roles dinámicos en un servidor Java EE

Question

Quiero administrar usuarios y roles en una aplicación dedicada. Por ejemplo, un usuario de esta aplicación ("jefe de customerX") puede crear un nuevo rol "empleado de customerX". Si un empleado accede al servidor de aplicaciones Java EE (GlassFish 3), debe obtener el rol de "empleado de customerX".

Parece simple, pero no es compatible con Java EE, porque los grupos se asignan a roles en el momento de la puesta en marcha y los roles dentro de la aplicación son estáticos.

¿Cuál es la mejor manera de administrar roles de usuario en tiempo de ejecución en un entorno Java EE (6)?

Answer 1

La seguridad declarativa en Java EE no es adecuada para tales requisitos. El problema de la seguridad se puede dividir en dos:

• autenticación
• autorización

tuve requisito similar una vez. Usamos la autenticación integrada para tener el conjunto principal y luego confiamos en los mecanismos de inicio de sesión predeterminados de Java EE. Pero terminamos administrando la parte de autorización manualmente en el nivel de aplicación.

De hecho, incluso los papeles que se cargarán y asociados con el director (isUserInRole para la web y isCallerInRole para el EJB) necesita ser especificado en web.xml o ejb.xml que no proporciona suficiente flexibilidad. Tuvimos que cargar los roles manualmente (según el principal) desde LDAP o ActiveDirectory. Luego usamos los interceptores EJB3 y el filtro Servlet para realizar los controles de seguridad nosotros mismos.

Sin embargo, recomiendo encarecidamente que se apegue a un control de acceso basado en roles (RBAC) y no implemente algo más elegante. Existen varios marcos que pueden ayudar a tratar el RBAC casero.

También echamos un vistazo a JSecurity y Acegi Security y parecían interesantes.