JAAS, SSO

Bonjour tout le monde.

Je vous expose mon problème. Je bosse sur une grosse appli (JBOSS, hibernate, EJB3, JSF), sur cette appli des utilisateurs venant de plusieurs société peuvent se connecter. Ces utilisateurs se connecte soit en passant directement par la BD de l'appli (donc tous les utilisateurs ont la même base). Soit grâce à leur LDAP (s'ils en ont un), donc là, suivant la configuration de sa société il se connecte à leur propre LDAP qui change forcement pour chaque client.

Nous aimerions voir si c'est intéressant d'utiliser JAAS pour la connexion des utilisateurs.
Actuellement l'application est en prod et fonctionne très bien, mais sans JAAS.

Donc est ce que JAAS est adapté pour faire sa? si oui comment? et surtout est ce que c'est vraiment intéressant de l'utiliser? parce que pour le moment on arrive pas vraiment à voir l'intérêt, surtout dans notre configuration.

On aimerais aller plus loin et faire également du SSO, avez vous déjà fais sa? et avec quoi?

Je vous remercie!

reBonjour,

Bon après avoir recherché, j'ai vu que l'on pouvait redéfinir la classe configuration. De cette manière, cette nouvelle classe de configuration envoie au loginContext la configuration spécifique qui est stocké dans la base pour chaque société (au lieu de prendre ceux à plat dans le fichier de config).

Donc ca répond à beaucoup de mes questions. il reste quand même la question du SSO. Avez vous déjà travaillé avec sa?

Salut,

Je n'ai jamais travaillé avec SSO sous JBoss, mais as-tu regardé du côté de la documentation de la Valve Tomcat pour SSO (http://tomcat.apache.org/tomcat-7.0-..._Sign_On_Valve) ?
Après tout, le moteur Servlet de JBoss est Tomcat, sinon tu as un article de wiki pour JBoss: http://community.jboss.org/wiki/JBossWebSingleSignOn
L'intégration avec un module JAAS ensuite je ne me suis pas penché dessus mais je pense que c'est réalisable soit en utilisant Realms (Tomcat a un connecteur JAAS limité pour Realms) soit en faisant à la main, ce qui peut peut-être demander plus de boulot...

La question à se poser pour savoir si on a besoin de JAAS ou non, c'est de se demander ce dont on a vraiment besoin dans son processis d'authentification/autorisation. JAAS est très puissant mais peut aussi être complexe. Dans un contexte JavaEE Realms peut suffire pour certaines choses, là il faut plus de détails (par exemple autorisation limitée au niveau d'appelle de méthodes dans un bean JSF ou plus bas niveau basé sur la pile d'appels ou location du code appelant ? ...)

A plus

Salut et merci pour ta réponse!
Concernant tes liens, il y a sur les 2 liens une petite phrase qui me déplait: "have their identity recognized by all other web apps on the same virtual host". Le "same virtual host" me déplait puisque justement ca ne sera pas le cas. Notre application devra se plugger sur un server SSO des sociétés qui le souhaitent.
En gros les sociétés utilisent en interne un server SSO que nous ne connaissons pas; sur notre appli, il renseigne dans leurs espaces de config, les info pour accéder à leur SSO et de là, notre appli utilisera le SSO de cette société pour la connexion des utilisateurs de cette société.
(Après nous ne connaissons pas vraiment SSO, peut-être que nous faisons fausse route en pensant que c'est possible de faire sa).