ポリシー・ファイルのgrant文に、1つ以上のPrincipalフィールドをオプションで含めることができるようになりました(デフォルトのPolicyの実装とポリシー・ファイルの構文を参照)。Principalフィールドは、指定されたプリンシパルで表される(指定されたコードを実行する)ユーザーまたはその他のエンティティが、特定のアクセス権を保持することを表します。

このため、grant文の基本的な書式は次のようになります

grant <signer(s) field>, <codeBase URL> 
  <Principal field(s)> {
    permission perm_class_name "target_name", "action";
    ....
    permission perm_class_name "target_name", "action";
  };

signer、codeBase、Principalの各フィールドはオプションであり、各フィールドの順序は重要ではありません。

Principalフィールドは、次のようになります。

Principal Principal_class "principal_name"

つまり、「Principal」という語(大文字、小文字は区別されない)に続き、完全修飾のPrincipalクラス名およびプリンシパル名を指定します。

Principalクラスは、java.security.Principalインタフェースを実装するクラスです。すべてのPrincipalオブジェクトは、getNameメソッドの呼出しによって取得できる関連名を持っています。名前に使用される書式は、Principal実装によって異なります。

このチュートリアルで使用する、Kerberos認証メカニズムにより作成されるサブジェクト内に配置されるプリンシパルのタイプは、javax.security.auth.kerberos.KerberosPrincipalです。これをgrant文のプリンシパルの指定のPrincipal_class部分で使用する必要があります。KerberosPrincipalのユーザー名は、name@realmの形式で指定します。このため、ユーザー名がmjonesで、レルムがKRBNT-OPS.ABC.COMの場合、grant文で使用する完全なprincipal_nameの指定は、mjones@KRBNT-OPS.ABC.COMになります。

単一のgrant文内に複数のPrincipalフィールドを含めることも可能です。複数のPrincipalフィールドを指定する場合、現行のアクセス制御コンテキストに関連付けられたサブジェクトにこれらのプリンシパルのすべてが含まれる場合にのみ、grant文のアクセス権が付与されます。

複数のプリンシパルに同じアクセス権のセットを付与するには、複数のgrant文を作成し、各文にアクセス権のリストといずれかのプリンシパルを指し示す単一のPrincipalフィールドを含めます。

このチュートリアルのポリシー・ファイルでは、Principalフィールドに1つのgrant文が含まれます。

grant codebase "file:./SampleAction.jar",
    Principal javax.security.auth.kerberos.KerberosPrincipal 
        "your_user_name@your_realm"  {

   permission java.util.PropertyPermission "java.home", "read";
   permission java.util.PropertyPermission "user.home", "read";
   permission java.io.FilePermission "foo.txt", "read";
};

ここで、your_user_name@your_realmには、使用するKerberosユーザー名、「@」およびレルムを指定します。これは、指定したアクセス権を、SampleAction.jar内のコードを実行する指定されたプリンシパルに付与することを示します。

サブジェクトを作成し、アクセス制御コンテキストに関連付けるには、次のようにします。

• 最初にユーザーを認証する必要があります(「JAAS認証」を参照)。
• SubjectクラスのstaticメソッドdoAsを呼び出し、認証されたSubjectとjava.security.PrivilegedActionまたはjava.security.PrivilegedExceptionActionを渡します。(PrivilegedActionとPrivilegedExceptionActionの相違点については、付録A: 特権ブロックのためのAPIを参照してください。)doAsメソッドは、提供されたサブジェクトを現在のアクセス制御コンテキストに関連付け、アクションからrunメソッドを呼び出します。runメソッド実装には、指定されたサブジェクトとして実行されるすべてのコードが含まれています。このため、アクションは指定されたサブジェクトとして実行されます。

  doAsメソッドのかわりに、SubjectクラスのstaticメソッドdoAsPrivilegedを呼び出すことができます。doAsPrivilegedは、doAsに渡されるパラメータの他に3番目のパラメータAccessControlContextを必要とします。提供されたサブジェクトを現在のアクセス制御コンテキストに関連付けるdoAsと異なり、doAsPrivilegedは、サブジェクトを提供されたアクセス制御コンテキストに関連付けます。これらのメソッドの相違点については、『JAASリファレンス・ガイド』のdoAsとdoAsPrivilegedを参照してください。

JaasAzn.javaは、認証終了後のmainメソッドの最後に3つの文が追加されている点を除き、前のチュートリアルで使用したJaasAcn.javaコードとまったく同じです。追加された3つの文により、(1)認証されたユーザーを表すサブジェクトの、現在のアクセス制御コンテキストへの関連付け、(2) SampleActionのrunメソッド内のコードの実行が行われます。現行のポリシー内で認証済のユーザーに必要なアクセス権が付与されていることをプリンシパルから判断できる場合、サブジェクトをアクセス制御コンテキストに関連付けることにより、SampleActionのrunメソッド内のセキュリティ関連操作(および直接または間接的に呼び出されるすべてのコード)を実行できるようになります。

JaasAzn.javaは、JaasAcn.javaと同様にLoginContext lcをインスタンス化し、loginメソッドを呼び出して認証を実行します。認証に成功した場合は、LoginContextのgetSubjectメソッドを呼び出すことにより、認証されたサブジェクト(ユーザーを表すプリンシパルを含む)を取得します。

Subject mySubject = lc.getSubject();

その後、mainメソッドによりSubject.doAsPrivilegedが呼び出され、次に示すように、認証されたサブジェクトmySubject、PrivilegedAction (SampleAction)、null AccessControlContextが渡されます。

SampleActionクラスは、次の方法でインスタンス化されます。

PrivilegedAction action = new SampleAction();

Subject.doAsPrivilegedの呼出しは、次の方法で行われます。

Subject.doAsPrivileged(mySubject, action, null);

doAsPrivilegedメソッドは、PrivilegedAction action (SampleAction)のrunメソッドを呼び出して、サブジェクトmySubjectのかわりの実行と見なされる残りのコードの実行を開始します。

3番目のAccessControlContext引数としてdoAsPrivilegedにnullを渡すことにより、mySubjectが新しい空のAccessControlContextに関連付けられることを示します。その結果、SampleActionの実行時のセキュリティ・チェックでは、mySubjectとして実行されるSampleActionコード自体(またはこのコードによって呼び出されるその他のコード)のアクセス権のみが必要になります。doAsPrivilegedの呼出し側(およびdoAsPrivilegedが呼び出された時点で実行スタック上に存在していた呼出し側)は、アクションが実行されている間、アクセス権を必要としません。

SampleAction.javaには、SampleActionクラスが含まれます。このクラスは、java.security.PrivilegedActionを実装し、サブジェクトmySubjectとして実行するすべてのコードを含むrunメソッドを持ちます。このチュートリアルでは、3つの操作を実行します。それぞれ、コードに必要なアクセス権を付与しないかぎり、実行できません。次を実行します。

• java.homeシステム・プロパティの値を読み取り、出力する。
• user.homeシステム・プロパティの値を読み取り、出力する。
• 現行のディレクトリにfoo.txtという名前のファイルが存在するかどうかを確認する。

JaasAznクラスのmainメソッドは、アクセス権の必要な2つの操作を実行します。次を実行します

• LoginContextの作成。
• SubjectクラスのdoAsPrivileged staticメソッドの呼出し。

LoginContextの作成方法は認証チュートリアルの場合とまったく同じとなるため、createLoginContext.JaasSampleをターゲットとする同じjavax.security.auth.AuthPermissionアクセス権が必要です。

SubjectクラスのdoAsPrivilegedメソッドを呼び出すには、doAsPrivilegedをターゲットとするjavax.security.auth.AuthPermissionが必要です。

JaasAznクラスが、JaasAzn.jarという名前のJARファイルに配置されている場合を考えましょう。ポリシー・ファイル内の次のgrant文を使用して、これらのアクセス権をJaasAznコードに付与できます。

grant codebase "file:./JaasAzn.jar" {
   permission javax.security.auth.AuthPermission 
                    "createLoginContext.JaasSample";
   permission javax.security.auth.AuthPermission "doAsPrivileged";
};

SampleActionコードは、アクセス権の必要な3つの操作を実行します。次を実行します

• java.homeシステム・プロパティの値の読取り。
• user.homeシステム・プロパティの値の読取り。
• 現行のディレクトリにfoo.txtという名前のファイルが存在するかどうかの確認。

これらの操作には、次のアクセス権が必要です。

permission java.util.PropertyPermission "java.home", "read";
permission java.util.PropertyPermission "user.home", "read";
permission java.io.FilePermission "foo.txt", "read";

これらのアクセス権をSampleAction.classのコードに付与する必要があります。これは、SampleAction.jarという名前のJARファイル内に配置されます。ただし、この特定のgrant文の場合、アクセス権をコードだけではなく、コードを実行する特定のユーザーにも付与することにより、アクセスを特定のユーザーに限定する方法を示します。

このため、「プリンシパルベースのポリシー・ファイル文の作成方法」で説明したように、grant文は次のようになります。

grant codebase "file:./SampleAction.jar",
    Principal javax.security.auth.kerberos.KerberosPrincipal 
        "your_user_name@your_realm"  {

   permission java.util.PropertyPermission "java.home", "read";
   permission java.util.PropertyPermission "user.home", "read";
   permission java.io.FilePermission "foo.txt", "read";
};

your_user_name@your_realmには、使用するKerberosユーザー名、「@」およびレルムを指定します。たとえば、ユーザー名がmjones、レルムがKRBNT-OPERATIONS.ABC.COMの場合、mjones@KRBNT-OPERATIONS.ABC.COMを指定します。