SSL in Tomcat mit Axis2

[chris_L_1980]

Hi,

wie genau kann man im Tomcat einstellen, wann er SSL verwenden soll?

Ich habe ein Axis-Archiv, welches 2 verschiedene WSDL-Dateien enthält, also auch über verschiedene URLs ansprechbar ist.

Ist es möglich, im Tomcat sowas einzustellen, wie:
- Alle eingehenden Verbindungen an www.meine-url.de/projekt1 müssen SSL ohne Client-Authentifikation und alle eingehenden Verbindungen an www.meine-url.de/projekt2 müssel SSL mit Client-Authentifikation verwenden?

MfG

PS: Die Domain http:// www.meine-url.de/ ist nur ein erdachtes Beispiel...

 

[nillehammer]

Also mit Authentication bei Webservices kenne ich mich nicht aus, aber der Tomcat kann (auch gleichzeitig mit http) auf https Lauschen. Das wird über Connector-XML-Elemente in der server.xml gemacht. Näheres findest Du auf der Tomcat-Doku: Apache Tomcat Configuration Reference (6.0.35) - The HTTP Connector, Apache Tomcat 6.0 (6.0.35) - SSL Configuration HOW-TO

Deine Projekte projekt1 und projekt2 würde ich als eigenständige Webanwendungen implementieren. Innerhalb dieser kannst Du dann die Sicherheitsanforderungen umsetzen. Die Sicherheitsanforderungen von "normalen" Webanwendugnen werden in der web.xml des jeweiligen Projekts mittels security-constraint-Elementen definiert. Dort kann man auch normales HTTP-Auth einstellen.

 

[maki]

AFAIK gibt es in Tomcat nur eine SSL Konfiguration pro Connector/Port.

Denke du wirst einen Apache HTTPD per mod_jk vorschalten müssen, dieserunerstützt mehr Konfigurations-Szenarios.

 

[chris_L_1980]

Da ich aber Axis2 nutze, habe ich nur eine gemeinsame web.xml für alle Projekte...

Noch einen Webserver davor schalten, würde ich auch ungerne, da der Tomcat für meine Testzwecke völlig ausreicht.

Da meine 2 "Projekte" zu 90% den gleichen Code benutzen, würde ich die auch gerne in einem Axis-Archiv behalten. Der eine Teil bildet die Client2Server-Kommunikation und der andere Teil die Server2Server-Kommunikation über SOAP ab. Und bei der Server2Server-Kommunikation hätte ich halt gerne zusätzlich noch Client-Authentifizierung aktiviert.

 

[chris_L_1980]

Mutual Authentication with CLIENT-CERT, Tomcat 6, and HttpClient Two Guys Arguing

ich vermute, in dem Blogeintrag von der oben genannten URL wird mein Problem gelöst. Da wird in der web.xml abhängig von der URL (in dem Beispiel:

<url-pattern>/secure/*</url-pattern>

) noch zusätzlich Client-Authentifizierung gewollt durch die security-constraint. Mich stört jetzt noch an dem Beispiel da oben, dass man den User, der Zugriff haben soll, vorher schon kennen muss und in der tomcat-users.xml eintragen muss. Dies ist bei mir aber nicht machbar.
Meine Frage jetzt: Weiß jemand, ob man in der security-constraint den auth-constraint-Eintrag leer lassen kann oder ob man etwas eintragen kann, so dass es für alle gilt?