노스웨일즈 김씨 시조의 블로그

송과장님이 휴가로 평창에 몇일간 쉬러 가신다기에 금욜날 끝나고 출발하여 함께 했다.

마침 본사 PVT 가 있었고  ( 하필 그것도 USN1이 걸려서 하루에 두대를 PVT )

마침 Node1 PVT 후 Issue가 발생하여 두 시간 정도 대기하는 바람에 더 늦어 지고

하는 수 없이 일단 출발하고 나는 T-Login으로 작업을 하기로 했는데

이효석 문화관에서 다들 주변 관광하는 동안 나는 차안에서 PVT하고

결국 식사하러 가서야 PVT를 끝낼 수 있었다.

사실 일하느라 곳곳에 보이는 아름다운 풍경을 다 느끼지 못해서 아쉽기는 하지만

그래도 오랜만에 밖에 나가 호젓한 정취를 느낄 수 있었다.

특히 이효석 생가 ( 생가터에는 이미 음식점이 들어서서 다른 지역에 복원했다고 한다.)터에 단체 관람객이 계신 덕분에 생가와 평양 시절 ( 숭실전문대 선생님을 하셨단다... 생각해보니 학교 홍보자료 같은 데서 본 기억이 살 짝 난다.) 지내셨던 집 복원한 사정이나 간단한 그 분의 인생 얘기를 듣게 되었다.

그리고 주변에 핀 메밀 밭도 구경하고...
식당가서 사진으로 나마 메밀 꽃 밭을 찍은 모습도 보고
( 다들 내년 봄에 다시 오시겠다는.. )

평창 곳곳에서 "메밀꽃 필 무렵"의 정취를 느낄 수 있었다.

올라오면서 원경이 시험끝나면 송과장님 처럼 호젓한 팬션 하나 빌려서 몇 일 쉬고 오는 것도 좋겠다는 생각이 들었다.

PVT 때문에 좀 그랬지만 나름 즐거운 여행 길이 었다.

뭐.. 그리고 T-Login으로 PVT 진행하면서 참 우리나라 IT 기술이 이렇게 발전했다는 것을 새삼 느낄 수 있었다.

public class LdapAuthenticationProvider implements AuthenticationProvider {

        private LdapAuthenticator authenticator;


        public Authentication authenticate(Authentication auth) throws AuthenticationException {


                // Authenticate, using the passed-in credentials.

                DirContextOperations authAdapter = authenticator.authenticate(auth);


                // Creating an LdapAuthenticationToken (rather than using the existing Authentication

                // object) allows us to add the already-created LDAP context for our app to use later.

                LdapAuthenticationToken ldapAuth = new LdapAuthenticationToken(auth, "ROLE_USER");

                InitialLdapContext ldapContext = (InitialLdapContext) authAdapter

                                .getObjectAttribute("ldapContext");

                if (ldapContext != null) {

                        ldapAuth.setContext(ldapContext);

                }


                return ldapAuth;

        }


        public boolean supports(Class clazz) {

                return (UsernamePasswordAuthenticationToken.class.isAssignableFrom(clazz));

        }


        public LdapAuthenticator getAuthenticator() {

                return authenticator;

        }


        public void setAuthenticator(LdapAuthenticator authenticator) {

                this.authenticator = authenticator;

        }

}

/**

 * Custom Spring Security LDAP authenticator which tries to bind to an LDAP server using the

 * passed-in credentials; does <strong>not</strong> require "master" credentials for an

 * initial bind prior to searching for the passed-in username.

 * 

 * @author Jason

 */

public class LdapAuthenticatorImpl implements LdapAuthenticator {


        private DefaultSpringSecurityContextSource contextFactory;

        private String principalPrefix = "";


        public DirContextOperations authenticate(Authentication authentication) {


                // Grab the username and password out of the authentication object.

                String principal = principalPrefix + authentication.getName();

                String password = "";

                if (authentication.getCredentials() != null) {

                        password = authentication.getCredentials().toString();

                }


                // If we have a valid username and password, try to authenticate.

                if (!("".equals(principal.trim())) && !("".equals(password.trim()))) {

                        InitialLdapContext ldapContext = (InitialLdapContext) contextFactory

                                        .getReadWriteContext(principal, password);


                        // We need to pass the context back out, so that the auth provider can add it to the

                        // Authentication object.

                        DirContextOperations authAdapter = new DirContextAdapter();

                        authAdapter.addAttributeValue("ldapContext", ldapContext);


                        return authAdapter;

                } else {

                        throw new BadCredentialsException("Blank username and/or password!");

                }

        }


        /**

         * Since the InitialLdapContext that's stored as a property of an LdapAuthenticationToken is

         * transient (because it isn't Serializable), we need some way to recreate the

         * InitialLdapContext if it's null (e.g., if the LdapAuthenticationToken has been serialized

         * and deserialized). This is that mechanism.

         * 

         * @param authenticator

         *          the LdapAuthenticator instance from your application's context

         * @param auth

         *          the LdapAuthenticationToken in which to recreate the InitialLdapContext

         * @return

         */

        static public InitialLdapContext recreateLdapContext(LdapAuthenticator authenticator,

                        LdapAuthenticationToken auth) {

                DirContextOperations authAdapter = authenticator.authenticate(auth);

                InitialLdapContext context = (InitialLdapContext) authAdapter

                                .getObjectAttribute("ldapContext");

                auth.setContext(context);

                return context;

        }


        public DefaultSpringSecurityContextSource getContextFactory() {

                return contextFactory;

        }


        /**

         * Set the context factory to use for generating a new LDAP context.

         * 

         * @param contextFactory

         */

        public void setContextFactory(DefaultSpringSecurityContextSource contextFactory) {

                this.contextFactory = contextFactory;

        }


        public String getPrincipalPrefix() {

                return principalPrefix;

        }


        /**

         * Set the string to be prepended to all principal names prior to attempting authentication

         * against the LDAP server.  (For example, if the Active Directory wants the domain-name-plus

         * backslash prepended, use this.)

         * 

         * @param principalPrefix

         */

        public void setPrincipalPrefix(String principalPrefix) {

                if (principalPrefix != null) {

                        this.principalPrefix = principalPrefix;

                } else {

                        this.principalPrefix = "";

                }

        }


}

/**

 * <p>

 * Authentication token to use when an app needs further access to the LDAP context used to

 * authenticate the user.

 * </p>

 * 

 * <p>

 * When this is the Authentication object stored in the Spring Security context, an application

 * can retrieve the current LDAP context thusly:

 * </p>

 * 

 * <pre>

 * LdapAuthenticationToken ldapAuth = (LdapAuthenticationToken) SecurityContextHolder

 *              .getContext().getAuthentication();

 * InitialLdapContext ldapContext = ldapAuth.getContext();

 * </pre>

 * 

 * @author Jason

 * 

 */

public class LdapAuthenticationToken extends AbstractAuthenticationToken {


        private static final long serialVersionUID = -5040340622950665401L;


        private Authentication auth;

        transient private InitialLdapContext context;

        private List<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>();


        /**

         * Construct a new LdapAuthenticationToken, using an existing Authentication object and

         * granting all users a default authority.

         * 

         * @param auth

         * @param defaultAuthority

         */

        public LdapAuthenticationToken(Authentication auth, GrantedAuthority defaultAuthority) {

                this.auth = auth;

                if (auth.getAuthorities() != null) {

                        this.authorities.addAll(Arrays.asList(auth.getAuthorities()));

                }

                if (defaultAuthority != null) {

                        this.authorities.add(defaultAuthority);

                }

                super.setAuthenticated(true);

        }


        /**

         * Construct a new LdapAuthenticationToken, using an existing Authentication object and

         * granting all users a default authority.

         * 

         * @param auth

         * @param defaultAuthority

         */

        public LdapAuthenticationToken(Authentication auth, String defaultAuthority) {

                this(auth, new GrantedAuthorityImpl(defaultAuthority));

        }


        public GrantedAuthority[] getAuthorities() {

                GrantedAuthority[] authoritiesArray = this.authorities.toArray(new GrantedAuthority[0]);

                return authoritiesArray;

        }


        public void addAuthority(GrantedAuthority authority) {

                this.authorities.add(authority);

        }


        public Object getCredentials() {

                return auth.getCredentials();

        }


        public Object getPrincipal() {

                return auth.getPrincipal();

        }


        /**

         * Retrieve the LDAP context attached to this user's authentication object.

         * 

         * @return the LDAP context

         */

        public InitialLdapContext getContext() {

                return context;

        }


        /**

         * Attach an LDAP context to this user's authentication object.

         * 

         * @param context

         *          the LDAP context

         */

        public void setContext(InitialLdapContext context) {

                this.context = context;

        }


}

B3 관련하여 본사 AD와 연동을 위해 Spring Security와 AD연동을 테스트 해 보았다.

아래와 같이 spring 설정을 하게 되면 Spring Security는 잘 동작 한다.

이 경우 인증 뿐만 아니라 AD의 그룹기능을 이용하여 Spring Security의 Role도 연동할 수 있게 된다. ( DefaultLdapAuthoritiesPopulator class의 "rolePrefix" 부분을 설정하면 AD의 그룹명 앞에 Prefix를 붙여서 작업할 수 있다. )

하지만 이 경우의 문제점은 AD의 관리자 권한을 가지고 있어야만 된다는 것이다.

여러 모로 생각해 보아도 우리에게 AD 관리자 권한을 열어 줄리는 만무한데...-.-

아래 내용은 http://maniezhilan.blogspot.com/2008/10/spring-security-204-with-active.html 에서 퍼왔음.

[applicationContext-security.xml]
 
<beans xmlns="http://www.springframework.org/schema/beans"
 xmlns:s="http://www.springframework.org/schema/security"
 xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
 xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd
 http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-2.0.1.xsd">
 <s:http>
         <s:intercept-url pattern="/secure/extreme/**" access="ROLE_eCommunications"/>
         <s:intercept-url pattern="/secure/**" access="IS_AUTHENTICATED_REMEMBERED"/>
         <s:intercept-url pattern="/**" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
         <s:form-login/>
         <s:anonymous/>
         <s:logout/>
 </s:http>
 <bean id="contextSource" class="org.springframework.security.ldap.DefaultSpringSecurityContextSource">
  <constructor-arg value="ldap://192.168.192.71:3268/DC=dev,DC=247realmedia,DC=co,DC=kr?sAMAccountName?sub?(objectClass=*)"/>
  <property name="userDn" value="CN=kim ducheol,CN=Users,DC=dev,DC=247realmedia,DC=co,DC=kr"/>
  <property name="password" value="XXXXXXX"/>
 </bean>
 <bean id="secondLdapProvider" class="org.springframework.security.providers.ldap.LdapAuthenticationProvider">
  <s:custom-authentication-provider />
  <constructor-arg>
   <bean class="org.springframework.security.providers.ldap.authenticator.BindAuthenticator">
    <constructor-arg ref="contextSource"/>
    <property name="userSearch">
     <bean id="userSearch" class="org.springframework.security.ldap.search.FilterBasedLdapUserSearch">
      <constructor-arg index="0" value=""/>
      <constructor-arg index="1" value="(&amp;(sAMAccountName={0})(objectclass=user))"/>
      <constructor-arg index="2" ref="contextSource" />
     </bean>    
    </property>
   </bean>
  </constructor-arg>
  <constructor-arg>
   <bean class="org.springframework.security.ldap.populator.DefaultLdapAuthoritiesPopulator">
    <constructor-arg ref="contextSource" />
    <constructor-arg value="" />
    <property name="rolePrefix" value="ROLE_"/>
    <property name="searchSubtree" value="true"/>
    <property name="convertToUpperCase" value="false"/>
   </bean>
  </constructor-arg>
 </bean>
</beans>

ActiveDirectoryTest.zip