tomcat - 用于授权的 OpenAM Tomcat J2EE 代理配置

Question

我想使用 OpenAM 将授权配置到在 Tomcat 6 中暂存的测试 Web 应用程序中。最终目标/用例类似于:

• 用户bob属于组员

• 用户 john 属于组管理员

• 只有员工和经理可以访问 employee.jsp 页面

• 只有经理可以访问 manager.jsp 页面

我找到了大量关于身份验证部分的文档，并在我的环境中正确配置了这些文档。在登录之前，我可以访问“公共(public)”页面(不是我配置的强制 uri)，但是一旦我尝试访问像“employee.jsp”这样的 protected 页面，我就会被重定向到 OpenAM 的登录模块并且必须进行身份验证.我可以作为属于该组员工的 bob 进行身份验证(支持用户存储是一个事件目录)，但是在重定向之后我仍然被拒绝访问。如何为此配置访问权限？为保护此资源而部署的策略代理是 j2ee_agent。 Web 代理似乎更相关，但我收集到为 Tomcat 部署了 j2ee 代理。有什么想法吗？

谢谢。

环境:

• webapp 部署在 tomcat 6 上，在 Windows 2008 服务器上运行，带 AD
• j2ee 策略代理部署在同一个 tomcat 6 实例中，配置集中在服务器中
• 在 jboss 7 中部署的单独 linux box 上的 openam 服务器，使用 Windows 2008 Server AD 作为用户存储。

Answer 1

J2EE 代理支持 J2EE 策略。在 OpenAM 使用的数据存储中，您必须将组分配给您选择的用户。

OpenAM 将从该“数据存储组”中抽象出来并构建“OpenAM 组”。

您必须在部署容器特定的部署描述符中为此“OpenAM 组”配置一个映射到您的 J2EE 角色。

J2EE 代理模式应为“J2EE_POLICY”或“ALL”(后者要求在 OpenAM 中配置 url 策略)。

您可以查看 J2EE 代理提供的 agentsample 网络应用。

代理调试日志(级别设置为“消息”)也会告诉您映射是否完成以及如何完成。