如何将WAS 8联邦repo LDAP组绑定到应用程序？

Question

我使用的是WAS V8.0.0.5中的联邦存储库。该联邦repo包含一个JDBC repo、3个Active Directory LDAP repo和一个基于文件的repo。Repo被设置为一个领域和域，由Java EE6企业应用程序使用。我正在实现Java EE6安全性，特别是Servlet规范3.0身份验证。

我发现，如果我将特定的用户映射到ibm-application-bnd.xml中的组以用于LDAP repos，那么就可以确认用户的角色。这使我觉得Active Directory用户和组之间的映射配置有问题。

就配置而言，我将讨论其中的一个LDAP repo:
我在LDAP实体类型中定义了Group，将其映射到对象类Group；groupofnames；groupofuniquenames（我认为Group是刚需要的，但我一直在尝试解决这个问题）。
PersonAccount映射到对象类user。
出于绝望，我还创建了一个受支持的LDAP属性memberOf并将其映射到PersonAccount实体类型。
至于Group属性定义，我将“Group membership attribute”设置为“memberOf”，并指定了一个范围“direct”。我还尝试了“memberof”，但没有改变任何东西。

使用Apache Directory Studio浏览Active Directory，我可以确认user和group是我正在寻找的两个对象类。

有人能解释一下我的配置有什么问题吗？

Answer 1

我花了一段时间，但我终于想通了！

我需要在ibm-application-bnd.xml的group标记中声明一个access-id属性。

在WAS管理控制台中，单击Security-->Security Domains-->Your Domain-->Expand User Realm（应该选择Customize for this domain）-->，然后单击Manage users，您将看到所有组的列表，无论它们是来自JDBC自定义用户注册表、LDAP repo还是平面文件repo的组。

您希望对LDAP回购使用唯一名称字段。复制该名称，然后将其粘贴到ibm-application-bnd.xml中，如下所示：

<security-role name="ADMIN">
    <group name="SomeArbitraryGroupName" access-id="group:yourRealm/CN=SomeArbitraryGroupName,OU=Groups,OU=SomeDivision,OU=SomeLocatoin,o=distinguishedNameOfABaseEntry"/>
</security-role>

如果有更好的方法来完成这项任务，那就太好了。否则，我希望这篇文章能帮助其他人清除IBM关于这个主题的模糊、缺失或分散的文档。