3

O meu sistema faz a autenticação do cliente (é um web service) por meio do BaseCertLoginModule, uma classe do JBoss baseada na especificação JaaS. Na verdade meu projeto estende essa classe, e essa extensão é chamada a cada requisição para decidir se o usuário tem acesso ou não ao web service. Faço isso pegando o serial da requisição (SSL two-way) e fazendo uma pesquisa no banco de dados com esse serial.

Isso tudo (autenticação) está funcionando legal. O que eu queria agora é resolver a autorização. Queria usar a anotação @RequiredRole, pois já defino os roles do usuário em meu LoginModule. Achei que seria só fazer isso:

@Override
@WebMethod
@RequiredRole("MASTER")
public void cancelarLaudo(CancelamentoLaudoRequest cancelamentoLaudoRequest)...

Aonde cancelarLaudo é uma operação de meu web service SOAP.

Mas não funcionou. :)

O que mais eu teria que fazer? Eu já li as documentações do Demoiselle, mas não ficou claro como eu faria isso funcionar junto com o esquema de LoginModule que eu já tenho.

Meu LoginModule:

package br.gov.serpro.sislvws.security.loginmodule;

import java.security.Principal;
import java.security.acl.Group;
import java.security.cert.X509Certificate;

import javax.persistence.NoResultException;
import javax.security.auth.login.LoginException;

import org.jboss.logging.Logger;
import org.jboss.security.SimpleGroup;
import org.jboss.security.SimplePrincipal;
import org.jboss.security.auth.spi.BaseCertLoginModule;

import br.gov.frameworkdemoiselle.util.Beans;
import br.gov.serpro.sislv.entity.CertificadoDigital;
import br.gov.serpro.sislv.entity.Entidade;
import br.gov.serpro.sislv.persistence.EntidadeDAO;

public class SislvLoginModule extends BaseCertLoginModule {

    private Logger logger = Logger.getLogger(this.getClass());

    private EntidadeDAO entidadeDAO;

    public SislvLoginModule() {
        entidadeDAO = Beans.getReference(EntidadeDAO.class);
    }

    @Override
    protected Principal createIdentity(String arg0) throws Exception {
        X509Certificate certificate = (X509Certificate) getCredentials();
        try {
            Principal principal = new SislvPrincipal(certificate);
            log.info("Usuário identificado: " + principal);
            return principal;
        } catch (Exception e) {
            String message = "Falha ao tentar autenticar o certificado " + certificate.toString();
            logger.error(message, e);
            throw e;
        }
    }

    @Override
    protected Group[] getRoleSets() throws LoginException {

        CertificadoDigital certificado = certificado();

        try {
            Entidade entidade = entidadeDAO.findBy(certificado);
            String role = entidade.getTipoEntidade().toString();
            SimpleGroup roles = new SimpleGroup("Roles");
            SimplePrincipal user = new SimplePrincipal(role);
            roles.addMember(user);
            return new Group[] { roles };
        } catch (NoResultException e) {
            String msg = certificado + " não autorizado a acessar o web service.";
            logger.error(msg);
            throw new LoginException(msg);
        } catch (Exception e) {
            logger.error("Erro inesperado durante a autenticação", e);
            throw new LoginException();
        }
    }

    private CertificadoDigital certificado() throws LoginException {
        SislvPrincipal identity = null;
        try {
            identity = (SislvPrincipal) getIdentity();
            CertificadoDigital cert = new CertificadoDigital();
            cert.setCommonName(identity.getCommonName());
            cert.setSerial(identity.getSerial());
            cert.setCommonNameEmissor(identity.getCommonNameEmissor());
            return cert;
        } catch (Exception e) {
            logger.error("Erro inesperado durante a autenticação", e);
            throw new LoginException();
        }
    }

}

Configuração do JBoss pra ativar o LoginModule:

            <security-domain name="SislvSecurityDomain">
                <authentication>
                    <login-module code="br.gov.serpro.sislvws.security.loginmodule.SislvLoginModule" flag="required">
                        <module-option name="verifier" value="org.jboss.security.auth.certs.AnyCertVerifier" />
                    </login-module>
                </authentication>
                ...

1 Resposta 1

1

Opa, a principal coisa que tava faltando era ativar o interceptor RequiredRoleInterceptor no beans.xml. Além disso, eu estendi a classe ServletAuthorizer do Demoiselle para implementar o método hasRole. E, por fim, essa classe foi registrada no demoiselle.properties.

Agora a solução está funcionando, mas ainda queria melhorar um aspecto.

Eis a minha classe autorizadora:

    package br.gov.serpro.sislvws.ws.autorizacao;

    import javax.enterprise.context.RequestScoped;
    import javax.inject.Inject;

    import br.gov.frameworkdemoiselle.security.ServletAuthorizer;
    import br.gov.serpro.sislvws.security.loginmodule.RequestAutenticado;

    @RequestScoped
    public class RoleBasedAuthorizer extends ServletAuthorizer {

        private static final long serialVersionUID = 1L;

        @Inject
        private RequestAutenticado requestAutenticado;

        @Override
        public boolean hasRole(String role) throws Exception {
            String tipoEntidade = requestAutenticado.getEntidadeCliente().getTipoEntidade().toString();
            return tipoEntidade.equals(role);
        }

    }

Nessa solução, há uma repetição da lógica para se definir o papel do "usuário" logado. Essa lógica aparece getRoleSets do login module e no hasRole do autorizador. O que eu acharia melhor é se a definição do role ficasse apenas do login module, e se no autorizador eu conseguisse resgatar qual role já foi definido lá no login module.

Tentei buscas como "(jboss|jaas) retrieve role define on login module", mas ainda não consegui resolver.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .