web-dev-qa-db-ja.com

Spring Security3.1を使用してActiveDirectoryに認証されたときのロールの処理

Spring Security3.1を使用してActiveDirectoryで認証を使用しようとしています。私は認証され、すべてが順調です。

<sec:ldap-server id="ldapServer" url="ldap://ldap/dc=sub,dc=domain,dc=com" port="389" />

<sec:authentication-manager erase-credentials="true"  >
    <sec:authentication-provider ref="ldapActiveDirectoryAuthProvider" />
</sec:authentication-manager>

<bean id="ldapActiveDirectoryAuthProvider" 
        class="org.springframework.security.ldap.authentication.ad.ActiveDirectoryLdapAuthenticationProvider">
    <constructor-arg value="domain" />
    <constructor-arg value="ldap://server:389/"/> 
</bean>

さて、質問に移りましょう。フィルタを設定できるように、ユーザーのロールを処理するにはどうすればよいですか？

例えば。

<sec:intercept-url pattern="/**" access="ROLE_USER"/>

解決

UserDetailContextMapperを使用してこれを行う方法を見つけ、ADグループをROLE_USER、ROLE_ADMINなどにマップしました。

    <bean id="ldapActiveDirectoryAuthProvider" 
        class="org.springframework.security.ldap.authentication.ad.ActiveDirectoryLdapAuthenticationProvider">
    <constructor-arg value="domain" />
    <constructor-arg value="ldap://Host:389/"/> 
    <property name="userDetailsContextMapper" ref="tdrUserDetailsContextMapper"/>
    <property name="useAuthenticationRequestCredentials" value="true"/>
</bean>

<bean id="tdrUserDetailsContextMapper" class="com.bla.bla.UserDetailsContextMapperImpl"/>

マッパークラス：

public class UserDetailsContextMapperImpl implements UserDetailsContextMapper, Serializable{
    private static final long serialVersionUID = 3962976258168853954L;

    @Override
    public UserDetails mapUserFromContext(DirContextOperations ctx, String username, Collection<? extends GrantedAuthority> authority) {

        List<GrantedAuthority> mappedAuthorities = new ArrayList<GrantedAuthority>();


        for (GrantedAuthority granted : authority) {

            if (granted.getAuthority().equalsIgnoreCase("MY USER GROUP")) {
                mappedAuthorities.add(new GrantedAuthority(){
                    private static final long serialVersionUID = 4356967414267942910L;

                    @Override
                    public String getAuthority() {
                        return "ROLE_USER";
                    } 

                });
            } else if(granted.getAuthority().equalsIgnoreCase("MY ADMIN GROUP")) {
                mappedAuthorities.add(new GrantedAuthority() {
                    private static final long serialVersionUID = -5167156646226168080L;

                    @Override
                    public String getAuthority() {
                        return "ROLE_ADMIN";
                    }
                });
            }
        }
        return new User(username, "", true, true, true, true, mappedAuthorities);
    }

    @Override
    public void mapUserToContext(UserDetails arg0, DirContextAdapter arg1) {
    }
}
springactive-directoryspring-securityldap
16
heldt

Beans.xmlのロールは、memberOf value属性のCN（共通名）と完全に一致する必要があります。ディレクトリの基本に関するチュートリアルを読む必要があります。

このユーザーがいるとしましょう：CN=Michael-O,OU=Users,OU=department,DC=sub,DC=company,DC=net彼のコンテキストでは、このmemberOf値が存在しますCN=Group Name,OU=Permissions,OU=Groups,OU=department,DC=sub,DC=company,DC=net

Beanは、このmemberOf値を見つけて、Group Nameを抽出します。 Beans.xmlは正確にこの値を持っている必要があります。

1
Michael-O

権限を変更するための一般的な戦略として3.1で導入されたGrantedAuthoritiesMapperを挿入することもできます。さらに、SimpleGrantedAuthorityの実装にGrantedAuthorityを使用することもできます。または、値のセットが固定されているため、列挙型を使用することもできます。

enum MyAuthority implements GrantedAuthority {
    ROLE_ADMIN,
    ROLE_USER;

    public String getAuthority() {
        return name();
    }
}


class MyAuthoritiesMapper implements GrantedAuthoritiesMapper {

    public Collection<? extends GrantedAuthority> mapAuthorities(Collection<? extends GrantedAuthority> authorities) {
        Set<MyAuthority> roles = EnumSet.noneOf(MyAuthority.class);

        for (GrantedAuthority a: authorities) {
            if ("MY ADMIN GROUP".equals(a.getAuthority())) {
                roles.add(MyAuthority.ROLE_ADMIN);
            } else if ("MY USER GROUP".equals(a.getAuthority())) {
                roles.add(MyAuthority.ROLE_USER);
            }
        }

        return roles;
    }
}
15
Shaun the Sheep