Quelle configuration d'authentification jGuard?
jGuard distingue 3 types d'"utilisateurs" dans un environnement J2EE:
- administrateur
- developeur d'application web
- utilisateur d'application web
-
authentification 'classique'
l'authentification 'classique' fournit un bon niveau de sécurité. elle permet de protéger les ressources de l'application web face aux utilisateurs d'application web. chaque utilisateur d'application web sera authentifié, et le contrôle d'accès sera autorisé selon ses rôles.
Cette configuration d'authentification ne protégera pas les développeurs d'application web contre les développeurs d'autres applications web, et ne protégera pas les administrateurs. la première application web qui utilise jGuard configure toute la configuration de sécurité de la JVM.La configuration de l'authentification est plus facile, parce que tout est configuré dans le fichier web.xml de l'application web. Il n'y a pas besoin de configurer des choses du côté de la JVM. La sécurité est présente aprè que la première application web qui utilise jguard soit chargée par le serveur d'applications. Ce niveau de sérité est approrié pour ces cas d'utilisation:- l'applciation web est utilisée pour tester jGuard
- il n'y a qu'une seule application web sur le serveur d'applications
- il y a plusieurs applications web sur le serveur d'applications, et elles sont 'amicales' entre elles
- une application web 'amicale' est chargée en premier
-
authentification 'avancée'
l'authentification 'avancée' permet d'avoir le niveau de sécurité le plus haut possible, mais ceci est un peu plus compliqué à configurer:
vous avez à installer deux jars: un pour l'application web, et un dédié à la JVM.de plus, la configuration du 'bootclasspath' intervient, ce qui est moins facile et connu. Cette configuration permet de protéger les ressources des applications web face aux utilisateurs comme dans la configuration 'classique', de protéger les développeurs d'appliactions web contre d'autres applications web, et de protéger les administrateurs contre tous les développeurs d'applications web.l'administrateur de la machine peut aussi restreindre les droits de java pour se protéger des administrateurs de serveurs d'applications. Cette configuration est trè sécurisée, et peut être utilisée par des hébergeurs. Ceci est un modè de délégation de sérutié en cascade:
les utilisateurs d'applications web sont contrôlés par ebapp users are controlled by les développeurs d'applications ; les développeurs d'applications sont isolés des autres applications web(les autres développeurs d'applications web ne peuvent pas faire de dommages);développeurs d'applications web xont contrôlés les administrateurs des serveurs d'applications web, qui configure la sécurité de la JVM. l'administrateur du serveur d'applications web est contrôlé par l'administratuer du système d'éxploitation qui assigne des droits restreints à java.La sécurité de l'administrateur du système d'exploitation repose sur la sécurité du BIOS , qui repose sur la sécurité physique de la machine.
Pour avoir cette configuration très sécuisée, vous devez activer le securityManager.