Как выполнить проверку подлинности на сервере Active Directory с помощью Spring Безопасность?

Ответ 1

У меня был тот же опыт, что и у вас, и в конечном итоге написал пользовательский поставщик проверки подлинности, который выполняет запрос LDAP на сервере Active Directory.

Поэтому мои связанные с безопасностью beans:

<beans:bean id="contextSource"
    class="org.springframework.security.ldap.DefaultSpringSecurityContextSource">
    <beans:constructor-arg value="ldap://hostname.queso.com:389/" />
</beans:bean>

<beans:bean id="ldapAuthenticationProvider"
    class="org.queso.ad.service.authentication.LdapAuthenticationProvider">
    <beans:property name="authenticator" ref="ldapAuthenticator" />
    <custom-authentication-provider />
</beans:bean>

<beans:bean id="ldapAuthenticator"
    class="org.queso.ad.service.authentication.LdapAuthenticatorImpl">
    <beans:property name="contextFactory" ref="contextSource" />
    <beans:property name="principalPrefix" value="QUESO\" />
</beans:bean>

Затем класс LdapAuthenticationProvider:

/**
 * Custom Spring Security authentication provider which tries to bind to an LDAP server with
 * the passed-in credentials; of note, when used with the custom {@link LdapAuthenticatorImpl},
 * does <strong>not</strong> require an LDAP username and password for initial binding.
 * 
 * @author Jason
 */
public class LdapAuthenticationProvider implements AuthenticationProvider {

    private LdapAuthenticator authenticator;

    public Authentication authenticate(Authentication auth) throws AuthenticationException {

        // Authenticate, using the passed-in credentials.
        DirContextOperations authAdapter = authenticator.authenticate(auth);

        // Creating an LdapAuthenticationToken (rather than using the existing Authentication
        // object) allows us to add the already-created LDAP context for our app to use later.
        LdapAuthenticationToken ldapAuth = new LdapAuthenticationToken(auth, "ROLE_USER");
        InitialLdapContext ldapContext = (InitialLdapContext) authAdapter
                .getObjectAttribute("ldapContext");
        if (ldapContext != null) {
            ldapAuth.setContext(ldapContext);
        }

        return ldapAuth;
    }

    public boolean supports(Class clazz) {
        return (UsernamePasswordAuthenticationToken.class.isAssignableFrom(clazz));
    }

    public LdapAuthenticator getAuthenticator() {
        return authenticator;
    }

    public void setAuthenticator(LdapAuthenticator authenticator) {
        this.authenticator = authenticator;
    }

}

Затем класс LdapAuthenticatorImpl:

/**
 * Custom Spring Security LDAP authenticator which tries to bind to an LDAP server using the
 * passed-in credentials; does <strong>not</strong> require "master" credentials for an
 * initial bind prior to searching for the passed-in username.
 * 
 * @author Jason
 */
public class LdapAuthenticatorImpl implements LdapAuthenticator {

    private DefaultSpringSecurityContextSource contextFactory;
    private String principalPrefix = "";

    public DirContextOperations authenticate(Authentication authentication) {

        // Grab the username and password out of the authentication object.
        String principal = principalPrefix + authentication.getName();
        String password = "";
        if (authentication.getCredentials() != null) {
            password = authentication.getCredentials().toString();
        }

        // If we have a valid username and password, try to authenticate.
        if (!("".equals(principal.trim())) && !("".equals(password.trim()))) {
            InitialLdapContext ldapContext = (InitialLdapContext) contextFactory
                    .getReadWriteContext(principal, password);

            // We need to pass the context back out, so that the auth provider can add it to the
            // Authentication object.
            DirContextOperations authAdapter = new DirContextAdapter();
            authAdapter.addAttributeValue("ldapContext", ldapContext);

            return authAdapter;
        } else {
            throw new BadCredentialsException("Blank username and/or password!");
        }
    }

    /**
     * Since the InitialLdapContext that stored as a property of an LdapAuthenticationToken is
     * transient (because it isn't Serializable), we need some way to recreate the
     * InitialLdapContext if it null (e.g., if the LdapAuthenticationToken has been serialized
     * and deserialized). This is that mechanism.
     * 
     * @param authenticator
     *          the LdapAuthenticator instance from your application context
     * @param auth
     *          the LdapAuthenticationToken in which to recreate the InitialLdapContext
     * @return
     */
    static public InitialLdapContext recreateLdapContext(LdapAuthenticator authenticator,
            LdapAuthenticationToken auth) {
        DirContextOperations authAdapter = authenticator.authenticate(auth);
        InitialLdapContext context = (InitialLdapContext) authAdapter
                .getObjectAttribute("ldapContext");
        auth.setContext(context);
        return context;
    }

    public DefaultSpringSecurityContextSource getContextFactory() {
        return contextFactory;
    }

    /**
     * Set the context factory to use for generating a new LDAP context.
     * 
     * @param contextFactory
     */
    public void setContextFactory(DefaultSpringSecurityContextSource contextFactory) {
        this.contextFactory = contextFactory;
    }

    public String getPrincipalPrefix() {
        return principalPrefix;
    }

    /**
     * Set the string to be prepended to all principal names prior to attempting authentication
     * against the LDAP server.  (For example, if the Active Directory wants the domain-name-plus
     * backslash prepended, use this.)
     * 
     * @param principalPrefix
     */
    public void setPrincipalPrefix(String principalPrefix) {
        if (principalPrefix != null) {
            this.principalPrefix = principalPrefix;
        } else {
            this.principalPrefix = "";
        }
    }

}

И, наконец, класс LdapAuthenticationToken:

/**
 * <p>
 * Authentication token to use when an app needs further access to the LDAP context used to
 * authenticate the user.
 * </p>
 * 
 * <p>
 * When this is the Authentication object stored in the Spring Security context, an application
 * can retrieve the current LDAP context thusly:
 * </p>
 * 
 * <pre>
 * LdapAuthenticationToken ldapAuth = (LdapAuthenticationToken) SecurityContextHolder
 *      .getContext().getAuthentication();
 * InitialLdapContext ldapContext = ldapAuth.getContext();
 * </pre>
 * 
 * @author Jason
 * 
 */
public class LdapAuthenticationToken extends AbstractAuthenticationToken {

    private static final long serialVersionUID = -5040340622950665401L;

    private Authentication auth;
    transient private InitialLdapContext context;
    private List<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>();

    /**
     * Construct a new LdapAuthenticationToken, using an existing Authentication object and
     * granting all users a default authority.
     * 
     * @param auth
     * @param defaultAuthority
     */
    public LdapAuthenticationToken(Authentication auth, GrantedAuthority defaultAuthority) {
        this.auth = auth;
        if (auth.getAuthorities() != null) {
            this.authorities.addAll(Arrays.asList(auth.getAuthorities()));
        }
        if (defaultAuthority != null) {
            this.authorities.add(defaultAuthority);
        }
        super.setAuthenticated(true);
    }

    /**
     * Construct a new LdapAuthenticationToken, using an existing Authentication object and
     * granting all users a default authority.
     * 
     * @param auth
     * @param defaultAuthority
     */
    public LdapAuthenticationToken(Authentication auth, String defaultAuthority) {
        this(auth, new GrantedAuthorityImpl(defaultAuthority));
    }

    public GrantedAuthority[] getAuthorities() {
        GrantedAuthority[] authoritiesArray = this.authorities.toArray(new GrantedAuthority[0]);
        return authoritiesArray;
    }

    public void addAuthority(GrantedAuthority authority) {
        this.authorities.add(authority);
    }

    public Object getCredentials() {
        return auth.getCredentials();
    }

    public Object getPrincipal() {
        return auth.getPrincipal();
    }

    /**
     * Retrieve the LDAP context attached to this user authentication object.
     * 
     * @return the LDAP context
     */
    public InitialLdapContext getContext() {
        return context;
    }

    /**
     * Attach an LDAP context to this user authentication object.
     * 
     * @param context
     *          the LDAP context
     */
    public void setContext(InitialLdapContext context) {
        this.context = context;
    }

}

Вы заметите, что есть несколько бит, которые вам могут не понадобиться.

Например, моему приложению необходимо сохранить успешно зарегистрированный контекст LDAP для дальнейшего использования пользователем после входа в систему - цель приложения - позволить пользователям войти в систему через свои учетные данные AD, а затем выполнить дальнейшие AD-связанные функции. Поэтому из-за этого у меня есть собственный токен аутентификации, LdapAuthenticationToken, который я передаю (а не Spring токен аутентификации по умолчанию), который позволяет мне прикрепить контекст LDAP. В LdapAuthenticationProvider.authenticate() я создаю этот токен и передаю его обратно; в LdapAuthenticatorImpl.authenticate() я присоединяю подключенный контекст к возвращаемому объекту, чтобы его можно было добавить к объекту аутентификации пользователя Spring.

Кроме того, в LdapAuthenticationProvider.authenticate() я назначил всем зарегистрированным пользователям роль ROLE_USER - это то, что позволяет мне затем проверить эту роль в моих элементах перехвата-url. Вы хотите, чтобы это совпадение выполнялось независимо от той роли, которую вы хотите протестировать, или даже назначать роли на основе групп Active Directory или что-то еще.

Наконец, и следствие этого, способ, которым я реализовал LdapAuthenticationProvider.authenticate(), дает всем пользователям действительные учетные записи AD те же роли ROLE_USER. Очевидно, что в этом методе вы можете выполнять дополнительные тесты для пользователя (т.е. Является пользователем в определенной группе AD?) И назначать роли таким образом или даже тестировать некоторые условия, прежде чем даже предоставить пользователю доступ вообще.

Ответ 2

Для справки Spring Security 3.1 имеет поставщик проверки подлинности специально для Active Directory.

Ответ 3

Просто довести это до актуального состояния. Spring Security 3.0 имеет полный пакет с реализацией по умолчанию, посвященный ldap-bind, а также запрос и сравнение аутентификации.

Ответ 4

Мне удалось аутентифицироваться в активном каталоге с помощью spring security 2.0.4.

Я зарегистрировал настройки

http://maniezhilan.blogspot.com/2008/10/spring-security-204-with-active.html

Ответ 5

Аутентификация LDAP без SSL небезопасна, каждый может видеть учетные данные пользователя, когда они перенаправляются на сервер LDAP. Я предлагаю использовать протокол LDAPS:\для аутентификации. Он не требует каких-либо серьезных изменений в части spring, но вы можете столкнуться с некоторыми проблемами, связанными с сертификатами. Подробнее см. Аутентификация Active Directory LDAP в spring с SSL

Ответ 6

От Луки ответьте выше:

Для справки Spring Security 3.1 имеет поставщика проверки подлинности [специально для Active Directory] [1].

[1]: http://static.springsource.org/spring-security/site/docs/3.1.x/reference/springsecurity-single.html#ldap-active-directory

Я пробовал выше с помощью Spring Security 3.1.1: есть небольшие изменения в ldap - активные группы каталогов, в которых пользователь входит в качестве оригинального случая.

Раньше в ldap группы были заглавными и с префиксом "ROLE_", что упростило их поиск с помощью текстового поиска в проекте, но, очевидно, может возникнуть проблема в группе unix, если по какой-то странной причине было выделено только две отдельные группы (например, учетные записи и учетные записи).

Также синтаксис требует ручной спецификации имени контроллера и порта, что делает его немного страшным для избыточности. Конечно, есть способ поиска SRV-записи DNS для домена в java, то есть эквивалента (из Samba 4 howto):

$ host -t SRV _ldap._tcp.samdom.example.com.
_ldap._tcp.samdom.example.com has SRV record 0 100 389 samba.samdom.example.com.

за которым следует регулярный поиск:

$ host -t A samba.samdom.example.com.
samba.samdom.example.com has address 10.0.0.1

(На самом деле, возможно, потребуется также выполнить поиск записи в формате SRK +).

Вышеупомянутое было с Samba4.0rc1, мы постепенно обновляем среду Samba 3.x LDAP до Samba AD.

Ответ 7

Как и в Луке, ответьте выше:

Spring В Security 3.1 есть поставщик проверки подлинности специально для Active Directory.

Вот подробное описание того, как это можно легко сделать с помощью ActiveDirectoryLdapAuthenticationProvider.

В ресурсах .groovy:

ldapAuthProvider1(ActiveDirectoryLdapAuthenticationProvider,
        "mydomain.com",
        "ldap://mydomain.com/"
)

В Config.groovy:

grails.plugin.springsecurity.providerNames = ['ldapAuthProvider1']

Это весь необходимый код. Вы можете в значительной степени удалить все другие параметры grails.plugin.springsecurity.ldap. * В Config.groovy, поскольку они не применяются к этой настройке AD.

Для документации см.: http://docs.spring.io/spring-security/site/docs/3.1.x/reference/springsecurity-single.html#ldap-active-directory

Ответ 8

Если вы используете Spring безопасность 4, вы также можете реализовать такое же использование заданный класс

• SecurityConfig.java

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {


static final Logger LOGGER = LoggerFactory.getLogger(SecurityConfig.class);

@Autowired
protected void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
    auth.authenticationProvider(activeDirectoryLdapAuthenticationProvider());
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests()
              .antMatchers("/").permitAll()
              .anyRequest().authenticated();
            .and()
              .formLogin()
            .and()
              .logout();
}

@Bean
public AuthenticationProvider activeDirectoryLdapAuthenticationProvider() {
    ActiveDirectoryLdapAuthenticationProvider authenticationProvider = 
        new ActiveDirectoryLdapAuthenticationProvider("<domain>", "<url>");

    authenticationProvider.setConvertSubErrorCodesToExceptions(true);
    authenticationProvider.setUseAuthenticationRequestCredentials(true);

    return authenticationProvider;
}
}