sécurité d'accès à une application multi-tiers Java EE

Version imprimable

Voir 40 message(s) de cette discussion en une page

27/12/2006, 08h50
zerzy1982

sécurité d'accès à une application multi-tiers Java EE

bonjour,
je suis débutante en domaine de dev JEE.

je suis en train de faire le développement d'un framework de gestion de sécurité d'accès des utilisateurs à une application multi-tiers Java EE
j'aimerai b1 trouver sur ce forum quelqu'un qui a une connaissance dans ce domaine pour me mettre sur le bon chemin(tutorials à consulter, sites, outils,...)
merci d'avance.
27/12/2006, 09h37
Sniper37

Salut,

Il y'a plusieurs façons sécuriser l'acces à ton application; on peut en trouver deux types:
1- la sécurité peut etre geré par le serveur web (Container managed security): la définition des utilisateurs se fait soit dans un fichier de configuration soit en base de données

2- mise en oeuvre d'un outil dédié, JAAS; JGuard ...
07/01/2007, 14h11
ego

Regardes ACEGI avec le framework Spring.
C'est très complet et relativement facile à mettre en oeuvre.
J'ai fait un tuto sur http://ego.developpez.com
11/01/2007, 11h53
diabolo512

bonjour,
il existe différent critères de sélection des libraries de sécurité.
un des critères est le modèle de sécurtié utilisé.
en gros, il est important de savoir comment gère la librarie choisie les ressources de ton application.
il existe plusieurs modèles de sécurité.
voici un lien décrivant ceux-ci te permettant d'y voir plus clair:
http://jguard.xwiki.com/xwiki/bin/view/Doc/RBAC

jguard utilise le modèle le plus souple, et acegi utilise il me semble le modèle DAC/ via les ACL.
à voir aussi si acegi gère comme jguard, plusieurs applications web dans un même modèle.
@+,

Charles.
jguard team.
11/01/2007, 19h37
ego

ACEGI est relativement ouvert y compris à d'autres systèmes comme JAAS ou SiteMinder.
ACEGI est plutôt de type RBAC ( = Role Based) mais on peut être encore plus fin.
Un truc intéressant avec ACEGI est le RunAs qui permet de changer d'identité. C'est utile quand un client appèle un système 1 qui lui-même appèle un autre système 2. L'appel Système 1 - Système 2 peut être réalisé avec une identité différente de celle utilisé par le client.
Le stockage d'informations dans des bases de données permet de plus le partage de certaines données de configuration.
12/01/2007, 13h49
diabolo512

salut Ego,
concernant ACEGI, cela est assez flou quand on regarde la documentation.
depuis le début, il utilise les ACL(modèle de sécurité vraiment différent de RBAC), mais font référence depuis peu aux rôles en gardant celle des ACLs.

concernant le run-as, c'est une fonctionnalité intéressante(quoique très avancée), déjà fournie par les serveurs d'applications. jGuard peut le réaliser via JAAS qui le supporte déjà, via une façon un peu plus complexe.
je note par contre ce besoin de faire du run-as dans jguard de facon simple.

concernant le partage des informations, il est évident que plusieurs applciations peuvent appeler la même base.
par contre, le fait qu'un même utilisateur ait accès à plusieurs applications....

pour résumer, ACEGI est une alternative qui propose pas mal de bonnes choses.
une différence principale évoquée dans la FAQ d'acegi à la question "Why doesn't Acegi Security use JAAS?"(http://www.acegisecurity.org/faq.html) est sa non utilisation de JAAS dans son code; ils ont réinventé la roue en recréant des classes ayant le même objectif.
par contre, ils s'interfacent via des adapters à JAAS, car JAAS est supporté par Java et propose des classes très utiles ...
:-)
concernant leur intégration avec les serveur d'applications et JAAS, ils ont fait de nombreux adapteurs spécifiques à chaque serveur d'appli.....un peu dommage.

par contre, comme évoqué précédemmment, ils fournissent des fonctionnaltiés similaires à jGuard , avec des fonctionnalités uniques pour chaque librairie (par exemple, jguard ne founrit pas encore l'authentification DIGEST).
bref, à voir si on veut reposer sur les standards ou pas.

@+,

Charles.
jGuard team.
13/01/2007, 12h41
ego

Perso, je ne connais pas jGuard donc....
Le truc que j'aime bien avec ACEGI est son intégration à Spring et la proposition d'une taglib qui permet de boucler la boucle. Maintenant, n'étant pas un expert en sécurité, je ne pourrai pas défendre ACEGI face à jGuard sur des points très techniques.
14/01/2007, 14h26
diabolo512

salut Ego,
si tu souhaites découvrir jguard, et en faire profiter les lecteurs de ce forum, ou via un article, je serais très heureux de répondre à tes questions.
pour information, jGuard et ACEGI fournissent à peu près les même tags pour protéger des bouts de page.

par contre, jGuard fournit quelques fonctionnalités uniques très utiles comme le support des permissions contextuelles , l'activation/désactivation des rôles à la volée, la définition dynamique des rôles etc....

amicalement,

Charles.
14/01/2007, 18h01
ego

merci à toi !
16/01/2007, 00h05
diabolo512

serais-tu intéressé par la rédaction d'un article sur jGuard?

amicalement,

Charles.
16/01/2007, 19h29
ego

Dans l'absolu oui mais sincèrement je n'ai pas de temps pour le moment
19/01/2007, 16h16
Stessy

diabolo512,

Rien ne t'empeche de proposer un article sur le sujet.
Nous serions ravi de l'héberger.
Tu pourrais disposer de ton propre espace web.

C'est à toi de voir.

Voilà. :wink:
23/01/2007, 18h09
diabolo512

une petite question:
quels sont les formats des articles acceptés sur developpez?
docbook?

cordialement,

Charles.
07/03/2007, 14h41
zerzy1982

intégrer acegi à spring

bonjour
j'ai lu la doc concernant acegi security
j'ai essayé d'intégrer acegi à spring mais j'ai pas réussi
svp est ce vous pouvez me dire quelles sont les étapes à suivre(svp bien détaillées) pour faire tourner un exemple avec le framework acegi sachant que je travaille sue eclipse.
svp j'ai besoin d'aide
merci d'avance.
07/03/2007, 20h13
ego

regardes peut être ici http://ego.developpez.com
09/03/2007, 12h10
bmoussaud

C'est en anglais mais c'est bien détaillé :)

How to get started with the Acegi framework
http://blog.xebia.com/2007/03/04/how...egi-framework/

How to implement your own Security provider with the Acegi framework.
http://blog.xebia.com/2007/03/04/how...egi-framework/
12/03/2007, 09h48
rc_29

Bonjour a tous,
J'ai quasiment le meme projet a developper (creation d'un framework d'authentification et d'identification j2EE) et je debute également dans la sécurité applicative.
J'aurai souhaité avoir des avis complementaires sur acegi, jaas... Lequel est le plus facile à integrer ? L'objectif est pour moi de creer ce framework pour l'integrer le plus facilement possible a mes futures applications?
Sinon, y'a t il d'autres pistes a exploiter mis a part Acegi et Jaas ?
Je vous en remercie d'avance,
Cordialement,
20/03/2007, 14h06
zerzy1982

salut
je voulais faire tourner l'exemple d'acegi mais j pas réussi

J'ai un serveur apache tomcat 5.5.23 Une fois le serveur installé, j'ai le
repertoire suivant :

C:\Program Files\Apache Software Foundation\Tomcat 5.5\webapps

dans ce repertoire, j'ai crée un dossier "essai".

j'ai téléchargé "acegi-security-1.0.3"

j'ai Dézippé le fichier téléchargé, dedans, j'ai un dossier
"acegi_security_sample_tutorial".

j'ai Copié le contenu de ce dossier dans le dossier "essai".

j'ai lancé mon serveur, j'ai essayé l'url suivante:

http://localhost:8080/essai/
mais il me sort un message d'erreur suivant:

Etat HTTP 404 - /essai/

--------------------------------------------------------------------------------

type Rapport d'état

message /essai/

description La ressource demandée (/essai/) n'est pas disponible.

--------------------------------------------------------------------------------

Apache Tomcat/5.5.20
qq un peut m'aider svp.
17/04/2007, 11h28
zerzy1982

acegi + mysql

salut,
le premier exemple d'acegi a marché
mnt je veux stocker les données des utilisateurs dans une base de données(j'utilise mysql) (authentification + authorisation)
mais je trouve plein de problèmes concernant la manière de faire la configuration .
est ce qcq peut m'aider svp?
le fichier de conf qu'est ce qu'il contient et le fichier web.xml?
j'ai besoin d'aide svp
merci
17/04/2007, 18h17
ego

regardes ici
20/04/2007, 15h26
rc_29

A propos de la gestion d'acegi et d'une base de données, est-ce que c'est possible qu'un utilisateur puisse avoir plusieurs roles ? Car pour le moment, ma table authorities a pour clé primaire et étrangère les id des users. Je pense que ca doit être possible en modifiant la table authorities et en prenant comme clé primaire de la table authorities un identifiant à part ? non ?
20/04/2007, 17h26
ego

oui, c'est bien l'objet de la gestion par rôle
23/04/2007, 09h17
rc_29

Je pensais bien que c'était possible, je le fait d'ailleurs avec un ldap. Mais pour la base de données, comment doit être le modele de la table authorities ?

D'autre part, j'essaie de coupler acegi avec un serveur CAS. Est-ce que qq'un pourrait me dire pourquoi il ne trouve pas le filtre j_acegi_cas_security_check au sein de mon application ? Est-ce qu'il me manque une librairie ? Où sont placés ces filtres (j_acegi_security_check, j_acegi_cas_security_check) ? J'espere que qq'un pourra m'aider car je bloque la dessus depuis un petit moment.

Merci.
23/04/2007, 18h14
ego

Pour les rôles / user, tout est dans l'article sur ego.developpez.com
24/04/2007, 09h28
rc_29

Oui merci, je m'en suis inspiré.
Mais comme je travaille avec Postgre et pgAdmin pour ma base, je ne peux pas laisser ma table authorities sans clé primaire. J'ai donc rajouté un id s'incrémentant automatiquement et ca marche bien.
Encore merci.
Concernant acegi avec cas, mon serveur cas redirige vers mon appli sécurisée avec le ticket mais l'authentification n'est pas reconnue dans mon appli sécurisée, c'est à dire qu'il considère que j'y accède en tant qu'utilisateur anonyme, alors que je me suis authentifié/identifié sur cas juste avant... Si quelqu'un voit mon problème...
Cordialement,

merci bcp pour vos réponses
alors pour moi : je travaille avec une db mysql et en utilisant eclipse.
j'ai fait la connexion avec la bd
il me reste comment faire l'appel aux bean qui se trouvent dans le fichier de conf application-context.xml:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
 
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE beans PUBLIC "-//SPRING//DTD BEAN//EN" "http://www.springframework.org/dtd/spring-beans.dtd">
 
<beans>
    <bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
        <property name="driverClassName"><value>com.mysql.jdbc.Driver</value></property>
        <property name="url"><value>jdbc:mysql://localhost:3306/acegiDB</value></property>
        <property name="username"><value>acegi</value></property>
        <property name="password"><value>acegi</value></property>
    </bean>
 
    <bean id="jdbcDaoImpl" class="net.sf.acegisecurity.providers.dao.jdbc.JdbcDaoImpl">
        <property name="dataSource">
            <ref bean="dataSource"/>
        </property>
    </bean>
 
 
    <bean id="cacheManager" class="org.springframework.cache.ehcache.EhCacheManagerFactoryBean">
        <property name="configLocation"><value>classpath:/ehcache-failsafe.xml</value></property>
    </bean>
 
    <bean id="userCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
        <property name="cacheManager"><ref local="cacheManager"/></property>
        <property name="cacheName"><value>userCache</value></property>
    </bean>
 
    <bean id="userCache" class="net.sf.acegisecurity.providers.dao.cache.EhCacheBasedUserCache">
        <property name="cache"><ref local="userCacheBackend"/></property>
    </bean>
 
    <bean id="daoAuthenticationProvider" class="net.sf.acegisecurity.providers.dao.DaoAuthenticationProvider">
        <property name="authenticationDao"><ref bean="jdbcDaoImpl"/></property>
        <property name="passwordEncoder"><ref bean="passwordEncoder"/></property>
        <property name="userCache"><ref bean="userCache"/></property>
    </bean>
 
 
    <bean id="passwordEncoder" class="net.sf.acegisecurity.providers.encoding.Md5PasswordEncoder">
        <property name="encodeHashAsBase64"><value>false</value></property>
    </bean>
 
    <bean id="authenticationManager" class="net.sf.acegisecurity.providers.ProviderManager">
        <property name="providers">
            <list>
                <ref bean="daoAuthenticationProvider"/>
            </list>
        </property>
    </bean>
 
    <bean id="casPasswordHandler" class="net.sf.acegisecurity.adapters.cas.CasPasswordHandler">
        <property name="authenticationManager">
            <ref bean="authenticationManager"/>
        </property>
    </bean>
 
</beans>

mon problème c comment je fait l'appel à partir d'une classe java simple ces beans présentés dans ce fichier ?
j'ai besoin d'aide svp
merci d'avance

24/04/2007, 18h58
ego

Citation:

mon problème c comment je fait l'appel à partir d'une classe java simple ces beans présentés dans ce fichier ?

C'est quoi la question exactement ? :?
25/04/2007, 09h15
zerzy1982

bonjour
en fait ma question c'est comment je peux utiliser les beans déclarés dans le fichier application-context.xml (en utilisant des classex java)
je n'utilise pas de jsp .
j'espère que vous m'avez compris .
25/04/2007, 17h00
ego

mais comme pour tout bean d'une application Spring, via une factory !! ??
Regardes les exemples de base dans la doc Spring, cela t'aidera
30/04/2007, 09h22
zerzy1982

bonjour
je ne sais pas comment faire
svp un peu d'aide
15/05/2007, 15h48
zerzy1982

aide

bonjour ugo
j'ai lu votre article concernant acegisecurity et le code source accompagné.
puisque j'ai pas travaillé sur les web services, j'ai pas compris comment je peux éxécuter le code source pour voir le résultat.
merci de me répondre.
15/05/2007, 19h07
ego

2 pièce(s) jointe(s)

Voici le code source de l'exemple utilisé pour l'article.

.zip = source
build.xml : script Ant de fabrication

Pour tout fabriquer, il faut faire "ant deploy".

Attention, il y a des chemins en dur dans le fichier build.xml; les adapter en fonction de ton installation de Tomcat (c'est avec Tomcat que j'ai fait mes tests).
Il faut aussi les librairies, regardes au début du script xml
21/05/2007, 16h42
zerzy1982

salut,
j'ai testé l'exemple avec ant mais il m'affiche des messages d'erreurs.
svp est ce que vous pouvez m'expliquer comment je peux faire l'exécution de cet exemple? vraiment je suis bloqué.(est ce que vous pouvez m'expliquer comment je peux l'exécuter sous eclopse sans ant svp?)
merci d'avance.
21/05/2007, 22h19
ego

envois moi ton email, je t'enverrai mon workspace Eclipse
22/05/2007, 10h36
Sniper37

salut à tous,

j'entend beaucoup parler de ce framework,mais, j'ai lu rapidement la docil parait qu'il s'intègre à spring, peut on l'utiliser sans spring?
Si j'ai bien compris, le framework encapsule la la gestion de la sécurité par le container avec jaas; je voudrais que tomcat gere l'authentification, je ne peux pas utiliser directement le Realm de tomcat car, le serveur ne peut acceder à la base de données où sont stockés les users et passwords, l'acces aux elements de la base se fait via des web services..puis le faire avec ce framework et est ce compliqué à implementer?

merciiiii
22/05/2007, 20h43
ego

acegi sans Spring ? la réponse a déjà été posée.
La réponse est non.
Tu peux tout à fait créer ton propre "Provider" pour faire tes accès WebServices.

Regardes mon article sur http://ego.developpez.com, tu trouveras l'utilisation de 2 providers. Dans ton cas il faudra en créer un particulier
31/05/2007, 12h36
Sniper37

Citation:

Envoyé par ego

acegi sans Spring ? la réponse a déjà été posée.
La réponse est non.
Tu peux tout à fait créer ton propre "Provider" pour faire tes accès WebServices.

Regardes mon article sur http://ego.developpez.com, tu trouveras l'utilisation de 2 providers. Dans ton cas il faudra en créer un particulier

Merci; désolè je n'ai pas bien lu la doc avant d'envoyer le post..finalement j'ai résolu mon problème en utilisant simplement JAAS, je ne vois pas pourquoi utiliser un framework acegi ou Jguard pour une simple authentification, déjà que je trouve qu'il ya trop de framework dans les applications J2EE!!

à++
31/05/2007, 20h18
ego

Regardes le pourquoi d'acegi sur leur site, tu comprendras pourquoi acegi existe

inmemory dao

bonjour,
je suis encore bloqué dans la partie concernant l'authentification en utilisant acegi.
j'ai fait la configuration de inmemorydao comme suit dans le fichier de configuration de spring
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 <?xml version='1.0' encoding='UTF-8'?> <!DOCTYPE beans PUBLIC '-//SPRING//DTD BEAN//EN' 'http://www.springframework.org/dtd/spring-beans.dtd'> <beans> <bean id="authenticationManager" class="net.sf.acegisecurity.providers.ProviderManager"> <property name="providers"> <list> <ref bean="daoAuthenticationProvider"/> <ref bean="passwordDaoProvider"/> </list> </property> </bean> <bean id="authenticationProvider" class="net.sf.acegisecurity. providers.dao.DaoAuthenticationProvider"> <property name="authenticationDao"> <ref bean="authenticationDao"/> </property> </bean> <bean id="authenticationDao" class="net.sf.acegisecurity. providers.dao.memory.InMemoryDaoImpl"> <property name="userMap"> <value> palmerd=4moreyears,ROLE_PRESIDENT bauerj=ineedsleep,ROLE_FIELD_OPS,ROLE_DIRECTOR myersn=traitor,disabled,ROLE_FIELD_OPS </value> </property> </bean> </beans>
j'utilise eclipse comme ide.
mnt je veux récupérer les données présentes dans le bean"authenticationdao".
pour cela j'ai utilisé la classe:TestInMemory suivante:
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 package com.west.acegi.testinmemory; import java.io.FileInputStream; import org.acegisecurity.userdetails.memory.InMemoryDaoImpl; import org.apache.log4j.lf5.util.Resource; import org.springframework.beans.factory.BeanFactory; import org.springframework.beans.factory.xml.XmlBeanFactory; public class TestIn { public static void main(String[] args) { // TODO Auto-generated method stub BeanFactory factory = new XmlBeanFactory((Resource) new FileInputStream("application-context.xml")); InMemoryDaoImpl authenticationDao = (InMemoryDaoImpl) factory.getBean("authenticationDao"); } }
mais il y a tj des erreurs:
Exception in thread "main" java.lang.Error: Unresolved compilation problems:
The constructor XmlBeanFactory(Resource) is undefined
Cannot cast from FileInputStream to Resource

at com.west.acegi.testinmemory.TestIn.main(TestIn.java:15)
je ne sais pas comment je peux resoudre ce problème.

11/06/2007, 23h12
diabolo512

sinon, tu peux toujours utiliser jguard...
:-)
si tu postes tes questions sur le forum de jguard sur sourceforge, tu auras la plupart du temps des réponses très rapides.
et de temps en temps, je passe sur developpez.com pour répondre aussi.
dnc n'hésite pas!

:-p

@+,

Charles.
www.jguard.net
ps:pour répondre à une question précédente, jguard ne requiert pas spring

Voir 40 message(s) de cette discussion en une page