我知道这一定是一个非常简单的问题，但我是 java 新手，很难获得我需要的确切代码。我需要做的是从 Windows 获取当前登录的用户名，并检查该用户是否属于需要在某个配置文件中定义的特定 AD 用户组。在 C# 中很容易做到，但我不知道如何在 JAVA 中做到这一点。示例代码会很棒。在 c# 中，我会将安全组放入 App.Config 到应用程序设置中，然后我可以获取当前登录用户的 Windows 身份，然后遍历用户所属的所有组并与所需的匹配。我需要在 java 中做同样的事情
【问题讨论】：
标签： java windows active-directory
如果您只关心当前登录的 Windows 用户（即您的 Java 程序将在 Windows 上运行）并且不介意使用 JNA，您可以使用 platform.jar、Advapi32Util#getCurrentUserGroups() 中提供的函数获取用户所属的组。
例如：
import com.sun.jna.platform.win32.Advapi32Util;
for (Advapi32Util.Account account : Advapi32Util.getCurrentUserGroups()) {
System.out.println(account.fqn);
}
这还利用了当用户登录时，Windows 会缓存所有组（包括包含该用户所属的其他组的组）中的用户成员身份这一事实。
这里的要求似乎有点不具体，并且开始转向可能不太适合 SO 的领域，但无论如何我都会试一试。
最终，系统的运行位置决定了设置的难度。如果您要在基于 Windows 的服务器上运行，该服务器连接到您正在验证的同一个域，那么您应该查看Waffle，它提供了一个 servlet、一个 Spring Security 过滤器、一个 JAAS 插件和其他一些方式您可以实施 Windows 集成身份验证，该身份验证使用本机 Windows 方法来加载 Windows 身份和关联的 Active Directory 组。这将为您提供最类似于将 IIS 和 WIA 与 .NET 框架应用程序一起使用的体验。这样做的缺点是服务器需要在 Windows 系统上运行。
不幸的是，在非 Windows 环境中运行将需要更多设置和配置。集成度最高的解决方案可能是 Spring Security，它的 a Kerberos extension 能够提供 SPNEGO（Windows 集成身份验证）。上面的链接包含有关启动和运行 Kerberos 过滤器所需的详细信息（我相信它们仍然是最新的）。要访问组信息，您需要更改示例 security.xml 文件中的 userDetailsService 值。这里最简单的做法是提供一个适当配置的LdapUserDetailsService 作为这里的对象。我对 Spring 的经验并不多，但看起来配置会像这样（这缺少 contextSource）。
<bean id="adUserSearch" class="org.springframework.security.ldap.search.FilterBasedLdapUserSearch">
<constructor-arg value="dc=domain,dc=com"/>
<constructor-arg value="(sAMAccountName={0})"/>
<constructor-arg ref="contextSource" />
</bean>
<bean id="adAuthoritiesPopulator" class="org.springframework.security.ldap.userdetails.DefaultLdapAuthoritiesPopulator">
<constructor-arg ref="contextSource"/>
<constructor-arg value="dc=domain,dc=com" />
<property name="groupSearchFilter" value="(member={0})"/>
<property name="rolePrefix" value="ROLE_"/>
<property name="searchSubtree" value="true"/>
<property name="convertToUpperCase" value="true"/>
</bean>
<bean id="userDetailsService" class="org.springframework.security.ldap.userdetails.LdapUserDetailsService">
<constructor-arg ref="adUserSearch"/>
<constructor-arg ref="adAuthoritiesPopulator"/>
</bean>
这应该会为您提供一个经过 Kerberos 身份验证的用户及其关联的组。
如果 Spring Security 不可接受，您可以尝试使用 Shiro 和 the pure-Java SPNEGO filter 滚动您自己的版本，但展示一个示例需要基本上编写一个程序。
我希望这会有所帮助。一旦您决定了一种方法，可能适合将更具体的问题作为 SO 类型的问题来解决。
【讨论】：
你可以像这样得到所有没有 JNA 的组：
String groups[] = (new com.sun.security.auth.module.NTSystem()).getGroupIDs();
显然这仅适用于 Windows，甚至在 Windows 上也不鼓励使用 com.sun.* 包。结果说明见this。
【讨论】：
这可以通过 Java SE API 完成，而无需直接使用 com.sun.* 包。使用 Java Authentication and Authorization Service (JAAS)（javax.security.auth.* 和 javax.security.auth.login.*）访问此信息。使用以下条目创建 JAAS config file：
sampleApp {
com.sun.security.auth.module.NTLoginModule required debug=false;
};
将该条目保存为sampleapp_jaas.config。接下来设置系统属性，以便 Java 将查找配置文件。
-Djava.security.auth.login.config==sampleapp_jaas.config
请注意，双等号具有特殊含义。有关加载顺序的详细信息，请参阅com.sun.security.auth.login.ConfigFile。
然后创建将在 JAAS 配置中查找条目的 LoginContext。调用 login 填充主题，然后访问代表用户组的主体。
LoginContext l = new LoginContext("sampleApp");
l.login();
try {
Subject s = l.getSubject();
for (Principal p : s.getPrincipals()) {
System.out.println(p);
}
} finally {
l.logout();
}
使用此设置，Java 将使用 com.sun.security.auth.module.NTSystem 类来获取信息，但您的任何代码都不会被硬连线到非标准 API。
【讨论】：