ReSQL.ru
     
powered by simpleCommunicator - 2.0.59     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / IBM DB2, WebSphere, IMS, U2 [игнор отключен] [закрыт для гостей] / безопасность в was
28 сообщений из 28, показаны все 2 страниц
  все  
безопасность в was
    #36166931
gabbeer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
gabbeer
Участник
По необходимости пришлось создать кастомный репозиторий пользователей, основанный на бд.
Сделал, как написано в редбуке - отдельный jar, который выбирает юзеров, пароли и группы из базы (юзер может находится в нескольких группах).
Появилась такая проблема: при добавлении юзера в новую группу, приложение, задеплоенное на вебсфере, не цепляет эту связь (юзер -> новая группа).
Для того, чтобы зацепилось, надо рестартить вебсферу.
Есть ли какой-нить способ обойтись без рестарта was?

зы. структуру базы менять нельзя, ибо приложение полностью работает на ней.
...
Рейтинг: 0 / 0
27.08.2009, 19:16
| Ответить | Цитировать | Написать  
безопасность в was
    #36167314
roman83
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
roman83
Гость
gabbeer
Для того, чтобы зацепилось, надо рестартить вебсферу.


а релогин чтоли не помогает, обязательно рестарт?
...
Рейтинг: 0 / 0
28.08.2009, 09:06
| Ответить | Цитировать | Написать  
безопасность в was
    #36167398
gabbeer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
gabbeer
Участник
хм.. сегодня проверил, новая роль добавилась, но непонятно почему так долго.
Ладно, сегодня еще потестю, попробую время добавления определить.
...
Рейтинг: 0 / 0
28.08.2009, 10:02
| Ответить | Цитировать | Написать  
безопасность в was
    #36167457
Евгений Хабаров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Евгений Хабаров
Гость
gabbeer,

WAS по умолчанию кеширует данные авторизации, в том числе и членство в группах.

Таймаут кеша настраивается. Параметр Authentication cache timeout. . Значение по умолчанию 10 минут.
Справочник: Authentication mechanisms and expiration .

Еще можно через JACL принудительно почистить кеш :
Описание 1: Clearing WebSphere Security Cache
Описание 2: How to clear the WebSphere Application Server security cache
...
Рейтинг: 0 / 0
28.08.2009, 10:27
| Ответить | Цитировать | Написать  
безопасность в was
    #36167559
gabbeer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
gabbeer
Участник
Евгений Хабаров,

спасибо.
...
Рейтинг: 0 / 0
28.08.2009, 11:08
| Ответить | Цитировать | Написать  
безопасность в was
    #36169837
Mike Key
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Mike Key
Гость
Не стал создавать ещё одну тему. Подскажите возможно ли настроить авторизацию в WAS 6.1(Win2K3) по домену, но работал чтобы от одного пользователя(как в IIS)
...
Рейтинг: 0 / 0
31.08.2009, 06:18
| Ответить | Цитировать | Написать  
безопасность в was
    #36171041
gabbeer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
gabbeer
Участник
Mike KeyПодскажите возможно ли настроить авторизацию в WAS 6.1(Win2K3) по домену, но работал чтобы от одного пользователя(как в IIS)

Если машина, на которой установлен WAS, находится в этом же домене, то при настройке безопасности можно указать использование реестра операционной системы. И также указать пользователя, который будет администратором вебсферы.
...
Рейтинг: 0 / 0
31.08.2009, 16:41
| Ответить | Цитировать | Написать  
безопасность в was
    #36171102
Евгений Хабаров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Евгений Хабаров
Гость
Mike KeyНе стал создавать ещё одну тему. Подскажите возможно ли настроить авторизацию в WAS 6.1(Win2K3) по домену, но работал чтобы от одного пользователя(как в IIS)

А что именно нужно получить на выходе?
Теоретически (т.к. сам не пробовал) варианты такие:
1. Как уже сказали использовать Local OS User Registry, ОС должна быть в домене.
2. Использовать LDAP User Registry для доступа к MS Active Directory по протоколу LDAP.
3. Использовать SPNEGO для"прозрачной" авторизации Creating a single sign-on for HTTP requests using the SPNEGO TAI
...
Рейтинг: 0 / 0
31.08.2009, 17:04
| Ответить | Цитировать | Написать  
безопасность в was
    #36171682
Mike Key
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Mike Key
Гость
Если конкретней, дело обстоит так. Конкретный пользователь по доменной политике привязан к конкретной машине. Другими словами залогинится на серваке WAS используя реестр локальной операционной системы не получается. В IIS есть возможность фильтрации учётных записей пользователей, а также указать одного анонимного локального пользователя от которого собственно и будет всё работать на стороне сервера. С WAS работаю не давно, потому может и не смог найти. Есть соображения как такое настроить?
...
Рейтинг: 0 / 0
01.09.2009, 02:22
| Ответить | Цитировать | Написать  
безопасность в was
    #36171916
Евгений Хабаров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Евгений Хабаров
Гость
Mike Key,

Не сказал бы что стало понятнее.

1. Сам WAS запускается как сервис, сервису пользователь прописывается стандартными для Windows средствами.
2. При обращении к внешним ресурсам (JDBC, JMS и т.д.) можно указать данные авторизации именно для этого ресурса. Тогда при обращении к этому ресурсу будут использованы эти данные авторизации.
3. Для авторизации пользователей в приложениях (в том числе и в админ.консоли) как раз и используется реестр пользователей. Если использовать SPNEGO, то пользователь, который авторизовался в домене, при обращении к приложению из браузера, будет автоматически авторизован в этом приложении (т.е. ему не придется вводить логин/пароль еще раз). От браузера требуется поддержка такого метода авторизации. Подробнее читать документ по ссылке. Сам такого не настраивал, поэтому сказать насколько это работает не могу.
4. Если в приложении не указано, что для доступа к нему (или к его части) нужна авторизация, то соответственно и запрос на авторизацию выдаваться не будет (как раз анонимный доступ к приложению).
...
Рейтинг: 0 / 0
01.09.2009, 10:07
| Ответить | Цитировать | Написать  
безопасность в was
    #36173826
Mike Key
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Mike Key
Гость
Ладно, попробую по-другому. Где в настройках WAS можно указать имя пользователя, которым будут выполнятся какие либо операции на сервере пускай он даже будет локальным?
То есть при запросе WEB - приложением формы авторизации, пользователь вводит к примеру пользователь-user пароль-pass. И дальнейший вход на сервер и остальные операции на нём совершались не связкой user/pass, а заранее прописанным локальным анонимным пользователем anonymous.
...
Рейтинг: 0 / 0
02.09.2009, 04:43
| Ответить | Цитировать | Написать  
безопасность в was
    #36174066
Евгений Хабаров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Евгений Хабаров
Гость
Mike Key,

Какие именно операции имеются в виду?

Все что происходит внутри J2EE приложения описано в разделе Security в J2EE Tutorial например.
В зависимости от того, о каких операциях идет речь, есть разные варианты.
Если речь идет именно о веб-приложении, то если доступ к ресурсу веб-приложения (URL-маска) защищен, то будет выдано предложение авторизоваться. Дальнейший доступ к ресурсам этого-же приложения будет происходить под указанным логином. Но вот обращение к внешним (по отношению к веб-приложению) ресурсам (EJB, сервисы, файлы и т.п.) может происходить с другими данными авторизации. Смотрите что такое RunAs в разделе J2EE Security.
Например здесь Propagating Security Identity или здесь Configuring a Component’s Propagated Security Identity

Постановка задачи на самом деле непонятна.
Если пользователя нужно авторизовать для доступа к веб-приложению, то зачем в дальнейшем анонимизировать доступ в пределах этого же сервера приложений? Смысл этого действия?
...
Рейтинг: 0 / 0
02.09.2009, 10:17
| Ответить | Цитировать | Написать  
безопасность в was
    #36175982
Mike Key
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Mike Key
Гость
Смысл в том, чтобы ограничить доступ к приложению только для конкретных учётных записей домена. Поскольку учётки привязаны к определённому рабочему месту, приходится вводить в работу одного локального пользователя на сервере от которого непосредственно и будет работать приложение.
...
Рейтинг: 0 / 0
03.09.2009, 07:39
| Ответить | Цитировать | Написать  
безопасность в was
    #36176045
roman83
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
roman83
Гость
на самом деле не понятно чего вы хотите. У вас же есть ерпозиторий LDAP, в нех хранятся учетные записи. Какая разница какому пользователь на какую машину разрешено заходить, если мы говорим о защите приложения?

Серверу приложений в общем случае все равно где(на какой машине) находится клиент который запрашивает у него ресурсы.
...
Рейтинг: 0 / 0
03.09.2009, 09:10
| Ответить | Цитировать | Написать  
безопасность в was
    #36176157
Евгений Хабаров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Евгений Хабаров
Гость
Mike KeyСмысл в том, чтобы ограничить доступ к приложению только для конкретных учётных записей домена. Поскольку учётки привязаны к определённому рабочему месту, приходится вводить в работу одного локального пользователя на сервере от которого непосредственно и будет работать приложение.
Приложение работает внутри J2EE сервера приложений.
С точки зрения ОС есть процесс сервера приложений, который запущен от определенного пользователя ОС. Если будут обращения к файловой системе например, они будут происходить от имени пользователя сервиса.
А почти все операции по авторизации внутри сервера приложений не видны с точки зрения операционной системы, т.е. выполняются на уровне Java.
Поэтому в общем случае ОС не будет знать от кого работает конкретное J2EE-приложение внутри сервера приложений, ибо для ОС отдельное J2EE-приложение просто не существует. ОС видит сервер приложений в целом.
...
Рейтинг: 0 / 0
03.09.2009, 10:20
| Ответить | Цитировать | Написать  
безопасность в was
    #36178074
Mike Key
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Mike Key
Гость
Да я понимаю что всё так и должно быть красиво. Однако! в журнале(Администрирование-просмотр событий), при вводе данных пользователя домена, вы водится ошибка
"Logon Failure:
Reason: User not allowed to logon at this computer"

и далее указывается имя пользователя бла бла бла...
имя пользователя выводится введённое пользователем, а не тот от которого запускается сервис.
...
Рейтинг: 0 / 0
04.09.2009, 06:43
| Ответить | Цитировать | Написать  
безопасность в was
    #36178244
чя321
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
чя321
Гость
Меняйте настройки домена.

У вас в доменной политике наверняка прописано, что пользователь может заходить только на свой копьютер.
...
Рейтинг: 0 / 0
04.09.2009, 09:46
| Ответить | Цитировать | Написать  
безопасность в was
    #36178256
Mike Key
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Mike Key
Гость
Я об этом говорил чуть выше. А политику домена поменять не получится. надо как то выкручиваться по другому :(
...
Рейтинг: 0 / 0
04.09.2009, 09:53
| Ответить | Цитировать | Написать  
безопасность в was
    #36178435
gabbeer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
gabbeer
Участник
Mike Key,

а при маппинге пользователя на приложение, выводятся юзеры домена?
...
Рейтинг: 0 / 0
04.09.2009, 11:01
| Ответить | Цитировать | Написать  
безопасность в was
    #36180917
Mike Key
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Mike Key
Гость
Да бес проблем
...
Рейтинг: 0 / 0
07.09.2009, 01:52
| Ответить | Цитировать | Написать  
безопасность в was
    #36181292
gabbeer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
gabbeer
Участник
Mike Key,

ну собственно и цеплять необходимых пользователей из домена к приложению. Те, кто не прицеплен, не будут иметь к нему доступа.
...
Рейтинг: 0 / 0
07.09.2009, 10:38
| Ответить | Цитировать | Написать  
безопасность в was
    #36183032
Mike Key
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Mike Key
Гость
Так и делал с самого начала. но политика безопасности мешает. в виндовском журнале пишет, что пользователю не разрешено логиниться на данную станцию бла бла бла
...
Рейтинг: 0 / 0
08.09.2009, 02:26
| Ответить | Цитировать | Написать  
безопасность в was
    #36183372
gabbeer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
gabbeer
Участник
Mike Key,

посмотрите здесь: тынц . Может поможет решить проблему.
...
Рейтинг: 0 / 0
08.09.2009, 10:29
| Ответить | Цитировать | Написать  
безопасность в was
    #36199016
chro
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
chro
Гость
Если авторизация по ldap(active directory) ,то проблемы с локальной проверкой пользователя не должно быть
...
Рейтинг: 0 / 0
16.09.2009, 13:29
| Ответить | Цитировать | Написать  
безопасность в was
    #36206900
Евгений Хабаров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Евгений Хабаров
Гость
Mike KeyТак и делал с самого начала. но политика безопасности мешает. в виндовском журнале пишет, что пользователю не разрешено логиниться на данную станцию бла бла бла
Попробуйте настроить WAS для работы с MS Active Directory по протоколу LDAP.
Сейчас у вас настроено через Local OS, в этом случае WAS обращается к средствам ОС для авторизации, что и приводит к этой ошибке.
...
Рейтинг: 0 / 0
21.09.2009, 10:04
| Ответить | Цитировать | Написать  
безопасность в was
    #36208250
waslamer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
waslamer
Гость
не стал и я создавать отдельный топик.

обрисую ситуацию( WebSphere 6.1.0.11 + Windows Active Directory 2003):

1. есть четыре домен контроллера.
2. создал federated репозитории, с каждого домен контроллера под своим пользователем, AD коннектится к вебсфере.
3. какие необходимы настройки в закладке : Supported entity types для General Properties ?
4. Primary administrative user name под которым коннектиться верхний домен :
CN=wasadmin,OU=WebSphereUsers,DC=testdomain,DC=edu
5. проблема, когда в закладке Users and Groups-Manage Groups пытаюсь искать группы, то получаю ошибку :
CWWIM4520E The 'javax.naming.InvalidNameException: Invalid name: WebSphereUsers' naming exception occurred during processing.
6. в закладке Users and Groups-Manage Users пользователи из всех четырёх доменов отображаются.

Какие настройки применительно к моей ситуации необходимо выставить в следующих полях ?:
Entity type
Specifies the entity type name.

Base entry for the default parent
Specifies the distinguished name of a base entry in the repository.

This entry determines the default location in the repository where entities of this type are placed on write operations by user and group management.

Relative Distinguished Name properties
Specifies the relative distinguished name (RDN) properties for the specified entity type.

Possible values are cn for Group, uid or cn for PersonAccount, and o, ou, dc, and cn for OrgContainer. Delimit multiple properties for the OrgContainer entity with a semicolon (;).
...
Рейтинг: 0 / 0
21.09.2009, 16:49
| Ответить | Цитировать | Написать  
безопасность в was
    #36208314
Евгений Хабаров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Евгений Хабаров
Гость
waslamer,

К сожалению не на чем у меня сейчас попробовать конфигурацию с MS AD, нет домена поблизости.
Могу предложить следующие документы:
Using Microsoft Active Directory with IBM WebSphere Application Server
Using specific directory servers as the LDAP server
Очень надеюсь что это поможет в решении проблемы.
О результатах большая просьба сообщить.
...
Рейтинг: 0 / 0
21.09.2009, 17:13
| Ответить | Цитировать | Написать  
безопасность в was
    #36209215
waslamer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
waslamer
Гость
Евгений Хабаров

Добрый день! К сожалению, в данных документациях нет чёткого примера как step-by-step настройть federative repositories, и главное примера как необходимо заполнить
Base entry for the default parent
Relative Distinguished Name properties

в каком-либо конкретном примере.

По документации Using Microsoft Active Directory with IBM WebSphere Application Server
на странице 12, выполнил изменения в web-console, добавил в wimconfig.xml рекомендацию.
Не стартовал server1 вообще :-)

В SystemOut.log вывалилось сообщение:

Caused by: com.ibm.websphere.wim.exception.WIMApplicationException: CWWIM0006E Initialization of component, ConfigManager, failed: com.ibm.websphere.wim.exce
ption.InitializationException: CWWIM0001E The configuration file '/opt/WebSphere/AppServer/profiles/ИМЯПРОФАЙЛА/config/cells/НОДА/wim/config/wimc
onfig.xml' is not valid. Root cause is 'Open quote is expected for attribute "propertyName" associated with an element type "config:attributes".'.
...
Рейтинг: 0 / 0
22.09.2009, 10:29
| Ответить | Цитировать | Написать  
28 сообщений из 28, показаны все 2 страниц
  все  
Форумы / IBM DB2, WebSphere, IMS, U2 [игнор отключен] [закрыт для гостей] / безопасность в was
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]