ओरेकल वेबलॉजिक सर्वर पर एक आवेदन के लिए पारदर्शी प्राधिकरण

इस लेख में मैं आपको बताता हूँ कि हम Oracle वेबलॉजिकल सर्वर पर अनुप्रयोगों के लिए NTLM से केर्बरोस प्राधिकरण में कैसे स्विच करते हैं, जिससे पासवर्ड दर्ज करने की आवश्यकता को हटाकर उपयोगकर्ता लॉगिन को सरल बनाया जा सकता है। सभी उपयोगकर्ता, साथ ही एप्लिकेशन सर्वर, एक ही डोमेन में हैं; वेबलॉजिक सर्वर अनुप्रयोगों के लिए डोमेन प्राधिकरण भी पहले कॉन्फ़िगर किया गया था। सभी कॉन्फ़िगरेशन WLS 12.1.2 पर सत्यापित किए गए थे।

सबसे पहले, थोड़ा सिद्धांत, बातचीत प्रक्रिया की एक और समझ के लिए बहुत संक्षेप में।

सिंगल साइन-ऑन क्या है?

सिंगल साइन-ऑन (एसएसओ) एक ऐसा तंत्र है जिसके माध्यम से एक एकल उपयोगकर्ता प्रमाणीकरण कार्रवाई उपयोगकर्ता को उन सभी कंप्यूटरों और प्रणालियों तक पहुंचने की अनुमति देती है जहां उसे कई पासवर्ड दर्ज किए बिना एक्सेस करने की अनुमति है। पहले दर्ज किए गए क्रेडेंशियल्स को विभिन्न घटकों द्वारा पारदर्शी रूप से पुन: उपयोग किया जाएगा।

कर्बरोस क्या है?

केर्बरोस एक नेटवर्क प्रमाणीकरण प्रोटोकॉल है जिसे सबसे पहले मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी द्वारा विकसित किया गया था। केर्बरोस नेटवर्क पर एक सेवा के लिए अनुरोध को प्रमाणित करने का एक सुरक्षित तरीका है और एक गुप्त कुंजी के साथ क्रिप्टोग्राफी का उपयोग करके क्लाइंट-सर्वर अनुप्रयोगों के लिए मजबूत प्रमाणीकरण प्रदान करने के लिए डिज़ाइन किया गया है।

SPNEGO क्या है?

SPNEGO एक सरल और सुरक्षित GSSAPI बातचीत इंजन है। यह प्रमाणीकरण के लिए एक मानकीकृत इंटरफ़ेस है (निर्देशिका खोजों के लिए उदा। JNDI), विंडोज पर SPNEGO के लिए डिफ़ॉल्ट कार्यान्वयन केर्बरोस (उदाहरण के लिए JNDI के लिए LDAP) है। Microsoft शब्दावली SPNEGO के पर्याय के रूप में "एकीकृत Windows प्रमाणीकरण" का उपयोग करती है। विंडोज एकीकृत प्रमाणीकरण में, केर्बरोस या एनटीएलएम प्रोटोकॉल पर बातचीत की जा सकती है।

जब कोई सर्वर इंटरनेट एक्सप्लोरर (IE 6.1 या उच्चतर) से अनुरोध प्राप्त करता है, तो यह अनुरोध कर सकता है कि ब्राउज़र प्रमाणीकरण के लिए SPNEGO प्रोटोकॉल का उपयोग करे। यह प्रोटोकॉल HTTP पर केर्बरोस प्रमाणीकरण करता है और इंटरनेट एक्सप्लोरर को प्रत्यायोजित प्राधिकरण को सौंपने की अनुमति देता है ताकि उपयोगकर्ता की ओर से वेब एप्लिकेशन बाद में केर्बराइज्ड सेवाओं में लॉग इन कर सके।

जब HTTP सर्वर SPNEGO चलाना चाहता है, तो वह "WWW- प्राधिकरण: नेगोशिएट" शीर्षक के साथ HTTP अनुरोध के लिए "401 अनधिकृत" प्रतिक्रिया देता है। इंटरनेट एक्सप्लोरर टिकट लेने के लिए टिकट सेवा (टीजीएस) से संपर्क करता है। वह उदाहरण के लिए, टिकट का अनुरोध करने के लिए सेवा का विशेष नाम चुनता है:

HTTP/webserver@<DOMAIN NAME> 

लौटा हुआ टिकट फिर एक SPNEGO टोकन में लपेटा जाता है, जिसे एन्कोड किया गया है और एक HTTP अनुरोध का उपयोग करके सर्वर पर वापस भेजा जाता है। टोकन खुलता है और टिकट प्रमाणित होता है।

केर्बोस के लाभ

Kerberos का उपयोग करना प्रशासकों को NTLM प्रमाणीकरण को अक्षम करने में सक्षम बनाता है जैसे ही सभी नेटवर्क ग्राहक Kerberos को प्रमाणित कर सकते हैं। Kerberos NTLM की तुलना में अधिक लचीला और कुशल है और अधिक सुरक्षित है।

एक वेबलॉग अनुप्रयोग सर्वर वातावरण में कर्बरोस-आधारित एसएसओ कॉन्फ़िगर करें

सहभागिता योजना:

1. जब कोई पंजीकृत उपयोगकर्ता (PC) Oracle WebLogic Server (WLS) से संसाधन का अनुरोध करता है, तो यह मूल HTTP GET अनुरोध भेजता है।
2. Oracle वेबलॉजिक सर्वर (WLS) SPNEGO टोकन कोड को निष्पादित करने वाले सर्वर को प्रमाणीकरण की आवश्यकता होती है और 401 एक्सेस अस्वीकृत, WWWAuthenticate: नेगोशिएट प्रतिक्रिया जारी करता है।
3. एक क्लाइंट (पीसी पर ब्राउज़र) TGS / KDC (AD) से एक सत्र टिकट का अनुरोध करता है।
4. TGS / KDC (AD) SPNEGO टोकन में लिपटे हुए ग्राहक को आवश्यक केर्बरोस टिकट (बशर्ते कि ग्राहक अधिकृत हो) प्रदान करता है।
5. क्लाइंट HTTP शीर्ष लेख प्राप्त करता है + प्राधिकरण SPNEGO टोकन को प्राधिकरण शीर्ष लेख में: Negotiate base64 (टोकन)।
6. वेबलॉग सर्वर पर SPNEGO वेब प्रमाणीकरण सत्यापित करने से SPNEGO टोकन के साथ एक HTTP हेडर दिखाई देता है। SPNEGO SPNEGO टोकन की जाँच करता है और उपयोगकर्ता जानकारी प्राप्त करता है।
7. Weblogic उपयोगकर्ता की जानकारी प्राप्त करने के बाद, यह उपयोगकर्ता को Microsoft सक्रिय निर्देशिका / KDC में मान्य करता है। जब प्रमाणीकरण प्रक्रिया पूरी हो जाती है, तो वेबलॉग संबंधित जावा कोड (सर्वलेट्स, जेएसपी, ईजेबी, आदि) निष्पादित करता है और प्राधिकरण की जांच करता है।
8. Oracle WebLogic Server टोकन हैंडलर हैंडलर कोड GSS API के माध्यम से टोकन को स्वीकार और संसाधित करता है, उपयोगकर्ता को प्रमाणित करता है, और अनुरोधित URL के साथ प्रतिक्रिया करता है।

अब चलिए अभ्यास करते हैं

1. हम नियंत्रक के डोमेन के सर्वर साइड पर सेटिंग्स करते हैं जिस पर TGS / KDC सेवाएँ कॉन्फ़िगर की गई हैं।

• सक्रिय निर्देशिका में एक उपयोगकर्ता बनाएँ (पासवर्ड समाप्त नहीं होना चाहिए)
• WLS सर्वर नाम के लिए उपयुक्त SPN सेट करें

SPN द्वारा स्थापित सत्यापन करें

 setspn –l HTTP_weblogic 

दो रिकॉर्ड लौटाने चाहिए
Keytab फ़ाइल जनरेट करें

 ktpass -princ HTTP_weblogic@mycompany.com -pass PASSWORD -crypto RC4-HMAC-NT -ptype KRB5_NT_PRINCIPAL -kvno 0 -out c:\krb5.keytab 

इस फाइल को डब्लूएलएस सर्वर पर कॉपी करें

2. WLS सर्वर सेटअप

• आपको% windir%: C: \ Windows फ़ोल्डर में krb5.ini फ़ाइल बनाने की आवश्यकता है। इस फ़ाइल में क्लाइंट के लिए कॉन्फ़िगरेशन सेटिंग्स हैं, उदाहरण के लिए, जहां केडीसी स्थित है। फ़ाइल इस तरह दिखाई देगी:

 [libdefaults] default_realm = <DOMAIN NAME> ticket_lifetime = 600 [realms] <DOMAIN NAME> = { kdc = <HOSTNAME OF AD/KDC> admin_server = <HOSTNAME OF AD/KDC> default_domain = <DOMAIN NAME> } [domain_realm] . <DOMAIN NAME>= <DOMAIN NAME> [appdefaults] autologin = true forward = true forwardable = true encrypt = true 

• Krb5Login.conf कॉन्फ़िगरेशन फ़ाइल बनाएँ:

 com.sun.security.jgss.krb5.initiate { com.sun.security.auth.module.Krb5LoginModule required principal="user@MYCOMPANY.COM" useKeyTab=true keyTab=krb5.keytab storeKey=true debug=true; }; com.sun.security.jgss.krb5.accept { com.sun.security.auth.module.Krb5LoginModule required principal="user@MYCOMPANY.COM" useKeyTab=true keyTab=krb5.keytab storeKey=true debug=true; }; 

कृपया ध्यान दें कि डोमेन नाम अपरकेस होना चाहिए। पुराने संस्करणों के लिए, com.sun.security.jgss.in का उपयोग com.sun.security.jgss.krb5.initiate के बजाय पिछले कॉन्फ़िगरेशन में करें।

• दोनों krb5Login.conf और krb5.keytab फ़ाइलों को WLS सर्वर डोमेन निर्देशिका के रूट में स्थित होना चाहिए।

• SetDomainEnv फ़ाइल का संपादन

लाइन सेट JAVA_OPTIONS =% JAVA_OPTIONS% खोजें और अंत में जोड़ें

 -Djava.security.auth.login.config=<  >\krb5Login.conf -Djavax.security.auth.useSubjectCredsOnly=false -Dweblogic.security.enableNegotiate=true 

• इस मामले में, हम AD में WLS प्राधिकरण स्थापित करने पर विचार नहीं कर रहे हैं, हमारा मानना ​​है कि यह काम करता है, अगर आपको इस आइटम को चित्रित करने की आवश्यकता है, तो टिप्पणियों में लिखें।
• WLS में SPNEGO को कॉन्फ़िगर करना
  ऐसा करने के लिए, WebLogic Server व्यवस्थापन कंसोल पर जाएँ
  सेक्शन सिक्योरिटी रियलम्स> मायरियल> प्रोवाइडर्स पर जाएं और ऐड बटन पर क्लिक करें
  "WebLogic वार्ता पहचान पहचान प्रदाता" के प्रकार का चयन करें
  जांचें कि दोनों पैरामीटर चुने गए हैं।
  
  
  
  हम राउटर बटन दबाते हैं और तीरों को नियंत्रित करके प्राधिकरण प्रकारों का क्रम निर्धारित करते हैं। पहले स्थान पर WebLogic Negotiate Identity Assertion प्रदाता स्थापित किया जाना चाहिए दूसरे स्थान पर प्रदाता जो LDAP प्रमाणीकरण (डोमेन प्राधिकरण) करता है
  
  

• सर्वर को रिबूट करें

• अगला, आपको एप्लिकेशन को CLIENT-CERT प्राधिकरण विधि बताने की आवश्यकता है, ये परिवर्तन आवेदन के web.xml फ़ाइल में लागू होते हैं

 <security-constraint> <display-name>Security Constraint for SSO </display-name> <web-resource-collection> <web-resource-name>My webapp</web-resource-name> <description>Group of Users</description> <url-pattern>/*</url-pattern> <http-method>GET</http-method> <http-method>POST</http-method> </web-resource-collection> <auth-constraint> <role-name>valid-users</role-name> </auth-constraint> </security-constraint> <login-config> <auth-method>CLIENT-CERT</auth-method> </login-config> <security-role> <description>Role description</description> <role-name>valid-users</role-name> </security-role> 

भूमिका को सिस्टम में पूर्वस्थापित किया जाना चाहिए। हमारे मामले में, एडीएफ (वैध-उपयोगकर्ता) के लिए अंतर्निहित भूमिका का उपयोग किया जाता है, और आगे, डोमेन समूहों के आधार पर, अनुमति दी जाती है।

• डिबग

प्राधिकरण के साथ समस्याओं की पहचान करने के लिए, आपको डीबग को सक्षम करना होगा। ऐसा करने के लिए, अनुभाग पर जाएं।

पर्यावरण -> सर्वर, हमारे सर्वर का चयन करें -> डिबग -> वेबलॉजिक (विस्तार) -> सुरक्षा -> atn, बॉक्स को चेक करें और इसे सक्षम करें।



डीबग को सक्षम और अक्षम करने के लिए, एक रिबूट की आवश्यकता नहीं है।

• हम कॉन्फ़िगरेशन परिवर्तन लागू करने के लिए सर्वर को रिबूट करते हैं।
• एक संशोधित प्राधिकरण पद्धति (नया web.xml) के साथ आवेदन को लागू करें
• व्यवस्थापकीय कंसोल के लिए इस प्रकार के प्राधिकरण को अक्षम करने के लिए, निम्न परिवर्तन% OR_Home% \ wlserver \ Server \ lib \ consoleapp \ webapp \ WEB-INF \ web.xml करें।
  
  लाइन बदलो
  
  

    <auth-method>CLIENT-CERT,FORM</auth-method>  <auth-method>FORM</auth-method> 

डोमेन मशीन में लॉग इन करें, एप्लिकेशन लिंक पर क्लिक करें और पासवर्ड दर्ज किए बिना लॉग इन करें। यह ध्यान देने योग्य है कि एप्लिकेशन में एक्जिट बटन इस कॉन्फ़िगरेशन में काम नहीं करेगा।