Jaki jest właściwy sposób na oddzielenie serwera zasobów i serwera autoryzacji?

Question

Używanie spring-security-oauth2 do zabezpieczenia moich zasobów przed punktem końcowym SSO, który może działać jako serwer autoryzacji. Jestem nieco zdezorientowany, gdy dokumentacja stanowi:

Rola dostawcą w OAuth 2.0 jest faktycznie podzielone między usługą autoryzacji i użyteczności zasobów, a jednocześnie te czasem przebywania w tym samym wniosku, ze sprężyną bezpieczeństwa OAuth masz możliwość podzielenia ich na dwie aplikacje, a także posiadanie wielu usług zasobów, które współdzielą usługę autoryzacji.

Ale nie sądzę, że znalazłem przykład tego zdarzenia. W sparklr/tonr serwer autoryzacji i serwer zasobów znajdują się w tej samej aplikacji. Jedyny przykład, który widziałem po przeszukaniu, to this spring-servlet.xml, który wymaga this wykonania niestandardowego ResourceServerTokenServices do pracy.

Chciałbym uniknąć pisania niestandardowej implementacji ResourceServerTokenServices, jeśli w ogóle możliwe. Czy istnieje inny sposób na obsługę zewnętrznego serwera autoryzacji na serwerze zasobów? Coś w rodzaju:

<bean class="com.example.ExternalAuthorizationServerTokenServices" 
    p:remote-url="https://my-oauth-compatible-sso.com" 
    p:token-endpoint="/oauth/access_token" 
    p:authorize-endpoint="/oauth/authorize" /> 

Czy to możliwe?

* EDYCJA: Dodam, że jako obejście (lub może to jest zamierzone rozwiązanie) używam magazynu znaczników jdbc i polegając na fakcie, że oba serwery mają dostęp do tej bazy danych.

Answer 1

można oddzielić otwartych zasobów i chronionych zasobów w wiosenno-security.xml

Wzór/api/** będą chronione i inne zasoby będą otwarte.

<!-- Protected resources --> 
    <http pattern="/api/**" create-session="never" use-expressions="true" 
     entry-point-ref="oauthAuthenticationEntryPoint" 
     access-decision-manager-ref="accessDecisionManager" 
     xmlns="http://www.springframework.org/schema/security"> 
     <anonymous enabled="false" /> 
     <intercept-url pattern="/api/**" 
      access="hasAnyRole('ROLE_USER','ROLE_ADMIN')" /> 
     <custom-filter ref="resourceServerFilter" before="PRE_AUTH_FILTER" /> 
     <!-- <access-denied-handler ref="oauthAccessDeniedHandler"/> --> 
     <access-denied-handler ref="oauthAccessDeniedHandler" /> 
    </http> 

Answer 2

dla kogoś, kto może być zainteresowany jest również inny przykład do oddzielania serwer uwierzytelniania serwera i zasobów znaleźć tutaj: https://github.com/sharmaritesh/spring-angularjs-oauth2-sample