如何在Jboss EAP中为Kerberos实现配置组？

Question

我已经在jboss eap中为特定用户配置了Kerberos身份验证，它运行良好。但希望根据组进行配置，即特定组中的用户将能够进行身份验证。

独立。用户的xml配置：-

 <security-domains>
            <security-domain name="SPNEGO" cache-type="default">
                <authentication>
                    <login-module code="SPNEGO" flag="required">
                        <module-option name="serverSecurityDomain" value="host"/>
                    </login-module>
                </authentication>
                <mapping>
                    <mapping-module code="SimpleRoles" type="role">
                        <module-option name="[e-mail]" value="User"/>
                    </mapping-module>
                </mapping>
            </security-domain>

我的环境包括：

Linux服务器与JBoss EAP 6.2客户端站与Windows 7 64bitChromeWindows Server 2008 Active Directory（作为KDC）

应用战争地点：-https://github.com/kwart/spnego-demo

有没有人经历过这一切并以某种方式解决了它？

提前谢谢你，Siddharth

Answer 1

您可以将SPNEGO登录模块与其他模块配对，以便将用户分配给角色。下面是如何通过Standalone.xml将用户与LDAP角色相关联的示例：

  <security-domain name="SPNEGO">
                <authentication>
                    <login-module code="SPNEGOUsers" flag="requisite">
                        <module-option name="password-stacking" value="useFirstPass"/>
                        <module-option name="serverSecurityDomain" value="host"/>
                        <module-option name="removeRealmFromPrincipal" value="true"/>
                    </login-module>
                    <login-module code="AdvancedAdLdap" flag="required">
                        <module-option name="password-stacking" value="useFirstPass"/>
                        <module-option name="bindDN" value="test"/>
                        <module-option name="bindCredential" value="test"/>
                        <module-option name="allowEmptyPassword" value="true"/>
                        <module-option name="java.naming.provider.url" value="ldap://test.jboss.redhat.com:389"/>
                        <module-option name="baseCtxDN" value="CN=Users,DC=jboss,DC=redhat,DC=com"/>
                        <module-option name="baseFilter" value="(sAMAccountName={0})"/>
                        <module-option name="roleAttributeID" value="memberOf"/>
                        <module-option name="roleAttributeIsDN" value="true"/>
                        <module-option name="roleNameAttributeID" value="cn"/>
                        <module-option name="recurseRoles" value="true"/>
                    </login-module>
                </authentication>
            </security-domain>