访问安全域时出现 EJBAccessException答案

【问题标题】：EJBAccessException when accessing a Security Domain访问安全域时出现 EJBAccessException
【发布时间】：2012-05-28 17:47:39
【问题描述】：

我正在尝试使用 EJB 运行一个简单的 RBAC 示例，但是当客户端从具有 SecurityDomain 的类中调用方法时，我得到：javax.ejb.EJBAccessException: JBAS013323: Invalid User。

这是我的设置：

服务器项目
- EJB 3.1
- JBoss AS 7.1
- Picketbox（下载附带的 3 个 jar 文件）

客户端是一个简单的java项目

我以后想要保护的服务器项目中的类如下所示：

@Stateless
public class SomeBean implements SomeRemote, SomeLocal {
  @Override 
  public void unsecuredMethod(Object obj) {     
    //do something
  }
}

在 META-INF 的 jboss-ejb3.xml 中，我有：

<?xml version="1.0"?>  
<jboss:ejb-jar xmlns:jboss="http://www.jboss.com/xml/ns/javaee"
              xmlns="http://java.sun.com/xml/ns/javaee"
              xmlns:s="urn:security"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://www.jboss.com/xml/ns/javaee http://www.jboss.org/j2ee/schema/jboss-ejb3-2_0.xsd
                 http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/ejb-jar_3_1.xsd"
              version="3.1"
              impl-version="2.0">
<assembly-descriptor>
  <s:security>
    <ejb-name>SomeBean</ejb-name>
    <s:security-domain>SomeDomain</s:security-domain>
  </s:security>
</assembly-descriptor>
</jboss:ejb-jar>

我使用这个文件是因为我无法导入 org.jboss.ejb3.annotation.SecurityDomain 注释。（也许我有错误的依赖关系？）

在 jboss-as-7.1.0.Final\standalone\configuration 的standalone-full.xml 中我有：

...
<subsystem xmlns="urn:jboss:domain:security:1.1">
  <security-domains>
  ...
    <security-domain name="SomeDomain" cache-type="default">
      <authentication>
        <login-module code="Database" flag="required">
          <module-option name="dsJndiName" value="java:/DefaultDS"/>
          <module-option name="principalsQuery" value="SELECT password FROM Customer WHERE username=?"/>
          <module-option name="rolesQuery" value="SELECT rolename, 'Roles' FROM Role WHERE username=?"/>
          <module-option name="unauthenticatedIdentity" value="guest"/>
        </login-module>
      </authentication>
    </security-domain>
  </security-domains>
</subsystem>
...

无论我是否尝试在客户端内进行身份验证，都会发生异常

SecurityClient secClient =     
SecurityClientFactory.getSecurityClient();          
secClient.setSimple("username1", "password1");
secClient.login();

如果我不验证他的身份，或者只是使用客户应该收到的来宾角色（因为：name="unauthenticatedIdentity" value="guest"）。另一件事是，即使我提供了错误的凭据，似乎也不会抛出来自 SecurityClient 的 LoginException。在此之后，我对 SomeBean 类进行正常查找并将其转换为 SomeRemote。调用 unsecuredMethod(..) 时会发生异常。我对两者都进行了尝试，给来宾用户一个角色表中的角色，而没有。

在客户端项目中，除了使用 SecurityClient 和查找之外，我没有做任何与 rbac 或 ejb 相关的事情，我希望这是正确的。

也许有一些很好的教程可以解释一切。我可能有这个问题，因为我的解决方案是基于 Jboss AS 6 教程。

编辑：在互联网上搜索了几个小时后，我发现一本书中的提示说，如果 jboss 找不到用于身份验证的数据库表，您将始终收到消息：“无效用户”。所以可能我的数据源配置有问题。

【问题讨论】：

标签： java security ejb jboss7.x rbac

【解决方案1】：

如果这是远程访问的 EJB，您还需要更新与远程连接器关联的安全领域 (ApplicationRealm) 以使用对您的安全域的 jaas 引用，以便用户可以在入站连接上进行身份验证。

【讨论】：