Sun Java System Web Server 7.0 管理员指南

管理验证领域

基于 Java EE 的安全模型提供了可识别和验证用户的安全领域。

验证进程通过 Java 领域验证用户。领域包括一组用户、可选的组映射以及可用来对验证请求进行验证的验证逻辑。验证请求通过已配置的领域验证并建立安全性上下文后，便可将该身份应用于所有后续的授权决策。

注 –

Java 领域与 auth-db（验证数据库）类似，不同的是， auth-db 由 ACL 引擎（基于您的 ACL 文件的规则）使用，而 Java 领域由 Java Servlet 访问控制规则（在每个 Web 应用程序的 web.xml 文件中指定的）使用。

服务器实例可能具有多种配置领域。server.xml 文件的 auth-realm 元素中提供了配置信息。

下表定义了 Sun Java System Web Server 7.0 支持的不同领域类型。

表 11–8 领域类型


领域	说明
File	`file` 领域是首次安装 Sun Java System Web Server 时的默认领域。该领域的设置非常简便，为开发者提供了很大方便。 `file` 领域使用存储在文本文件中的用户数据来验证用户。Java 领域与 auth-db（验证数据库）类似，不同的是， auth-db 由 ACL 引擎（基于您的 ACL 文件的规则）使用，而 Java 领域由 Java Servlet 访问控制规则（在每个 Web 应用程序的 web.xml 中指定的）使用。
LDAP	`ldap` 领域使您可以使用 LDAP 数据库获取用户安全性信息。LDAP 目录服务是带有唯一标识符的属性的集合。`ldap` 领域非常适合部署到生产系统中。要使用 `ldap` 领域验证用户，必须在 LDAP 目录中创建所需的用户。您可以通过 Administration Server 的“用户和组”选项卡来执行此操作。此外，还可以通过 LDAP 目录产品的用户管理控制台来执行此操作。
PAM	PAM（也称为 Solaris）领域将验证委派给 Solaris PAM 堆栈。与 PAM auth-db 一样，该领域仅在 Solaris 9 和 Solaris 10 上受支持，并且必须以超级用户身份运行服务器实例。
Certificate	`certificate` 领域支持 SSL 验证。Certificate 领域在 Sun Java System Web Server 的安全性上下文中设置用户身份，并将客户机证书的用户数据填入其中。然后，Java EE 容器将基于证书中每个用户的 DN 处理授权进程。此领域会通过 X.509 证书，以 SSL 或 TLS 客户机验证来验证用户。
Native	`native` 领域是一个特殊的领域，它为基于 ACL 的核心验证模型和 Java EE/Servlet 验证模型提供了联系桥梁。通过将 Native 领域用于 Java Web 应用程序，可以让 ACL 子系统执行验证（而不是让 Java Web 容器执行），并且使此身份可以用于 Java Web 应用程序。调用验证操作时，Native 领域会将此验证委派给核心验证子系统。从用户的角度来看，这实际上相当于 LDAP 领域将验证委派给已配置的 LDAP 服务器。当 Native 领域处理组成员关系查询时，它们同时也被委派给核心验证子系统。对于 Java Web 模块和开发者而言，Native 领域与其他任何可用于 Web 模块的 Java 领域没有任何区别。
自定义	您可以通过可插接式 JAAS 登录模块和领域实现为其他数据库（如 Oracle）建立领域，以满足您的特定需要。

下节介绍添加新验证领域所包含的步骤。

添加验证领域

选择配置。

选择需要添加新验证领域的配置。单击“配置”选项卡并选择相应的配置。

单击 "Java" >“安全性”选项卡。

单击“新建验证”按钮。

提供领域详细信息。
- 名称－输入领域的简短名称。该名称用于从文件（例如，web.xml）中引用领域。
- 类－如果您要配置自定义领域，则输入完整的 Java 类名称可以实现自定义领域。无需输入任何内置领域的类。
- 类型－选择领域的类型。请参见前面讨论 Java 领域类型的部分。
- 属性－添加特定于领域的属性。例如，property name="file" value="instance_dir/config/keyfile" 和 property name="jaas-context" value="fileRealm。
注 –
使用 CLI

要通过 CLI 添加验证领域，请执行以下命令。
wadm> create-auth-realm --user=admin --password-file=admin.pwd --host=serverhost --port=8989 --config=config1 basic
请参见 CLI 参考 create-auth-realm(1)。

指定内置验证领域类型的名称。类型可以为 file、ldap、pam、native 或 certificate。