使用JAAS以及GSSAPI登录Kerberos

 

    最近为了解决本地发布测试代码到服务器的问题，试用了下JAAS（Java Authencation and Authorization Service，Java授权与验证服务）和GSSAPI来完成Kerberos登录验证。完成了身份验证以后，就可以使用ant标准任务SCP来完成发布操作了。

    关于Kerberos验证机制请参考：一个不错的Kerberos机制讲解blog（虽然头像有点，但不要以貌取文）

    基于Kerberos的验证机制，需要两步来完成登录服务器身份验证：

    1、通过JAAS完成客户端与KDC服务器的验证工作，并获得登录服务器的ticket

    2、使用GSSAPI登录服务器

注：以下代码能够正常执行的前提是，执行的机器上已经正常配置了Kerberos登录的文件，可以参考Kerberos登录软件的配置方式，确保使用Kerberos的登录软件可以正常登录服务器之后再尝试以下代码。下面的代码只是用于辅助自动登录，并不包含具体Kerberos登录的配置

1、使用JAAS登录Kerberos账号

    关于JAAS的详细信息请参考：Sun的Jaas和Gssapi指南 。

    我使用的代码与指南中的基本相同，所以具体内容的详细解释请参考：Jaas验证样例

    使用JAAS登录Kerberos登录的步骤如下：

1. JAAS服务中已经提供了Kerberos登录的实现，需要在启动程序时添加配置文件信息来指定登录的模式为Kerberos，例如：-Djava.security.auth.login.config=/data/jaas.conf，或者配置System属性也可以。
2. jaas.conf的内容很简单，只是指定了登录模式为Kerberos：

   KerberosLogin 
   {
           com.sun.security.auth.module.Krb5LoginModule required debug=true;
   };

    
3. 使用JAAS服务需要调用LoginContext（javax.security.auth.login包）来尝试登录，代码如下：

           LoginContext lc = null;
   
           try {
               lc = new LoginContext
   ("KerberosLogin
   ", new TextCallbackHandler());   //“KerberosLogin”这个名称必须与配置文件中的名称相同
           } catch (LoginException le) {
               System.err.println("Cannot create LoginContext. " + le.getMessage());
               System.exit(-1);
           } catch (SecurityException se) {
               System.err.println("Cannot create LoginContext. " + se.getMessage());
               System.exit(-1);
           }
   
           try {
               // attempt authentication
               lc.login();
   
           } catch (LoginException le) {
               System.err.println("Authentication failed:");
               System.err.println("  " + le.getMessage());
               System.exit(-1);
           }

    
4. 如果正确的配置了Kerberos的登录信息，则以上代码如果正常运行完就表示客户端与KDC的通讯已经成功完成。

 

2、使用GSSAPI完成SSH的身份验证

 

     完成了客户端与KDC的通讯后，剩下的任务就是登录服务器了。以下的代码必须在成功完成步骤1之后进行，具体步骤为：

1. 在subject的权限下进行登录。完成了步骤一之后，我们可以从login context中获得身份验证的一个subject对象，这个对象中包含了当前用户的权限，接下来的登录服务器操作必须在这个subject的权限范围内完成，如
   

   Subject.doAsPrivileged(lc.getSubject()
   ,
   
                   new java.security.PrivilegedExceptionAction