Java Authentication and Authorization Service

Сервіс Автентифікації та Авторизації Java (англ. Java Authentication and Authorization Service, скор. JAAS) — стандарт API Java SE і реалізація системи інформаційної безпеки PAM.^[1] JAAS була представлена як розширювана бібліотека до Java SE 1.3, і була інтегрована як обов'язковий пакет у версії 1.4

Головною метою JAAS є відділення автентифікації та авторизації користувачів від основної програми, щоб управляти ними незалежно від програми. Минулий механізм автентифікації працював лише на основі того звідки отримано виконуваний код (наприклад, локального кодом надавалося більше привілеїв, ніж кодом отриманому з інтернету), але сучасна версія JAAS, також використовує інформацію про те, хто саме запустив код. JAAS є повністю розширюваною, тим самим він дозволяє створювати власні механізми автентифікації та авторизації.

Адміністрування

З точки зору системного адміністратора, JAAS складається з двох видів конфігураційних файлів:

*.login.conf: визначає які логін-модулі і як необхідно задіяти в програмі
*.policy: визначає якими наділені привілеями користувачі або програми

Наприклад, додаток може використовувати цей файл login.conf, що визначає, які різні механізми автентифікації необхідно виконати, щоб автентифікувати користувача:

 PetShopApplication {
 com.sun.security.auth.module.LdapLoginModule sufficient;
 com.foo.SmartcardLoginModule requisite;
 com.sun.security.auth.module.UnixLoginModule required debug=true;
 }

Програмний інтерфейс

Для розробника додатків, JAAS це стандартна бібліотека, яка забезпечує:

подання сутності (Principal) і набору повноважень (Subject)
сервіс входу, який викликає ваш додаток, щоб дізнатися автентифікаційні дані користувача його ім'я та пароль. Цей сервіс повертає новий суб'єкт (Subject)
сервіс, який перевіряє, чи наділений суб'єкт необхідними повноваженнями для запуску будь-якого коду.

Впровадження системи безпеки

Для впровадження системи безпеки, JAAS забезпечує наступні інтерфейси:

для додавань повноважень до потоків (Subject)
для розробки логін-модулів. Розроблюваний модуль викликає функції зворотного виклику, щоб запросити користувача, перевіряє цей запит і генерує об'єкт класу Subject.