dynamische Rollen auf einem Java EE-Server

Question

Ich möchte Benutzer und Rollen in einer dedizierten Anwendung verwalten. Zum Beispiel kann ein Benutzer dieser Anwendung ("customerX-Chef") eine neue Rolle "customerX-Mitarbeiter" anlegen. Wenn ein Mitarbeiter auf den Java EE-Anwendungsserver (GlassFish 3) zugreift, sollte er die Rolle "customerX employee" erhalten.

Es klingt einfach, wird aber von Java EE nicht unterstützt, da Gruppen beim Startup den Rollen zugeordnet werden und die Rollen in der Anwendung statisch sind.

Wie können Benutzerrollen zur Laufzeit in einer Java EE (6) -Umgebung am besten verwaltet werden?

Answer 1

Die deklarative Sicherheit in Java EE ist für solche Anforderungen in der Tat nicht geeignet. Das Problem der Sicherheit kann in zwei Teile gespalten werden:

• Authentifizierung
• Genehmigung

ich einmal ähnliche Anforderung hatte. Wir haben die integrierte Authentifizierung verwendet, um das Principal festzulegen, und haben uns dann auf die standardmäßigen Java EE-Anmeldemechanismen gestützt. Aber wir haben den Autorisierungsteil manuell auf der Anwendungsebene verwaltet.

der Tat, auch die Rollen, die mit dem Auftraggeber (isUserInRole für das Web und isCallerInRole für die EJB) geladen wird, und die damit verbundenen müssen in web.xml oder ejb.xml angegeben werden, die nicht genug Flexibilität bietet. Wir mussten dann die Rollen manuell (nach dem Prinzipal) aus LDAP oder ActiveDirectory laden. Wir haben dann die EJB3-Interzeptoren und den Servlet-Filter verwendet, um die Sicherheitsüberprüfungen selbst durchzuführen.

Ich würde jedoch dringend empfehlen, bei einer rollenbasierten Zugriffskontrolle (RBAC) zu bleiben und etwas mehr Phantasie nicht umzusetzen. Es gibt mehrere Frameworks, die helfen können, mit selbst erstellten RBAC umzugehen. Wir haben uns auch JSecurity und Acegi Security angesehen und sie schienen interessant zu sein.