Version: GSB 7Zugriffsbereich

Häufig werden auf Websites im Internet geschützte Zugriffsbereiche erstellt, um einer eingeschränkten Gruppe von Benutzern Informationen und/oder Services anzubieten, die nicht für die breite Öffentlichkeit vorgesehen sind.

Den Zugriff auf diese Bereiche bekommt ein Benutzer durch die Angabe seiner Identifikationsdaten, die sich aus einem Benutzernamen (Login) und einem Passwort zusammensetzen.

In den vorigen Versionen des Government Site Builders (GSB) konnten diese geschützten Bereiche projektspezifisch mit Hilfe von Mechanismen des Webservers oder Standardfunktionalitäten des Tomcat umgesetzt werden.

Der GSB verfügt über einen Standardmechanismus zur Erstellung und Verwaltung von geschützten Zugriffsbereichen. Dieser basiert auf der Nutzung des Spring-Security-Frameworks (vormals Acegi), einer Open-Source Sicherheitslösung auf Basis des Spring-Frameworks. Spring-Security läuft unter der Apache-Lizenz und kann daher Lizenzkosten frei eingesetzt werden.

Zu den wichtigsten Features von Spring-Security zählen:

• Die Webanwendungen werden durch Verwendung von Servlet Filtern geschützt (URL-Based Security)
• Einfache Integration der bestehenden Datenbank-Schemata und Daten
• Unterstützung von Sicherheit auf Methodenebene durch den Einsatz von Interceptoren (Aspektorientierung)
• Pluggable Architektur: alle Teile des Frameworks sind austausch- und erweiterbar
• Caching auf Basis der Spring ECACHE Technology

Die Administration der Zugriffsbereiche und deren Benutzer erfolgt über den neuen administrativen Mandanten „GSBAdmin“. Seit der GSB Version 7 stehen die in diesem Dokument beschriebene Administration der geschützten Zugriffsbereiche auch im Adminportal zur Verfügung.

Dieses Dokument beschreibt,

• wie geschützte Zugriffsbereiche mittels Tomcat Autorisierungs- und Authentifikationsmechanismen eingerichtet werden können und
• wie innerhalb des GSBAdmin-Mandanten Benutzer und Gruppen verwaltet werden können, d.h. wie diese angelegt, bearbeitet und auch wieder gelöscht werden.

Hinweis

Bis zur GSB Version 3.2 basierten GSB Sicherheitsmechanismen für die Erstellung von geschützten Bereichen auf dem Tomcat Realm-Mechanismus. Dazu wurden die geschützten Bereiche in der web.xml in sogenannten security contraints deklariert. Die Benutzer und Rollen wurden in einer von CoreMedia unabhängigen Datenbank gespeichert.

Dieser Mechanismus ist durch das Spring-Security-Framework ersetzt worden. Dabei können und sollen die DB-Tabellen mit Rollen- und Benutzer-Daten und alle damit verbundene Konfigurationsmechanismen (GSBAdmin-Mandant) weiterverwendet werden. Die Konfiguration der geschützten Bereiche wandert aber aus der Datei web.xml in die Datenbank.

Damit ist bei der Einrichtung neuer geschützten Bereichen kein Tomcat-Restart mehr nötig und man ist dadurch viel flexibler. Außerdem bietet das Spring-Security-Framework durch den Einsatz von Servlet-Filtern und Unterstützung von Sicherheit auf Methodenebene auch Möglichkeiten für die Weiterentwicklung der Sicherheitsmechanismen des GSB.