Geronimo V2.1.5 中的安全提升

核心提示： 如果用户需要定义新的用户，只需要在上述两个文件中添加相应的用户组名称和所含用户登录时所需要的密码，Geronimo V2.1.5 中的安全提升(9)，密码可以暂时用明文标识，Geronimo 会在随后的系统启动和初始化时对密码进行加密，清单 11. 在部置计划中添加角色<securityx

如果用户需要定义新的用户，只需要在上述两个文件中添加相应的用户组名称和所含用户登录时所需要的密码。密码可以暂时用明文标识，Geronimo 会在随后的系统启动和初始化时对密码进行加密。用户也可以使用前文介绍的 deploy encrypt 命令手动加密密码，然后再将其添加到 users.properties 文件中。

Web 管理控制台的只读角色

为了让新添加的 monitor 用户只能看到 Web 管理控制台中的一部份页面或者一个页面中的部份功能，V2.1.5 采用了声明型（Declarative security）和编程型（Programmatic security）相结合的安全实现方式。Web 管理控制台中的 Monitoring 相关的 Portlets 是以插件的形式添加到 Geronimo 中的，这个插件名为 mconsole。所以我们首先要在 console 和 mconsole 的部署计划中添加一个新的角色，如清单 11 所示。

清单 11. 在部置计划中添加角色

　<security　xmlns="http://geronimo.apache.org/xml/ns/security-1.2">　
　<role-mappings>　
　　…　
　<role　role-name="monitor">　
　<principal　class="org.apache.geronimo.security.realm.providers.GeronimoGroupPrincipal"　
　　　　　　　name="monitor"　/>　
　</role>　
　</role-mappings>　
　</security>　

采用声明型安全实现方式，在 console-portal-driver 的 web.xml 中添加以下约束及角色 monitor 的定义，如清单 12 所示。

清单 12. web.xml 文件片断

　<security-constraint>　
　　<web-resource-collection>　
　　　<web-resource-name>console　monitor</web-resource-name>　
　　　<url-pattern>/portal</url-pattern>　
　　　<url-pattern>/portal/Welcome</url-pattern>　
　　　<url-pattern>/portal/Welcome/*</url-pattern>　
　　　<url-pattern>/portal/Server/Information</url-pattern>　
　　　<url-pattern>/portal/Server/Information/*</url-pattern>　
　　　<url-pattern>/portal/Server/Java　System　Info</url-pattern>　
　　　<url-pattern>/portal/Server/Java　System　Info/*</url-pattern>　
　　　<url-pattern>/portal/Server/Thread　Pools</url-pattern>　
　　　<url-pattern>/portal/Server/Thread　Pools/*</url-pattern>　
　　　<url-pattern>/portal/Server/Monitoring</url-pattern>　
　　　<url-pattern>/portal/Server/Monitoring/*</url-pattern>　
　　　<url-pattern>/forwards/*</url-pattern>　
　　　<url-pattern>/dwr/*</url-pattern>　
　　　<http-method>GET</http-method>　
　　　<http-method>POST</http-method>　
　　　<http-method>PUT</http-method>　
　　</web-resource-collection>　
　　<auth-constraint>　
　　　<role-name>monitor</role-name>　
　　　<role-name>admin</role-name>　
　　</auth-constraint>　
　</security-constraint>　
　
　<security-role>　
　　<role-name>monitor</role-name>　
　</security-role>