JAAS認証

認証チュートリアル・コードは、単一のソース・ファイルJaasAcn.javaに含まれています。このファイルのmainメソッドは、認証の実行後に、認証が成功したかどうかをレポートします。

ユーザーの認証用コードは、非常に簡潔です。次の2つのステップで構成されています。

1. LoginContextのインスタンス化
2. LoginContextのloginメソッドの呼び出し

import javax.security.auth.login.*;
. . .
LoginContext lc = 
    new LoginContext(<config file entry name>,
           <CallbackHandler to be used for user interaction>); 

import javax.security.auth.login.*;
import com.sun.security.auth.callback.TextCallbackHandler;
. . .
LoginContext lc = 
    new LoginContext("JaasSample", 
          new TextCallbackHandler());

lc.login();

JAAS認証はプラガブルな形式で実行されるため、アプリケーションは、基盤となる認証技術から独立した状態を維持できます。システム管理者は、各アプリケーションで使用する認証技術(LoginModules)を決定し、ログイン構成内に構成します。構成情報のソース(ファイルやデータベース)は、現在のjavax.security.auth.login.Configuration実装によって異なります。OracleのデフォルトのConfiguration実装は、com.sun.security.auth.login.ConfigFileで説明するように、構成ファイルから構成情報を読み取ります。

ログイン構成ファイルとその内容、および使用するログイン構成ファイルの指定方法の詳細は、付録B: JAASログイン構成ファイルを参照してください。

JaasSample {
  com.sun.security.auth.module.Krb5LoginModule required;
};

JAAS認証チュートリアル・コードを実行するには、次の操作を行う必要があります。

1. アプリケーションのソース・ファイルJaasAcn.javaおよびログイン構成ファイルjaas.confをディレクトリ内に配置します。
2. JaasAcn.javaを次のようにコンパイルします。

   javac JaasAcn.java
   

3. 次を指定して、JaasAcnアプリケーションを実行します

   • -Djava.security.krb5.realm=<your_realm> (使用するKerberosレルム)。

     たとえば、レルムがKRBNT-OPERATIONS.EXAMPLE.COMの場合、-Djava.security.krb5.realm=KRBNT-OPERATIONS.EXAMPLE.COMのように指定します。

   • -Djava.security.krb5.kdc=<your_kdc> (使用するKerberos KDC)。

     たとえば、KDCがsamplekdc.example.comの場合、-Djava.security.krb5.kdc=samplekdc.example.comのように指定します。

   • -Djava.security.auth.login.config=jaas.conf。使用するログイン構成ファイルとしてjaas.confを指定します。

次に、完全なコマンドを示します。

java -Djava.security.krb5.realm=<your_realm> 
 -Djava.security.krb5.kdc=<your_kdc> 
 -Djava.security.auth.login.config=jaas.conf JaasAcn

コマンド全体は、1行で入力してください。ここでは、読みやすくするために複数行に分けて表示してあります。

Kerberosユーザー名とパスワードの入力が求められます。ログイン構成ファイルで指定された、基盤となるKerberos認証メカニズムにより、Kerberosへのログインが行われます。ログインが成功すると、次のメッセージが表示されます。

Authentication succeeded!

ログインが失敗した場合(パスワードのスペル・ミスなどにより)、次のメッセージが表示されます。

Authentication failed:

このあとに、失敗の原因が示されます。たとえば、ユーザー名のスペルが間違っている場合、次のようなメッセージが表示されます(読みやすくするため、書式を一部変更してあります)。

Authentication failed:
  Kerberos Authentication Failed:
    javax.security.auth.login.LoginException: 
      KrbException: Client not found in Kerberos database

ログイン時のトラブルシューティングについては、「トラブルシューティング」を参照してください。

問題を修正したら、プログラムを再度実行します。

セキュリティ・マネージャがインストールされた環境でJavaプログラムを実行する場合、有効なセキュリティ・ポリシーによりアクセス権が明示的に付与されているのでないかぎり、リソースへのアクセスやセキュリティ関連操作の実行は許可されません(有効なセキュリティ・ポリシーによりこれを実行するには、JDKでのアクセス権を参照)。アクセス権をポリシー・ファイル内のエントリによって付与する必要があります(デフォルトのPolicyの実装とポリシー・ファイルの構文を参照)。

大半のブラウザはセキュリティ・マネージャをインストールするため、一般にアプレットは、セキュリティ・マネージャの監視下で実行されます。一方、アプリケーションでは、アプリケーションの実行時にセキュリティ・マネージャは自動的にインストールされないため、そのようなことはありません。このため、JaasAcnなどのアプリケーションでは、デフォルトでリソースへのフル・アクセスが可能です。

セキュリティ・マネージャを使用してアプリケーションを実行するには、コマンド行に-Djava.security.manager引数を含めてインタプリタを呼び出すだけです。

ポリシー・ファイルは指定せずに、セキュリティ・マネージャを使用してJaasAcnを呼び出そうすると(必要なアクセス権またはAllPermissionを付与するデフォルト・ポリシー設定をほかの場所で保持しないかぎり)、次のメッセージが表示されます。

% java -Djava.security.manager \
 -Djava.security.krb5.realm=<your_realm> \
 -Djava.security.krb5.kdc=<your_kdc> \
 -Djava.security.auth.login.config=jaas.conf JaasAcn
Exception in thread "main" java.security.AccessControlException: 
  access denied (
  javax.security.auth.AuthPermission createLoginContext.JaasSample)

LoginContextの作成に必要なアクセス権をコードに付与するポリシー・ファイルが作成および使用されていないため、上に示すようにAccessControlExceptionが表示されます。

セキュリティ・マネージャをインストールした環境でJaasAcnアプリケーションを実行するために必要なすべてのステップを、次に示します。「コードの実行」で説明した手順を実行済みの場合は、最初の2つのステップを省略できます。

1. アプリケーションのソース・ファイルJaasAcn.javaおよびログイン構成ファイルjaas.confをディレクトリ内に配置します。
2. JaasAcn.javaを次のようにコンパイルします。

   javac JaasAcn.java
   

3. JaasAcn.classを含むJARファイルを作成します。

   jar -cvf JaasAcn.jar JaasAcn.class
   

   このコマンドにより、JARファイルJaasAcn.jarが作成され、その内部にJaasAcn.classが格納されます。

4. JARファイル内のコードに必要なアクセス権を付与するポリシー・ファイルを作成します。

   LoginContextのインスタンス化を実行するコードに必要なアクセス権は、createLoginContext.<entry name>をターゲットとするjavax.security.auth.AuthPermissionです。ここで、<entry name>は、アプリケーションがLoginContextのインスタンス化で参照する、ログイン構成ファイルのエントリ名です。コード内に示されているように、JaasAcnアプリケーションがLoginContextのインスタンス化で使用する名前は、JaasSampleです。

   LoginContext lc = 
       new LoginContext("JaasSample", 
             new TextCallbackHandler());
   

   このため、次のアクセス権をJaasAcn.jarに付与する必要があります。

   permission javax.security.auth.AuthPermission 
     "createLoginContext.JaasSample";
   

   ポリシー・ファイルjaasacn.policyを、JaasAcn.javaなどの格納先ディレクトリにコピーします。これは、次のgrant文を含むテキスト・ファイルで、JaasAcn.jar (現在のディレクトリ内)に必要なアクセス権を付与します。

   grant codebase "file:./JaasAcn.jar" {
      permission javax.security.auth.AuthPermission 
                       "createLoginContext.JaasSample";
   };
   

   注: ポリシー・ファイルおよびその内部のエントリ構造については、「デフォルトのPolicyの実装とポリシー・ファイルの構文」を参照してください。アクセス権は、JDKでのアクセス権で説明されています。

5. 次を指定して、JaasAcnアプリケーションを実行します
   1. 適切な-classpath節(JaasAcn.jar JARファイル内のクラスを検索するため)。
   2. -Djava.security.manager。セキュリティ・マネージャのインストールを指定します。
   3. -Djava.security.krb5.realm=<your_realm> (使用するKerberosレルム)。たとえば、レルムがKRBNT-OPERATIONS.EXAMPLE.COMの場合、-Djava.security.krb5.realm=KRBNT-OPERATIONS.EXAMPLE.COMのように指定します。
   4. -Djava.security.krb5.kdc=<your_kdc> (使用するKerberos KDC)。たとえば、KDCがsamplekdc.example.comの場合、-Djava.security.krb5.kdc=samplekdc.example.comのように指定します。
   5. -Djava.security.policy=jaasacn.policy。使用するポリシー・ファイルとしてjaasacn.policyを指定します。
   6. -Djava.security.auth.login.config=jaas.conf。使用するログイン構成ファイルとしてjaas.confを指定します。

   次に、完全なコマンドを示します。

   注意:

   <your_realm>をKerberosレルムと、<your_kdc>をKerberos KDCと置き換えてください。

   java -classpath JaasAcn.jar -Djava.security.manager 
    -Djava.security.krb5.realm=<your_realm> 
    -Djava.security.krb5.kdc=<your_kdc> 
    -Djava.security.policy=jaasacn.policy 
    -Djava.security.auth.login.config=jaas.conf JaasAcn
   

   コマンド全体は、1行で入力してください。ここでは、読みやすくするために複数行に分けて表示してあります。システムに対しコマンドが長すぎる場合は、.batファイル(Windowsの場合)または.shファイル(Solaris、LinuxおよびmacOSの場合)に記述し、そのファイルを実行して、コマンドを実行する必要がある場合があります。

   指定されたポリシー・ファイルには、必要なアクセス権をコードに付与するエントリが含まれるため、JaasAcnに対してLoginContextのインスタンス化が許可され、実行が継続されます。Kerberosユーザー名とパスワードの入力が求められます。ログイン構成ファイルで指定された、基盤となるKerberos認証メカニズムにより、Kerberosへのログインが行われます。ログインが成功すると「Authentication succeeded!」というメッセージが表示され、失敗すると「Authentication failed:」の後に失敗の理由が続くメッセージが表示されます。

   ログイン時のトラブルシューティングについては、「トラブルシューティング」を参照してください。