JAAS

Há quatro tipos de autenticação utilizando o protocolo JAAS:

• A autenticação padrão do LumisXP, utilizando o lumis.portal.authentication.LumisLoginModule;
• Autenticação utilizando com.sun.security.auth.module.Krb5LoginModule no Active Directory;
• Autenticação customizada no banco utilizando o DatabaseLoginModule;
• Autenticação utilizando um LoginModule customizado.

O LumisXP utiliza JAAS Login Module para realizar a autenticação no Active Directory.

É possível utilizar outros módulos de login para fazer autenticação no LumisXP. Por exemplo, se as informações dos usuários estiverem em um banco de dados externo, basta implementar um Login Module que acesse a tabela com as informações e configurar o lumisdata/config/lumissecuritylogin.config para usar seu módulo customizado.

Abaixo um exemplo de configuração do Login Module.

LumisPortal { lumis.portal.authentication.LumisLoginModule sufficient debug=true; com.sun.security.auth.module.Krb5LoginModule sufficient debug=true; mydomain.authentication.DatabaseLoginModule sufficient debug=true table=test_users loginColumn=login passwordColumn=password; };

Active Directory

Para delegar a autenticação para o Active Directory basta alterar os seguintes arquivos:

• lumisdata/config/lumisportalconfig.xml: Retirar o comentário da configuração do kerberos que define qual arquivo será utilizado pelo JAAS: <security> <!-- Uncomment to configure a HTTP authenticator. See LumisXP documentation for details about included authenticators. <httpAuthenticator className="lumis.portal.authentication.http.SpnegoAuthenticator" ></httpAuthenticator> --> <!-- Uncomment to configure Kerberos Authentication Protocol. See LumisXP documentation for details. <kerberos> <configurationFile>security/krb5.conf</configurationFile> </kerberos> --> </security> <!-- Uncomment to specify a custom security alias. <securityAlias></securityAlias> -->

  A tag <securityAlias> permite especificar um outro alias para substituir o default "LumisPortal", que no caso do Tomcat, está especificado no arquivo lumisdata/config/lumissecuritylogin.config.

• lumisdata/config/security/krb5.conf: Arquivo de configuração do protocolo Kerberos, utilizado pelo JASS, que define as propriedades do sistema responsável pela autenticação.

  Assumindo que o nome do domínio é mydomain.net e o nome do servidor do AD é server01, o arquivo ficaria assim:

  [domain_realm] mydomain.net = MYDOMAIN.NET [libdefaults] default_realm = MYDOMAIN.NET dns_lookup_kdc = true [realms] MYDOMAIN.NET = { admin_server = server01 default_domain = MYDOMAIN.NET kdc = server01 }

• lumisdata/config/lumissecuritylogin.config: Inclua o login module Krb5LoginModule para autenticação com o protocolo Kerberos:

  LumisPortal { com.sun.security.auth.module.Krb5LoginModule sufficient debug=true; lumis.portal.authentication.LumisLoginModule sufficient debug=true; };

  Essa configuração é para que o Lumis tente fazer primeiro o login com o AD e, se a autenticação não ocorrer com sucesso, tentar a autenticação padrão na base de dados do LumisXP.