Jetty 12.0.x SPNEGO: nastavite ime storitve, ne celoten principal

Pri konfiguraciji preverjanja pristnosti Jetty 12 ločite proxy URI, uporabnika JAAS in komponento storitve GSS.

V konfiguraciji Jetty SPNEGO so tri imena: URI za ujemanje preverjanja pristnosti, uporabnik, ki se prijavi prek JAAS, in storitev, za katero se zahteva vstopnica. Imajo različne namene.

Za izvedbo Jetty 12.0.x je del objekta preverjanja pristnosti:

var auth = new org.eclipse.jetty.client.SPNEGOAuthentication(
    java.net.URI.create("http://proxy.example:8080"));
auth.setServiceName("HTTP");

Ta del prikazuje komponento storitve, ne celotnega recepta za preverjanje pristnosti prek proxyja. Prijava JAAS, usmerjanje proxyja in izmenjava preverjanja pristnosti zahteve ostajajo ločeni.

V tej izvedbi Jetty zgradi ime GSS na podlagi gostitelja tako, da združi getServiceName(), znak @ in gostitelja za izmenjavo preverjanja pristnosti. Če kot komponento storitve navedete [email protected], bi dodali še enega gostitelja. Preberite pogodbo tega setterja, namesto da domnevate, da sprejema celoten principal Kerberos.

Nastalo ime GSS ima konceptualno obliko HTTP@hostname. Ustrezni principal storitve v KDC je običajno predstavljen kot HTTP/hostname. izbrano proxy ime se mora ujemati s storitvijo, ki je dejansko registrirana za ta račun; naslov IP ali vzdevek lahko izbere drugo ciljno mesto vstopnice.

Preverite tudi pot 407

V Jetty 12.0.x authenticate() pridobi ime gostitelja GSS iz request.getHost() in zgradi rezultat s privzeto glavo Authorization. Ujemanje objekta preverjanja pristnosti po proxy URI samo po sebi ne spremeni teh izbir v ime gostitelja proxyja in Proxy-Authorization.

Zato integracija proxyja za to izmenjavo potrebuje pravilnega gostitelja zahteve in rezultat v obsegu proxyja. Zahteva HTTPS CONNECT in običajna zahteva na izvor imata lahko različne vrednosti gostitelja. Potrdite vedenje nameščene izvedbe, namesto da domnevate, da setter imena storitve zagotavlja celoten potek 407.

Pri 407 preglejte izmenjavo preverjanja pristnosti proxyja in gostitelja, ki ga je uporabila ta zahteva. 401 spada k preverjanju pristnosti izvora. Samo veljavna uporabniška vstopnica ne dokazuje, da je Jetty zahteval pravilno storitveno vstopnico ali da jo je posrednik sprejel.

Sorodni članki