Frühlings-Boot-Actuator Endpoints Sicherheit funktioniert nicht mit benutzerdefinierten Spring Security Configuration

Question

Das ist mein Frühling Stiefel 1.5.1 Antrieb ist application.properties:

#Spring Boot Actuator 
management.contextPath: /actuator 
management.security.roles=R_0 

Das ist mein WebSecurityConfig:

@Configuration 
@EnableWebSecurity 
public class WebSecurityConfig extends WebSecurityConfigurerAdapter { 

    @Autowired 
    private UserDetailsService userDetailsService; 

    @Value("${logout.success.url}") 
    private String logoutSuccessUrl; 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 

     // @formatter:off 
     http.addFilterBefore(new CorsFilter(), ChannelProcessingFilter.class); 

     http 
      .csrf().ignoringAntMatchers("/v1.0/**", "/logout") 
     .and() 
      .authorizeRequests() 

      .antMatchers("/oauth/authorize").authenticated() 
      //Anyone can access the urls 
      .antMatchers("/signin/**").permitAll() 
      .antMatchers("/v1.0/**").permitAll() 
      .antMatchers("/auth/**").permitAll() 
      .antMatchers("/actuator/health").permitAll() 
      .antMatchers("/actuator/**").hasAuthority("R_0") 
      .antMatchers("/login").permitAll() 
      .anyRequest().authenticated() 
     .and() 
      .formLogin() 
       .loginPage("/login") 
       .loginProcessingUrl("/login") 
       .failureUrl("/login?error=true") 
       .usernameParameter("username") 
       .passwordParameter("password") 
       .permitAll() 
      .and() 
       .logout() 
        .logoutUrl("/logout") 
        .logoutSuccessUrl(logoutSuccessUrl) 
        .permitAll(); 
     // @formatter:on 
    } 

    /** 
    * Configures the authentication manager bean which processes authentication requests. 
    */ 
    @Override 
    protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
     auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder()); 
    } 

    @Override 
    @Bean 
    public AuthenticationManager authenticationManagerBean() throws Exception { 
     return super.authenticationManagerBean(); 
    } 

} 

ich jetzt bin erfolgreich in der Lage, mich in meiner Anwendung mit einem richtigen Benutzer anmelden, die R_0 Berechtigungen hat, aber wenn ich versuche, zum Beispiel auf

zuzugreifen

Ich erhalte folgende Fehlermeldung:

There was an unexpected error (type=Forbidden, status=403). 
Access is denied. User must have one of the these roles: R_0 

Wie Sie sich richtig Frühling Boot-Aktor, um sich bewusst zu sein, über die richtige Authentication konfigurieren?

Gerade jetzt, um es zu bekommen Workin ich die folgenden Trick zu tun haben:

management.security.enabled=false 

.antMatchers("/actuator/health").permitAll() 
.antMatchers("/actuator/**").hasAuthority("R_0") 

irgendeine Chance Actuator in einem richtigen Weg zu konfigurieren?

AKTUALISIERT

Ich verwende UserDetailsService.UserDetails.Authorities

public Collection<? extends GrantedAuthority> getAuthorities() { 
     String[] authorities = permissions.stream().map(p -> { 
      return p.getName(); 
     }).toArray(String[]::new); 
     return AuthorityUtils.createAuthorityList(authorities); 
    } 

Answer 1

Sie haben Präfix ROLE_ für Ihre management.security.roles zum Beispiel verwenden management.security.roles=ROLE_SOMENAME um

Answer 2

Nach diesem Link:

http://docs.spring.io/spring-boot/docs/current/reference/html/production-ready-monitoring.html

By default all sensitive HTTP endpoints are secured such that only users that have an ACTUATOR role may access them. Security is enforced using the standard HttpServletRequest.isUserInRole method.

Use the management.security.roles property if you want something different to ACTUATOR.

Also ich denke, alles, was Sie tun müssen, wird der fol Eigenschaft in application.properties.

management.security.roles 

Ex:

management.security.roles=R_0 

Answer 3

Berechtigung haben Boot-Aktor-Endpunkte Sie ANTRIEB Rolle haben müssen bis zum Frühjahr. Siehe dieses Beispiel Accessing Restricted Actuator Endpoints with Spring Security