Tomcat аутентификация SPNEGO против Active Directory, не работающего

Примечание: следующее только возможно, если можно физически установить больше дисков в систему, не удаляя старые диски сначала.

один метод, который я успешно использовал для задач как это, должен использовать rsync, чтобы создать и заполнить новую файловую систему, в то время как существующая файловая система все еще используется, затем запланируйте сокращение - к новой фс в удобное время. это минимизирует время простоя, и оно минимизирует работу после закрытия, потому что объем копии может быть сделан, в то время как система все еще работает обычно.

общее время простоя является только временем, которое требуется, чтобы сделать финал rsync и реконфигурирование (шаги 8-12 ниже).

на Linux можно даже использовать, ионизируются для предоставления rsync заданию низкого приоритета IO минимизировать влияние производительности, потому что действительно не имеет значения вообще, сколько времени rsync берет. Я ожидаю, что freebsd имел бы подобные возможности.

общая процедура проходит примерно так:

  1. предупредите пользователей, что будет короткое отключение электричества (достаточно долго, чтобы Вы завершили работу машины, и установите новые диски). этот шаг не необходим, если Ваш сервер имеет отсеки замены в горячем режиме.

  2. в запланированное время установите новые диски и создайте новый массив RAID и файловую систему с помощью них.

  3. смонтируйте его как, скажем,/mnt

  4. rsync Ваша старая файловая система к нему

  5. повторяйте шаг 4 так часто, как Вы хотите. можно задержать следующие шаги неограниченно долго, пока у Вас нет подходящего окна времени для завершения задания.

  6. запланируйте некоторое время простоя и предупредите пользователей.

  7. сразу ПЕРЕД отключением электричества, выполненным rsync снова.

  8. завершите работу ВСЕХ процессов (например, MTA и демоны поп/IMAP и т.д.), которые пишут в затронутую файловую систему. если это - корневая фс или если существуют многочисленные демоны, использующие фс, то это означает перезагрузку в однопользовательский режим.

  9. теперь, когда старая фс статична (не обновляемый), сделайте один финал rsync., это не займет много времени, потому что новая фс уже будет почти актуальна. после этого новая фс теперь будет полным актуальным снимком старой фс.

  10. реконфигурируйте то, что необходимо так, чтобы новая фс использовалась вместо старой фс, если это - корневая фс, которая означает писать MBR в новый диск, редактируя fstab, и так далее. если это - просто раздел данных затем umount новая фс, то umount, в котором старые фс, и монтируют новую фс, он - место. отредактируйте fstab для отражения новой установки.

  11. осторожно проверьте, что Вы ничего не забыли :). зафиксируйте и повторитесь, пока не сделано.

  12. теперь перезапустите процессы, которых Вы завершаете работу (или просто перезагрузка).

можно ликвидировать и удалить старые диски на досуге.

Я использовал изменения этого метода для движущихся сервисов от одной машины до другого, например, при замене стареющий файловый сервер с новым. основная идея состоит в том, чтобы минимизировать видимое пользователем время простоя как можно больше путем выполнения большей части копирования в фоновом режиме.

0
задан 25 March 2010 в 15:03
1 ответ

Принятие Вас использует веб-браузер, работающий на той же машине как Tomcat для удара hello_spnego.jsp страницы, вот то, что я воображаю, продолжается:

  1. Вы не устанавливаете параметр конфигурации SpnegoHttpFilter "spnego.allow.localhost".

  2. В то время как справочник для фильтра (http://spnego.sourceforge.net/reference_docs.html) указывает, что эта установка принимает значение по умолчанию ко лжи, прочтение через исходный код (строка SpnegoFilterConfig.java 80) указывает на этот параметр значения по умолчанию к истинному.

  3. То, когда этот параметр будет иметь значение true SpnegoHttpFilter, обойдет аутентификацию и вместо этого просто установит аутентифицируемый принципал на Tomcat учетной записи пользователя, работает под. Поэтому Вы получаете результат “SYSTEM@TESTDOMAIN”.

Если мое начальное предположение корректно, попытайтесь поразить hello_spnego.jsp страницу от удаленной машины, и это должно выполнить фактическую аутентификацию. (Вы, возможно, должны включить аутентификацию Kerberos для своего браузера.)

Обратите внимание, что автор фильтра активен при ответе на вопросы через форумы проекта SourceForge по http://sourceforge.net/projects/spnego/forums/

0
ответ дан 5 December 2019 в 17:44

Теги

Похожие вопросы