-factory。有关如何配置的文档可以在这里找到。

在使用HTTP基本身份验证时，还需要在Undertow子系统中添加application-security-domain映射。有关使用WebServices时与此相关的更多细节，请参见https://developer.jboss.org/thread/276445。

这是通过WS配置EJB访问的最后一个最小命令集（在全新的Wildfly 14.0.1.final上测试）：

C:\wildfly-14.0.1.final\bin>jboss-cli.bat
您现在断开了连接。键入“connect”连接到服务器，或键入“help”获取支持的命令列表。
[断开连接/]连接

[standalone@localhost:9990/]/subsystem=elytron/properties-realm=proxyrealm:add(Groups-attribute=组,groups-properties={path=proxy-roles.properties,relative-to=JBoss.server.config.dir},users-properties={path=proxy-users.properties,relative-to=JBoss.server.config.dir,plain-text=true}）
{“结果”=>“成功”}

[standalone@localhost:9990/]/subsystem=elytron/security-domain=proxySD:add(realms=[{realm=proxyRealm,role-decoder=groups-to-roles}],default-realm=proxyRealm,permission-mapper=default-permission-mapper)
{“outlate”=>“成功”}

[standalone@localhost:9990/]/subsystem=elytron/http-authentication-factory=proxy-http-auth:add(http-server-mechanism-factory=global,security-domain=proxySD,mechanism-configurations=[{mechanism-name=basic,mechanism-realm-configurations=[{realm-name=proxyrealm}]}]
{“结果”=>“成功”}

[standalone@localhost:9990/]/subsystem=undertow/application-security-domain=proxySD:add(http-authentication-factory=proxy-http-auth)
{“output”=>“success”}

[standalone@localhost:9990/]/subsystem=elytron/sasl-authentication-factory=proxy-app-sasl-auth：add(mechanism-configurations=[{mechanism-name=jboss-local-user,realm-mapper=local},{mechanism-name=basic,mechanism-realm-configurations=[{realm-name=proxyrealm}]}],sasl-server-factory=configurated,

[standalone@localhost:9990/]/subsystem=ejb3/application-security-domain=proxySD:add(Security-domain=proxySD)
{“output”=>“success”}

备注：

>

您可能已经注意到，我从文件系统领域切换到了属性领域。这与问题无关，只是它使调试变得更容易。

基于EJB的WS必须使用“authenticate pre-empative”来调用，在第一个请求中发送身份验证数据，而不需要服务器的提示。war中基于POJO的WS使用web页面的身份验证系统，因此不需要先发制人地进行身份验证。