Discussion :

[ITsecurity]

Bonjour à tous,

Dans mon application, je fait de l'authentification LDAP pour les utilisateurs. Jusque là tout se passe bien, l'utilisateur est authentifié et je récupère aussi les groupes LDAP (Roles sous Tomcat) auxquels qui il appartient.

<security-constraint>
<web-resource-collection>
<web-resource-name>
Administration area of Application
</web-resource-name>
<description>Authentication for registered users (LDAP).</description>
<url-pattern>/admin.jsp</url-pattern>
<http-method>GET</http-method>
<http-method>POST</http-method>
</web-resource-collection>
<auth-constraint>
<role-name>group1</role-name>
</auth-constraint>
</security-constraint>

<!-- Define the Login Configuration for this Application -->
<login-config>
<auth-method>BASIC</auth-method>
</login-config>
<!-- Security roles referenced by this web application -->
<security-role>
<role-name>group1</role-name>
</security-role>

Sauf que dans mon serveur LDAP, chaque groupe appartient à un Role donné, par exemple, j'ai 2 rôles sur mon serveur :

Role1 : (DN :cn=role1,cn=role,cn=applications,o=com)
contient une seul entrée : group1 (DN : cn=group1,cn=group,o=com)
Role2 : (DN : cn=role2,cn=role,cn=applications,o=com)
contient une seule entrée :group2 (DN: cn=group2,cn=group,o=com)

Et donc, je voudrais que les utilisateurs soient autorisés par leurs rôles et non par leurs groupes.

Tomcat fait que se connecter à LDAP, et récupère les groupes de l'utilisateur. Ma question est en fait comment faire pour permettre à tomcat d'aller chercher les groupes de user, et ensuite fait un deuxième recherche pour les rôles auxquels appartiennent ces groupes.

<Realm className="org.apache.catalina.realm.JNDIRealm"
connectionURL="ldap://ldap-serve:2457"
userPattern="uid={0},cn=people,o=com"
roleBase="cn=group,o=com"
roleName="cn"
roleSearch="(uniqueMember={0})"
/>

Merci d'avance
je compte sur vous

[Rom_1]

Je pense que tu as déjà vu l'aide sur le sujet :
http://tomcat.apache.org/tomcat-6.0-...html#JNDIRealm

roleBase="cn=role,cn=applications,o=com"
roleSearch=une requête qui sélectionne les rôles contenant un groupe dont l'utilisateur est membre (je ne suis pas assez calé en LDAP pour l'écrire comme ça ... :/ ), ça pourrait marcher ?

Si uen seule requête ne peut pas suffire, il y a peut-être l'option roleNested=true.

En dernier recours il reste l'implémentation ad-hoc d'un realm qui soit capable de requêter ton LDAP. l'interface est assez simple.

Rapport à mon poste récent, comment tu récupères les rôles dans l'appli web ?