Einsatz von Java EE Security für APEX mit Oracle REST Data Services

Transkript

1 Einsatz von Java EE Security für APEX mit Oracle REST Data Services Rico Haupt , Nürnberg

2 Zahlen und Fakten Robotron Datenbank-Software GmbH Gründungsjahr 1990 Geschäftsform GmbH (9 Gesellschafter) Mitarbeiterzahl 365 (Stand 10/2015) Stammkapital Umsatz 2014 Umsatz ,4 Mio. EUR 31,2 Mio. EUR 32,8 Mio. EUR Hauptsitz Oracle-Partner ISO 9001 zertifiziert Schulungs- und Kongresszentrum

3 Das Leistungsangebot von Robotron methodische und technologische Kompetenzen umfangreiches Fachwissen in den branchentypischen Prozessen

4 Agenda Einführung Vorbetrachtung Konzept Realisierung Fazit

5 Einführung Ausgangspunkt APEX Anwendung mit eigener Authentifizierung oder Custom Authentication Scheme zur Authentifizierung gegen das Active Directory Nutzung von Oracle REST Data Services Application Server: Tomcat und WebLogic

6 Einführung Ziel Integration von Standard APEX-Anwendungen in ein einheitliches Identity- und Access- Management (IAM) Integration des MS Active Directory Sichere Authentifizierung Single Sign-on Nutzung von Standardtechnologien Plattformübergreifend Application Server übergreifend (WebLogic Server, Apache Tomcat)

7 Vorbetrachtung IAM Identity- und Access-Management (IAM) Maßnahmen und Prozesse zur Verwaltung von Identitätsdaten Identifizierung, Authentifizierung und Autorisierung

8 Vorbetrachtung Gründe für IAM Umsetzung von Sicherheitsrichtlinien Effektive Verwaltung von Benutzer- und Gruppeninformationen Authentifizierung, Autorisierung und Zugriffskontrolle Single Sign-on (SSO)

9 Vorbetrachtung APEX Oracle Application Express (APEX) Entwicklungsumgebung für web-basierte Anwendungen in der Datenbank Leichtgewichtige, schnelle und kostengünstige Entwicklung von Web-Anwendungen mod_plsql in Java Bereitstellung von REST Data Services (ab APEX 4.2.x)

10 Vorbetrachtung APEX Deployment Installation von APEX in die Datenbank Bereitstellung des HTTP Listeners über drei Möglichkeiten Oracle HTTP Server mit mod_plsql Embedded PL/SQL Gateway der Datenbank Oracle REST Data Services (ehemals APEX Listener)

11 Vorbetrachtung Oracle REST Data Services (ORDS) Java basierte Anwendung Kostenlos Support für Application Server: WebLogic Server Oracle Glassfish Server Apache Tomcat

12 Vorbetrachtung REST (kurz und knapp) REST = Representational State Transfer umfasst Architekturprinzipien für die Entwicklung von Web Services einfacher als SOAP Prinzipien: Verwendung von HTTP Methoden (GET, POST, PUT, DELETE, ) URIs repräsentieren Resourcen Datenbeschreibungen in JSON, HTML, CSV, Stateless

13 Vorbetrachtung APEX Deployment mit ORDS APEX in Datenbank ords.war deployed in Application Server Client Zugriff über HTTP Port des Application Server APEX Anwendung authentifiziert Benutzer

14 Konzept ords.war ist Java Web-Anwendung -> Nutzung von Java Technologien Authentifizierung/SSO mit SPNEGO/Kerberos APEX Anwendung authentifiziert Benutzer nicht selbst, sondern übernimmt Nutzeridentität Integration der Nutzerbasis im Active Directory in den Application Server Konfiguration des Application Server zur Auswertung von SPNEGO Token

15 Konzept technologische Grundlagen Kerberos: Ist ein Ticket-basiertes Authentisierungssystem Authentifizierung erfolgt durch eine vertrauenswürdige dritte Instanz Sicherheit basiert auf Basis geheimer Schlüssel wobei zu keinem Zeitpunkt Passwörter übertragen werden SPNEGO (Simple and Protected GSS-API Negotiation Mechanism): Mechanismus, zum Aushandeln von Sicherheitsverfahren zwischen zwei Partnern Sicherheitsverfahren ist dabei per Standard austauschbar SPNEGO und Kerberos sind Grundlage der Integrierten Windows Authentifizierung in Active Directory Domänen

16 Konzept technologische Grundlagen JEE Container-managed Security JEE Container/Server übernimmt Authentifizierung/Autorisisierung deklarativ über Deployment Descriptor (web.xml) Implementierung und Umsetzung durch Hersteller von JAAS-Modulen JAAS (Java Authentication and Authorization Services) Standard für die Implementierung von Authentifizierungs/Autorisisierungsfunktionen Austauschbar Transparent für die Anwendungen Bereits implementierte Module in Java enthalten

17 Konzept Anwendungsdeployment (Istzustand) Windows Client Application Server Browser ORDS 1 2 APEX DB 3 Active Directory 1. Browser ruft APEX Anwendung über HTTP auf 2. ORDS leitet Anfragen per JDBC an die APEX DB weiter 3. APEX authentifiziert Benutzer per DBMS_LDAP

18 Konzept Anwendungsdeployment (Sollzustand) Windows Client Application Server 2 Browser 4 ORDS 6 APEX DB Active Directory/KDC 1.Nutzer authentisiert sich bei Anmeldung an Windows-Domäne und erhält TGT-Ticket 2. Client greift auf ORDS zu, Negotiation findet statt 3. Client authentisiert sich mit TGT und erhält Session-Ticket für Application Server 4. Client ruft APEX Anwendung über HTTP auf und wird authentifiziert über SPNEGO/Kerberos 5. Application Server prüft ob Benutzer bekannt 6. ORDS leitet Anfragen mit Nutzeridentität per JDBC an die APEX DB weiter

19 Realisierung Integration des Active Directory als Nutzerbasis im Tomcat TOMCAT_HOME/conf/server.xml: <Realm classname="org.apache.catalina.realm.jndirealm" debug="99" connectionurl="ldap://active-directory-hostname:389" authentication="simple" referrals="follow" connectionname="cn=ldapuser,cn=users,dc=test,dc=de" connectionpassword="passwort" usersearch="(samaccountname={0})" userbase="cn=users,dc=test,dc=de" usersubtree="true" rolesearch="(uniquemember={0})" rolename="cn" rolesubtree="true" rolebase="cn=groups,dc=test,dc=de"/>

20 Realisierung Integration des Active Directory als Nutzerbasis im WebLogic Server Anlegen eines AD Authentication Provider

21 Realisierung Integration des Active Directory als Nutzerbasis im WebLogic Server Anlegen eines Identity Asserter zur Ermittlung der Nutzer ID aus SPNEGO-Token

22 Realisierung Integration des Active Directory als Nutzerbasis im WebLogic Server Abarbeitungsreihenfolge der Authentication Provider festlegen Identity Asserter ermittelt Nutzer ID Authenticator stellt Nutzerbasis bereit Wenn Nutzer ID als Benutzer bekannt ist, ist die Authentifizierung erfolgreich

23 Realisierung Hinzufügen der Kerberos JVM Parameter im Tomcat Editieren der TOMCAT_HOME/bin/catalina.sh: export JAVA_OPTS="-Dsun.security.krb5.debug=true -Djavax.security.auth.useSubjectCredsOnly=false -Djava.security.auth.login.config=/opt/oracle/krb5Login.conf - Djava.security.krb5.realm=TEST.DE -Djava.security.krb5.kdc=test.de $JAVA_OPTS"

24 Realisierung Hinzufügen der Kerberos JVM Parameter im WebLogic Server Managed Server Startup Argumente hinzufügen:

25 Realisierung Konfiguration der Verwendung des JAAS Kerberos Login Modules Erstellen der krb5login.conf: com.sun.security.jgss.krb5.initiate { com.sun.security.auth.module.krb5loginmodule required principal="http/apphost.test.de@test.de" usekeytab="true" keytab="/opt/tomcattest/http_apphost.test.de.keytab" storekey="true" debug="true"; }; com.sun.security.jgss.krb5.accept { com.sun.security.auth.module.krb5loginmodule required principal="http/apphost.test.de@test.de" usekeytab="true" keytab="/opt/tomcattest/http_apphost.test.de.keytab" storekey="true" debug="true"; };

26 Realisierung Konfiguration der Container-managed Security im Tomcat <security-constraint> <web-resource-collection> <web-resource-name>success</web-resource-name> <url-pattern>/*</url-pattern> <http-method>get</http-method> <http-method>post</http-method> </web-resource-collection> <auth-constraint> <role-name>*</role-name> </auth-constraint> </security-constraint> <login-config> <auth-method>spnego</auth-method> </login-config> <security-role> <role-name>*</role-name> </security-role>

27 Realisierung Konfiguration der Container-managed Security im WebLogic Server <security-constraint> <web-resource-collection> <web-resource-name>success</web-resource-name> <url-pattern>/*</url-pattern> <http-method>get</http-method> <http-method>post</http-method> </web-resource-collection> <auth-constraint> <role-name>users</role-name> </auth-constraint> </security-constraint> <login-config> <auth-method>client-cert</auth-method> </login-config> <security-role> <role-name>users</role-name> </security-role>

28 Realisierung ORDS Konfiguration und APEX Anbindung java -jar ords.war Eingabe von: Konfigurationsverzeichnis Datenbank-Host Datenbank-Port Datenbank-SID/Service Name APEX_PUBLIC_USER APEX_PUBLIC_USER Passwort APEX_REST_PUBLIC_USER (optional) APEX_REST_PUBLIC_USER Passwort (optional) APEX_LISTENER (optional) APEX_LISTENER Passwort (optional)

29 Realisierung ORDS Deployment Tomcat Server: Kopieren von ords.war ins Verzeichnis TOMCAT_HOME/webapps WebLogic Server: java weblogic.deployer -username weblogic -password passwort -adminurl t3://localhost: deploy -source ords.war

30 Realisierung Deployment des APEX Image Verzeichnisses Tomcat Server: Kopieren von APEX_DIR/images nach TOMCAT_HOME/webapps/i WebLogic Server: Konfiguration des image-pfads als virtuellen Verzeichnispfad. Das image-verzeichnis muss auf dem System vorhanden sein! java -jar ords.war static /opt/oracle/apex/images Deployen des entstandenen i.war: java weblogic.deployer -username weblogic -password passwort -adminurl t3://localhost: deploy -source i.war

31 APEX Erstellung des Authentifizierungsschemas

32 APEX Konfiguration des Authentifizierungsschemas der Anwendung

33 Fazit Integration einer APEX-Anwendung in ein IAM System aus Active Directory mit sichere Authentifizierung und SSO Java Application Server übernimmt Authentifizierung für Anwendung Zugriff einschränkbar auf bestimmten Rollen Nutzung bestehender Infrastruktur (Application Server, Active Directory) Keine zusätzlichen IAM-Produkte

34 Engineered Systems Community ODA HandsOn-Workshop an allen 3 Konferenz-Tagen von 09:00 17:00 Uhr (Ebene 2, Foyer Oslo unweit vom Robotron-Stand 226) Dem Trend von integrierten Systemen folgend, organisiert Robotron Im Rahmen der DOAG Konferenz einen Oracle Database Appliance (ODA) HandsOn Workshop (ODAattack). Interessierte Teilnehmern haben im Rahmen diese Workshops die Gelegenheit, sich intensiv und praktisch mit den Features der ODA zu befassen. Gründungstreffen der Interessengemeinschaft Engineered Systems am von 17:00 19:00 Uhr (2. Etage, Foyer Oslo unweit vom Robotron-Stand 226) Gemeinsam mit Oracle, der DOAG und der ISE veranstaltet Robotron das Gründungstreffen der Interessengemeinschaft Engineered Systems. Ziel ist eine zentrale Anlaufstelle für den Austausch von Informationen und Kanalisierung von Knowhow für Interessenten und Nutzern von Engineered Systems.

35 Vorträge auf der DOAG Konferenz 2015 Java EE Security für APEX mit Oracle REST Data Services Rico Haupt , 11 Uhr, Raum Prag Schwerpunkt: Middleware MS WPF Entwicklung unter Verwendung von Oracle Technologien Torsten Bartuschk , 13 Uhr, Raum Budapest Schwerpunkt: Development Geovisualisierung in APEX Bianca Böckelmann , 15 Uhr, Raum St. Petersbrug Schwerpunkt: Development Erfolgreich konsolidieren auf der Oracle Database Appliance Marco Mischke , 16 Uhr, Konferenzraum EG Schwerpunkt: Infrastruktur Erfahrungsbericht einer Migration nach Oracle 12c Thomas Lehmann , 10 Uhr, Raum Kiew Schwerpunkt: Oracle ODA virtualisiert: Erfahrungen aus der Praxis Marco Friebe , 13 Uhr, Raum Budapest Schwerpunkt: Infrastruktur Integration von C++-Legacy-Anwendungen mit Java via JNI Matthias Müller , 10 Uhr, Raum Krakau Schwerpunkt: Java Tipps und Tricks bei der Nutzung von EclipseLink (JPA) Falko Steglich , 13 Uhr, Raum Budapest Schwerpunkt: Java BI Publisher-Praxis: Komplexe Reports und Apex-Dokugenerator Frank Effenberger , 16 Uhr, Raum Helsinki Schwerpunkt: BI & DWH

36 Weitere Informationen Besuchen Sie uns am Robotron-Stand (Ebene 2, Stand 226) Wir sind mit Themen zum Robotron Oracle Support, Engineered Systems, Business Intelligence und Data Warehouse Lösungen sowie eigenen Produkten wie dem BIArchitect vertreten. Außerdem können Sie beim Biathlon-Übungsschießen Ihre eigene Treffsicherheit testen.

37 Fragen?