4.3. Data Grid 服务器验证机制
数据网格服务器自动配置端点，并提供与您的安全域配置匹配的身份验证机制。例如，如果您添加了 Kerberos 安全域，Data Grid Server 为 Hot Rod 端点启用 GSSAPI 和 GS2-KRB5 验证机制。
热环端点
当配置包含对应的安全域时，Data Grid 服务器为 Hot Rod 端点启用以下 SASL 身份验证机制：
| 安全域 | SASL 身份验证机制 |
|---|---|
| 属性域和 LDAP 域 |
SCRAM-*, SCRAM-*, |
| 令牌域 | OAUTHBEARER |
| 信任域 | EXTERNAL |
| Kerberos 身份 | GSSAPI, GS2-KRB5 |
| SSL/TLS 身份 | PLAIN |
REST 端点
当配置包含对应的安全域时，Data Grid 服务器为 REST 端点启用以下 HTTP 身份验证机制：
| 安全域 | HTTP 身份验证机制 |
|---|---|
| 属性域和 LDAP 域 | DIGEST |
| 令牌域 | BEARER_TOKEN |
| 信任域 | CLIENT_CERT |
| Kerberos 身份 | SPNEGO |
| SSL/TLS 身份 | BASIC |
4.3.1. SASL 验证机制
数据网格服务器支持以下 SASL 身份验证机制及 Hot Rod 端点：
| 身份验证机制 | 描述 | Security realm 类型 | 相关详情 |
|---|---|---|---|
|
|
以纯文本格式使用凭证。您应该只在加密连接中使用 | 属性域和 LDAP 域 |
与 |
|
|
使用哈希算法和非ce 值。热环连接器支持 | 属性域和 LDAP 域 |
与 |
|
|
除了哈希算法和非值外，还使用 salt 值。热环连接器支持 | 属性域和 LDAP 域 |
与 |
|
|
使用 Kerberos 票据并需要一个 Kerberos 域控制器。您必须在域配置中添加对应的 | Kerberos realms |
与 |
|
|
使用 Kerberos 票据并需要一个 Kerberos 域控制器。您必须在域配置中添加对应的 | Kerberos realms |
与 |
|
| 使用客户端证书。 | 信任存储域 |
与 |
|
|
使用 OAuth 令牌并且需要 | 令牌域 |
与 |
4.3.2. SASL 质量保护(QoP)
如果 SASL 机制支持完整性和隐私保护(QoP)设置，您可以使用 qop 属性将它们添加到 Hot Rod 端点配置中。
| QoP 设置 | 描述 |
|---|---|
|
| 仅身份验证. |
|
| 具备完整性保护的身份验证。 |
|
| 通过完整性和隐私保护进行身份验证. |
4.3.3. SASL 策略
SASL 策略提供对 Hot Rod 验证机制的精细控制。
Data Grid 缓存授权限制根据角色和权限对缓存的访问。配置缓存授权，然后设置 & lt;no-anonymous value=false /& gt; 以允许匿名登录并将访问逻辑委派给缓存授权。
| 策略 | 描述 | 默认值 |
|---|---|---|
|
| 仅使用支持会话间转发保密的 SASL 机制。这意味着，进入一个会话不会自动提供用于破坏未来会话的信息。 | false |
|
| 仅使用需要客户端证书的 SASL 机制。 | false |
|
| 请勿使用 SASL 机制，这些机制对于简单的纯被动攻击是不可避免的。 | false |
|
| 请勿使用 SASL 机制，这些机制容易激活、非字典、攻击。 | false |
|
| 不要使用受被动字典攻击的 SASL 机制。 | false |
|
| 不要使用接受匿名登录的 SASL 机制。 | true |
SASL 策略配置
在以下配置中，Hot Rod 端点使用 GSSAPI 机制进行身份验证，因为它是唯一符合所有 SASL 策略的机制：
XML
<server xmlns="urn:infinispan:server:13.0">
<endpoints>
<endpoint socket-binding="default"
security-realm="default">
<hotrod-connector>
<authentication>
<sasl mechanisms="PLAIN DIGEST-MD5 GSSAPI EXTERNAL"
server-name="infinispan"
qop="auth"
policy="no-active no-plain-text"/>
</authentication>
</hotrod-connector>
<rest-connector/>
</endpoint>
</endpoints>
</server>
JSON
{
"server": {
"endpoints" : {
"endpoint" : {
"socket-binding" : "default",
"security-realm" : "default",
"hotrod-connector" : {
"authentication" : {
"sasl" : {
"server-name" : "infinispan",
"mechanisms" : [ "PLAIN","DIGEST-MD5","GSSAPI","EXTERNAL" ],
"qop" : [ "auth" ],
"policy" : [ "no-active","no-plain-text" ]
}
}
},
"rest-connector" : ""
}
}
}
}
YAML
server:
endpoints:
endpoint:
socketBinding: "default"
securityRealm: "default"
hotrodConnector:
authentication:
sasl:
serverName: "infinispan"
mechanisms:
- "PLAIN"
- "DIGEST-MD5"
- "GSSAPI"
- "EXTERNAL"
qop:
- "auth"
policy:
- "no-active"
- "no-plain-text"
restConnector: ~
4.3.4. HTTP 验证机制
Data Grid Server 使用 REST 端点支持以下 HTTP 身份验证机制：
| 身份验证机制 | 描述 | Security realm 类型 | 相关详情 |
|---|---|---|---|
|
|
以纯文本格式使用凭证。您应该只使用带有加密连接的 | 属性域和 LDAP 域 |
对应于 |
|
|
使用哈希算法和非ce 值。REST 连接器支持 | 属性域和 LDAP 域 |
对应于 |
|
|
使用 Kerberos 票据并需要一个 Kerberos 域控制器。您必须在域配置中添加对应的 | Kerberos realms |
对应于 |
|
|
使用 OAuth 令牌并且需要 | 令牌域 |
对应于 |
|
| 使用客户端证书。 | 信任存储域 |
与 |
