java - Hawt.io Web 应用程序 - 用户权限

Question

我有一个关于 hawt.io 安全的问题。我已经将 hawt.io 安装为 Web 应用程序(目前它是嵌入式 jetty ，但我们也可以选择在嵌入式/常规模式下使用 tomcat)。Hawt.io 将同一进程的 JMX mbean 树可视化，我们不连接远程服务器，一切都在本地。我想做的是找到最好的方法来提供要使用的身份验证和授权机制:

• 用户的身份验证:最好通过 LDAP 完成
• 用户授权:一些用户可以获得对所有 mbean 的完全访问权限，其他用户被限制不能执行 mbean 操作，而只能读取属性。

我以为我可以安装一个 web 过滤器，在 jetty 中我可以在 web.xml 之外完成它并检查请求，但是由于 hawt.io 使用 POST web 方法与其内部 jolokia 通信，操作执行的标识符在请求的主体内，所以我实际上无法从 Web 过滤器中访问它，因为在 Java Servlet 中我只能读取请求主体一次。我知道我可以提供“虚假请求”，但也许存在更好的解决方案。

也许有人可以提供相关的配置片段来配置这样的安装。提前致谢

Answer 1

对于基于角色的授权，您可以预先查询用户是否有权访问给定的 mbean/操作/属性。如果你实现这个 interface您可能可以与 JMX 的一些服务器端授权集成。默认情况下，hawtio 使用 dummy implementation让一切通过。这一切最初都是为了与为 Apache Karaf 实现的 JMX 守卫一起工作而设计的，它公开了相同的 mbean，但实际上确实通过 ACL 配置限制了访问。无论如何，客户端 javascript 设置为通过扫描“type=security;area=jmx”来定位此 mbean，只需在您的 mbean 中设置更高的“rank”属性，javascript 就会使用它。