Jetty 12.0.x SPNEGO: setzt den Déngschtnumm, net de vollständige Principal

Trennt d'Proxy-URI, de JAAS-Benotzer an d'GSS-Déngschtkomponent bei der Konfiguratioun vun der Jetty-12-Authentifizéierung.

An enger Jetty-SPNEGO-Konfiguratioun gëtt et dräi Nimm: d'URI fir d'Authentifizéierung ze passen, de Benotzer deen iwwer JAAS erakënnt an den Déngscht fir deen en Ticket ugefrot gëtt. Si hunn ënnerschiddlech Zwecker.

Fir d'Jetty-12.0.x-Implementatioun ass en Ausschnëtt vum Authentifizéierungsobjekt:

var auth = new org.eclipse.jetty.client.SPNEGOAuthentication(
    java.net.URI.create("http://proxy.example:8080"));
auth.setServiceName("HTTP");

Dësen Ausschnëtt weist d'Déngschtkomponent, net e komplett Rezept fir d'Proxy-Authentifizéierung. JAAS-Login, Proxy-Routing an den Authentifizéierungsaustausch vun der Ufro bleiwen getrennt.

An dëser Implementatioun baut Jetty den hostbaséierten GSS-Numm andeems getServiceName(), en @-Zeechen an den Host fir den Authentifizéierungsaustausch kombinéiert ginn. Gëtt [email protected] als Déngschtkomponent uginn, kënnt en aneren Host dobäi. Liest den Kontrakt vun dësem Setter amplaz unzehuelen, datt en e vollstände Kerberos-Principal akzeptéiert.

Den entstehende GSS-Numm huet d'konzeptuell Form HTTP@hostname. De entspriechende Déngscht-Principal am KDC gëtt normalerweis als HTTP/hostname duergestallt. gewielten Proxy-Numm muss mam tatsächlech registréierten Déngscht iwwerenee stëmmen fir dee Kont; eng IP-Adress oder en Alias kann en anert Ticketziel auswielen.

Iwwerpréift och den 407-Pfad

An Jetty 12.0.x kritt authenticate() den GSS-Hostnumm aus request.getHost() a baut en Resultat mam Standard-Authorization-Header. D'Passen vun engem Authentifizéierungsobjekt iwwer d'Proxy-URI ännert dës Entscheedungen net vu sech aus an den Hostnumm vum Proxy an a Proxy-Authorization.

Eng Proxy-Integratioun brauch dofir de richtege Ufrohost an e proxy-begränzt Resultat fir deen Austausch. Eng HTTPS-CONNECT-Ufro an eng gewéinlech Ursprongsfro kënnen ënnerschiddlech Hostwäerter hunn. Bestätegt d'Verhalen vun der installéierter Implementatioun amplaz unzehuelen, datt den Déngschtnumm-Setter de kompletten 407-Ofleef liwwert.

Fir en 407, iwwerpréift den Proxy-Authentifizéierungsaustausch an den Host deen dës Ufro benotzt huet. En 401 gehéiert zur Ursprongsauthentifizéierung. En eenzele gültege Benotzerticket beweist net, datt Jetty den richtegen Déngschticket ugefrot huet oder datt de Mëttler en akzeptéiert huet.

Ähnlech Artikelen