Authentifizieren mit Active Directory mit Java unter Linux

Hier der code, den ich zusammen gestellt habe, basierend auf Beispiel aus diesem blog: LINK und diese Quelle: LINK.

import com.sun.jndi.ldap.LdapCtxFactory;
import java.util.ArrayList;
import java.util.Hashtable;
import java.util.List;
import java.util.Iterator;
import javax.naming.Context;
import javax.naming.AuthenticationException;
import javax.naming.NamingEnumeration;
import javax.naming.NamingException;
import javax.naming.directory.Attribute;
import javax.naming.directory.Attributes;
import javax.naming.directory.DirContext;
import javax.naming.directory.SearchControls;
import javax.naming.directory.SearchResult;
import static javax.naming.directory.SearchControls.SUBTREE_SCOPE;

class App2 {

    public static void main(String[] args) {

        if (args.length != 4 && args.length != 2) {
            System.out.println("Purpose: authenticate user against Active Directory and list group membership.");
            System.out.println("Usage: App2 <username> <password> <domain> <server>");
            System.out.println("Short usage: App2 <username> <password>");
            System.out.println("(short usage assumes 'xyz.tld' as domain and 'abc' as server)");
            System.exit(1);
        }

        String domainName;
        String serverName;

        if (args.length == 4) {
            domainName = args[2];
            serverName = args[3];
        } else {
            domainName = "xyz.tld";
            serverName = "abc";
        }

        String username = args[0];
        String password = args[1];

        System.out
                .println("Authenticating " + username + "@" + domainName + " through " + serverName + "." + domainName);

        //bind by using the specified username/password
        Hashtable props = new Hashtable();
        String principalName = username + "@" + domainName;
        props.put(Context.SECURITY_PRINCIPAL, principalName);
        props.put(Context.SECURITY_CREDENTIALS, password);
        DirContext context;

        try {
            context = LdapCtxFactory.getLdapCtxInstance("ldap://" + serverName + "." + domainName + '/', props);
            System.out.println("Authentication succeeded!");

            //locate this user's record
            SearchControls controls = new SearchControls();
            controls.setSearchScope(SUBTREE_SCOPE);
            NamingEnumeration<SearchResult> renum = context.search(toDC(domainName),
                    "(& (userPrincipalName=" + principalName + ")(objectClass=user))", controls);
            if (!renum.hasMore()) {
                System.out.println("Cannot locate user information for " + username);
                System.exit(1);
            }
            SearchResult result = renum.next();

            List<String> groups = new ArrayList<String>();
            Attribute memberOf = result.getAttributes().get("memberOf");
            if (memberOf != null) {//null if this user belongs to no group at all
                for (int i = 0; i < memberOf.size(); i++) {
                    Attributes atts = context.getAttributes(memberOf.get(i).toString(), new String[] { "CN" });
                    Attribute att = atts.get("CN");
                    groups.add(att.get().toString());
                }
            }

            context.close();

            System.out.println();
            System.out.println("User belongs to: ");
            Iterator ig = groups.iterator();
            while (ig.hasNext()) {
                System.out.println("   " + ig.next());
            }

        } catch (AuthenticationException a) {
            System.out.println("Authentication failed: " + a);
            System.exit(1);
        } catch (NamingException e) {
            System.out.println("Failed to bind to LDAP /get account information: " + e);
            System.exit(1);
        }
    }

    private static String toDC(String domainName) {
        StringBuilder buf = new StringBuilder();
        for (String token : domainName.split("\\.")) {
            if (token.length() == 0)
                continue; //defensive check
            if (buf.length() > 0)
                buf.append(",");
            buf.append("DC=").append(token);
        }
        return buf.toString();
    }

}

InformationsquelleAutor der Antwort DV.

Als ioplex und andere gesagt haben, gibt es viele Möglichkeiten. Eine authetifizierung unter Verwendung von LDAP (Novell LDAP-API), die ich verwendet habe etwas wie:

LDAPConnection connection = new LDAPConnection( new LDAPJSSEStartTLSFactory() );
connection.connect(hostname, port);
connection.startTLS();
connection.bind(LDAPConnection.LDAP_V3, username+"@"+domain, password.getBytes());

Als "special feature" erlaubt Active Directory LDAP-Bindungen gegen "user@domain", ohne mit dem distinguished name des Kontos. Dieser code verwendet StartTLS zu aktivieren die TLS-Verschlüsselung für die Verbindung; die andere alternative ist LDAP über SSL, das ist nicht unterstützt durch meine AD-Server.

Der eigentliche trick ist bei der Suche nach den server-und host; der offizielle Weg ist die Verwendung eines DNS-SRV (service) - Datensatz-lookup zu suchen, ein Bündel von Kandidaten-hosts, dann eine UDP-basierte LDAP - "ping" (in einer bestimmten Microsoft-format), um den korrekten server. Wenn Sie interessiert sind, ich habe geschrieben einige blog-Artikel über meine Reise, Abenteuer und Entdeckungen in diesem Bereich.

Wenn Sie wollen, um die Kerberos-basierte Benutzer/Passwort-Authentifizierung, die Sie suchen, in einem anderen Kessel der Fische, es ist machbar mit dem Java GSS-API-code, obwohl ich bin nicht sicher, es führt den letzten Schritt bei der überprüfung der Authentifizierung. (Der code tun, die Validierung, kann sich an den AD-server überprüfen Sie den Benutzernamen und das Passwort, die Ergebnisse in einem ticket-granting-ticket für den Benutzer, aber um sicherzustellen, dass der AD-server wird nicht imitiert, sondern dass es auch zu versuchen ein ticket zu bekommen, für die der Benutzer selbst, die ist etwas komplizierter.)

Wenn Sie wollen, um die Kerberos-basierten single sign-on (vorausgesetzt, dass Ihr Benutzer in der Domäne authentifiziert, die Sie tun können, dass auch mit dem Java GSS-API-code. Ich würde post ein code-Beispiel, aber ich muss immer noch meine hässlichen Prototyp in etwas Passform für das menschliche Auge. Check-out einige code von SpringSource für einige inspiration.

Wenn Sie auf der Suche für die NTLM - (ich wurde zu verstehen gegeben, ist weniger sicher) oder etwas anderes, gut, Glück.

InformationsquelleAutor der Antwort Tommy McGuire

Wenn alles, was Sie tun möchten, ist die Authentifizierung gegen AD mit Kerberos -, dann eine einfache http://spnego.sourceforge.net/HelloKDC.java Programm sollte es tun.

Werfen Sie einen Blick auf das Projekt "pre-flight" - Dokumentation, die Vorträge über die HelloKDC.java Programm.

InformationsquelleAutor der Antwort Pat Gonzalez

ldap-Authentifizierung ohne SSL ist nicht sicher und kann jeder Benutzer einsehen der Anmeldeinformationen ldap client transfer usernamae und Kennwort bei der ldap bind-operation, So verwenden Sie Immer ldaps-Protokoll.
Quelle: Ldap-Authentifizierung Active directory in Java, Spring Security mit Beispiel

InformationsquelleAutor der Antwort Seema Kiran