WebLogic 8.1 authentification SSL bidirectionnelle sur un exemple complet d'application Web?

Question

Est-ce que quelqu'un a un exemple complet SSL WebLogic 8.1 bi-directionnel?

Je développe une petite application web (1 HTML, 1 Servlet, 1 JSP) pour envoyer des données confidentielles. Le client pourrait être un navigateur Web. Le serveur est WebLogic 8.1.

Les informations doivent voyager cryptées. En outre, l'application Web doit authentifier le client en utilisant plus qu'une combinaison nom d'utilisateur/mot de passe. Je pensais mettre en œuvre en utilisant HTTPS et two-way SSL authentication. De cette façon, l'utilisateur doit m'envoyer son certificat, installé sur le serveur, afin que l'application web puisse savoir quand elle envoie des informations.

Maintenant, je sais comment utiliser l'autorisation déclarative dans une application Web, mais je ne sais pas comment spécifier quels utilisateurs je reconnais et quels sont leurs certificats.

J'ai juste besoin d'un exemple complet de ceci. Un .war et/ou les étapes pour faire le cas de base.

Answer 1

Je ne pense pas que vous trouverez facilement un exemple complet et la question est un peu large. Mais le lien que vous avez fourni est un très bon point de départ.

D'abord configure Two-Way SSL et utilisez CLIENT-CERT. Les clients devront acheter un certificat client approuvé ou générer un certificat auto-signé que vous devrez ajouter au magasin d'approbations du serveur. Cela peut être la partie la plus difficile si vous n'êtes pas familier avec PKI mais j'ai ajouté des ressources à la fin de cette réponse qui couvrent cette partie. Chargez le certificat client dans chaque navigateur client.

Ensuite, configure an Identity Assertion provider pour mapper le certificat numérique d'un navigateur Web à un utilisateur dans un domaine de sécurité WebLogic Server. Si nécessaire, indiquez le vôtre user name mapper ou utilisez le code par défaut (qui utilise les attributs du DN du sujet du certificat numérique ou le nom distinctif pour mapper vers l'utilisateur approprié dans le domaine de sécurité WebLogic Server).

Troisièmement, add users correspondant à l'attribut Distinguished Name (SubjectDN) du sujet dans le certificat numérique du client dans Weblogic Security Realm et de les affecter à des groupes. Pour finir, utilisez ces groupes dans votre declarative authorizations.

Bien sûr, ce ne sera pas si facile si tout est nouveau, mais c'est essentiellement ce que vous devez faire. Peut-être commencer à le mettre en œuvre et ouvrir des questions plus spécifiques si vous avez besoin de plus de conseils.

---

Plus de ressources:

• Two-Way SSL in Weblogic for Developers
• The Fifteen Minute Guide to Mutual Authentication
• Certificate to User Mapping in WebLogic
• How to Set Up X509 Certificate Authentication for Oracle WebLogic Server (transposables à WLS 8.1)