WildFly中security-realm和security-domain之间的区别

Question

WildFly中安全域和安全域之间的主要区别是什么？

standalone.xml

               <security-domain name="foo">             
                    <authentication>
                        <login-module code="..." flag="...">                           
                        </login-module>                                         
                    </authentication>
                </security-domain>

和

        <security-realm name="foo">
            <authentication>
                <local default-user="..." allowed-users="..." 
skip-group-loading="..."/>
                <properties path="..." relative-to="..."/>
            </authentication>
            <authorization>
                <properties path="..." relative-to="..."/>
            </authorization>
        </security-realm>

Answer 1

答案更新(2018-06-08)以反映WildFly Elytron命名.WildFly Elytron是WildFly 11(和JBoss EAP 7.1)中引入的新安全子系统.安全子系统 - 遗留系统和Elytron - 都有安全领域和安全领域的概念,但意义不同.

遗产安全

在安全域主要用于定义部署应用程序的安全性.安全域中的标准身份验证基于JAAS javax.security.auth.spi.LoginModule实现.应用程序可以提供自定义登录模块.

在安全领域,主要用于服务器管理界面和远程配置的安全性.领域身份验证基于提供的实现javax.security.auth.callback.CallbackHandler.AFAIK不可能提供自己的CallbackHandler实现.

安全域可以使用"RealmDirect"登录模块将身份验证委派给安全领域.

安全领域可以使用"jaas"身份验证配置将身份验证委派给安全域

另请参阅JBoss安全开发人员Darran Lofthouse的回复.

Elytron安全

在安全领域封装访问用户存储库(DB - JDBC的境界,LDAP - LDAP的境界,属性文件-属性-境界,...).与传统安全性相比,它与JAAS登录模块处于类似的水平.提供了API,因此可以实现自定义域.

在安全域代表使用安全领域进行身份验证的安全策略.安全域可用于管理安全性以及应用程序安全性.针对安全域的成功身份验证会生成SecurityIdentity代表当前用户的身份验证.

阅读JBoss EAP文档中的Elytron子系统章节,以获得更详细的Elytron组件概述.

要了解有关在Elytron安全域中控制身份验证流程的更多信息,请阅读Darran Lofthouse 撰写的这篇文章.

在Legacy和Elytron安全之间

如果您要从Legacy迁移到Elytron安全性,则可以将Legacy Security Domain公开为Elytron Security Realm.在Elytron子系统迁移指南中阅读有关此方案的更多信息