Невозможно повысить уровень отладки журнала в tomcat6 с помощью jndi realm

Question

Я пытаюсь настроить Tomcat для подключения к базе данных ldap с использованием JNDI Realm, чтобы интегрировать с Active Directory. Тем не менее, я получаю следующую ошибку в своих журналах и не могу увеличить уровень журнала, чтобы увидеть, что на самом деле происходит.

Feb 19, 2014 10:10:41 AM org.apache.catalina.startup.Catalina load
INFO: Initialization processed in 1048 ms
Feb 19, 2014 10:10:42 AM org.apache.catalina.core.StandardService start
INFO: Starting service Catalina
Feb 19, 2014 10:10:42 AM org.apache.catalina.core.StandardEngine start
INFO: Starting Servlet Engine: Apache Tomcat/6.0.36
Feb 19, 2014 10:10:42 AM org.apache.catalina.realm.RealmBase init
FINE: Register Realm Catalina:type=Realm,realmPath=/realm0
Feb 19, 2014 10:10:42 AM org.apache.catalina.authenticator.AuthenticatorBase start
FINE: No SingleSignOn Valve is present
Feb 19, 2014 10:11:34 AM org.apache.catalina.authenticator.AuthenticatorBase start
FINE: No SingleSignOn Valve is present
Feb 19, 2014 10:11:44 AM org.apache.catalina.authenticator.AuthenticatorBase start
FINE: No SingleSignOn Valve is present
Feb 19, 2014 10:11:45 AM org.apache.catalina.startup.HostConfig deployDescriptor
INFO: Deploying configuration descriptor host-manager.xml
Feb 19, 2014 10:11:45 AM org.apache.catalina.authenticator.AuthenticatorBase start
FINE: No SingleSignOn Valve is present
Feb 19, 2014 10:11:45 AM org.apache.catalina.startup.HostConfig deployDescriptor
INFO: Deploying configuration descriptor manager.xml
Feb 19, 2014 10:11:45 AM org.apache.catalina.authenticator.AuthenticatorBase start
FINE: No SingleSignOn Valve is present
Feb 19, 2014 10:11:45 AM org.apache.coyote.http11.Http11Protocol start
INFO: Starting Coyote HTTP/1.1 on http-80
Feb 19, 2014 10:11:45 AM org.apache.catalina.startup.Catalina start
INFO: Server startup in 64228 ms
Feb 19, 2014 10:11:54 AM org.apache.catalina.authenticator.AuthenticatorBase invoke
FINE: Security checking request GET /tip/
Feb 19, 2014 10:11:54 AM org.apache.catalina.realm.RealmBase findSecurityConstraints
FINE:   Checking constraint 'SecurityConstraint[Secure Area]' against GET /index.jsp --> true
Feb 19, 2014 10:11:54 AM org.apache.catalina.realm.RealmBase findSecurityConstraints
FINE:   Checking constraint 'SecurityConstraint[Secure Area]' against GET /index.jsp --> true
Feb 19, 2014 10:11:54 AM org.apache.catalina.authenticator.AuthenticatorBase invoke
FINE:  Calling hasUserDataPermission()
Feb 19, 2014 10:11:54 AM org.apache.catalina.realm.RealmBase hasUserDataPermission
FINE:   User data constraint has no restrictions
Feb 19, 2014 10:11:54 AM org.apache.catalina.authenticator.AuthenticatorBase invoke
FINE:  Calling authenticate()
Feb 19, 2014 10:11:54 AM org.apache.catalina.authenticator.AuthenticatorBase invoke
FINE:  Failed authenticate() test

Моя конфигурация Realm в файле tomcat server.xml выглядит следующим образом: (очевидно, я удаляю конфиденциальную информацию)

  <!-- JNDI Realm authentication start -->
    <Realm className="org.apache.catalina.realm.JNDIRealm" debug="99"
        connectionURL="ldap://<ldap server goes here>:389"
        connectionName="cn=app,ou=service admin accounts,ou=users,o=iam"
        connectionPassword="password goes here"
        referrals="follow"
        userBase="ou=fil,ou=users,o=iam"
        userSearch="(AMAccountName={0})"
        userSubtree="true"
        roleBase="ou=groups,o=iam"
        roleName="cn"
        roleSubtree="true"
        roleSearch="(member={0})"
    /> 
  <!-- JNDI Realm authentication end -->

Мой tomcat logging.properties выглядит так:

# Licensed to the Apache Software Foundation (ASF) under one or more

# contributor license agreements.  See the NOTICE file distributed with

# this work for additional information regarding copyright ownership.

# The ASF licenses this file to You under the Apache License, Version 2.0

# (the "License"); you may not use this file except in compliance with

# the License.  You may obtain a copy of the License at

#

#     http://www.apache.org/licenses/LICENSE-2.0

#

# Unless required by applicable law or agreed to in writing, software

# distributed under the License is distributed on an "AS IS" BASIS,

# WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.

# See the License for the specific language governing permissions and

# limitations under the License.



handlers = 1catalina.org.apache.juli.FileHandler, 2localhost.org.apache.juli.FileHandler, 3manager.org.apache.juli.FileHandler, 4host-manager.org.apache.juli.FileHandler, java.util.logging.ConsoleHandler

.handlers = 1catalina.org.apache.juli.FileHandler, java.util.logging.ConsoleHandler



############################################################

# Handler specific properties.

# Describes specific configuration info for Handlers.

############################################################



1catalina.org.apache.juli.FileHandler.level = ALL

1catalina.org.apache.juli.FileHandler.directory = ${catalina.base}/logs

1catalina.org.apache.juli.FileHandler.prefix = catalina.

1catalina.org.apache.juli.FileHandler.bufferSize = -1



2localhost.org.apache.juli.FileHandler.level = ALL

2localhost.org.apache.juli.FileHandler.directory = ${catalina.base}/logs

2localhost.org.apache.juli.FileHandler.prefix = localhost.



3manager.org.apache.juli.FileHandler.level = ALL

3manager.org.apache.juli.FileHandler.directory = ${catalina.base}/logs

3manager.org.apache.juli.FileHandler.prefix = manager.



4host-manager.org.apache.juli.FileHandler.level = ALL

4host-manager.org.apache.juli.FileHandler.directory = ${catalina.base}/logs

4host-manager.org.apache.juli.FileHandler.prefix = host-manager.



java.util.logging.ConsoleHandler.level = ALL

java.util.logging.ConsoleHandler.formatter = java.util.logging.SimpleFormatter



############################################################

# Facility specific properties.

# Provides extra control for each logger.

############################################################

# Possible levels are: SEVERE, WARNING, INFO, CONFIG, FINE, FINER, FINEST or ALL



org.apache.catalina.realm.level = ALL

org.apache.catalina.realm.useParentHandlers = true

org.apache.catalina.authenticator.level = ALL

org.apache.catalina.authenticator.useParentHandlers = true



org.apache.catalina.core.ContainerBase.[Catalina].[localhost].level = ALL

org.apache.catalina.core.ContainerBase.[Catalina].[localhost].handlers = 2localhost.org.apache.juli.FileHandler



org.apache.catalina.core.ContainerBase.[Catalina].[localhost].[/manager].level = ALL

org.apache.catalina.core.ContainerBase.[Catalina].[localhost].[/manager].handlers = 3manager.org.apache.juli.FileHandler



org.apache.catalina.core.ContainerBase.[Catalina].[localhost].[/host-manager].level = ALL

org.apache.catalina.core.ContainerBase.[Catalina].[localhost].[/host-manager].handlers = 4host-manager.org.apache.juli.FileHandler



# For example, to log debug messages in ContextConfig and HostConfig

# classes and to log only warnings and errors in other

# org.apache.catalina.** classes, uncomment these lines:

#org.apache.catalina.startup.ContextConfig.level = FINE

#org.apache.catalina.startup.HostConfig.level = FINE

#org.apache.catalina.level = WARNING

Итак, как вы можете видеть, я попытался увеличить уровень журнала, добавив debug="99" в server.xml и изменив уровни реального и аутентификатора на ALL. Тем не менее, я все еще не получаю ничего, что выглядит полезным, за исключением ошибки Failed authenticate() test

Где остальная часть информации журнала? То, что я ожидаю, это увидеть, как выходит запрос LDAP.

Answer 1

Ваша настройка кажется мне подходящей. Так что мне интересно, вы уверены, что есть другие журналы, чтобы показать?

Как вы можете видеть в JavaDocs этой библиотеки, метод authenticate определяется следующим образом:

authenticate

protected abstract boolean authenticate(Request request,
                                        Response response,
                                        LoginConfig config)
                                 throws java.io.IOException

И описывается как:

Аутентифицируйте пользователя, делающего этот запрос, на основе указанной конфигурации входа в систему.

Вернуть true, если какое-либо указанное ограничение было выполнено, или false, если мы уже создали ответный запрос.

Параметры: request - Запрос, который мы обрабатываем, ответ. - Ответ, который мы создаем. Config. - Конфигурация входа, описывающая, как должна выполняться аутентификация.

Броски: java.io.IOException - если ошибка ввода / вывода происходит

Это означает, что метод сгенерирует ошибку (и некоторую информацию журнала с ней) только в случае ошибки ввода-вывода, в противном случае он просто вернет false (возможно, аутентификация прошла неправильно по какой-то другой причине).

Так что, если тот, кто вызывает этот метод, не обрабатывает "ложный" случай, регистрируя что-то значимое, а просто регистрируя "сбой аутентификации", может быть тот случай, когда ваша конфигурация сделана хорошо, и вы не можете получить дополнительную информацию из этого.

Answer 2

Я уже вижу проблему с вашей конфигурацией...

    referrals="follow"
    userBase="ou=fil,ou=users,o=iam"
    userSearch="(AMAccountName={0})"
    userSubtree="true"
    roleBase="ou=groups,o=iam"

должно быть

    referrals="follow"
    userBase="ou=fil,ou=users,o=iam"
    userSearch="(sAMAccountName={0})"
    userSubtree="true"
    roleBase="ou=groups,o=iam"

И, по моему опыту, транзакции между сервером Tomcat и сервером LDAP/AD будут отражены в журналах localhost..log, а не в журналах catalina....

Надеюсь, это поможет.