|
DefaultAuthenticator 的默认安全领域中进行配置的。
LDAPAuthenticator) 或选择预定义的 LDAP 提供程序并进行自定义。请参阅访问其他 LDAP 服务器。
Admin 角色才能启动 WebLogic Server 并使用 LDAP 目录中的用户或组。请在 LDAP 目录中执行下列操作之一：
SSLEnabled 特性启用 SSL。
LDAPAuthenticator)，也可以选择与新 LDAP 服务器最匹配的现有 LDAP 提供程序并对现有配置进行自定义，以使其与 LDAP 服务器的目录 Schema 和其他特性相匹配。
directory.knowledge.com:1050、people.catalog.com 和 199.254.1.2。LDAP 服务器的状态如下：
directory.knowledge.com:1050 已关机
people.catalog.com 已启动
199.254.1.2 已启动
directory.knowledge.com。在 10 秒后，连接尝试将超时，WebLogic Server 将尝试连接到下一台指定的主机 (people.catalog.com)。WebLogic Server 然后使用 people.catalog.com 作为该连接的 LDAP 服务器。
|
|
|
|
|
directory.knowledge.com:1050
people.catalog.com
199.254.1.2 |
|
|
|
|
|
|
directory.knowledge.com。在 1 秒（由并行连接延迟特性指定）之后，连接尝试将超时，WebLogic Server 将尝试同时连接到下一台指定的主机 (people.catalog.com) 和 directory.knowledge.com。如果连接到 people.catalog.com 成功，WebLogic Server 将使用 people.catalog.com 作为该连接的 LDAP 服务器。WebLogic Server 在连接到 people.catalog.com 成功后，将取消到 directory.knowledge.com 的连接。
|
|
|
|
|
directory.knowledge.com:1050
people.catalog.com
199.254.1.2 |
|
|
|
|
|
|
tokenGroups 选项将其配置为执行组成员资格查找。 tokenGroups 选项以系统 ID (SID) 值的数组形式拥有用户的整个组成员资格。SID 值在 Active Directory 中经过了特殊的索引编制，可以产生极快的查找响应。请参阅配置 Active Directory 身份验证提供程序以提高性能。
cn。
tokenGroups 选项，请设置下列特性（在管理控制台上，这些特性位于 Active Directory 身份验证提供程序的“配置: 提供程序特定”页上）：
tokenGroups 查找算法替换标准的递归组成员资格查找算法。默认情况下不启用此选项。
| 注意： |
需要有访问 tokenGroups 选项的权限（这意味着，访问 LDAP 目录的用户必须有权读取 tokenGroups 选项并且 tokenGroups 选项必须位于用户对象的 Schema 中）。 |
| 注意： |
SQL 语句引用的表必须位于数据库中；提供程序将不会创建它们。可以根据需要修改这些特性，以与数据库的 Schema 相匹配。但是，如果数据库 Schema 与此默认的 Schema 根本不同，则可能需要改用自定义 DBMS 身份验证提供程序。 |
smith。复合用户名将用户名与域名组合在一起，可采用类似 domain\smith 或 smith@domain 的形式。
DOMAIN。
LIST 并指定一个域控制器列表。执行此操作时需满足以下条件：
smith 而非 smith@domain 或 domain\Smith 的用户名进行登录）。
LIST 并在“域控制器列表”特性中为要使用的可信域指定域控制器的名称。此外，还应考虑是使用本地计算机和本地域控制器的显式名，还是在它们的列表中使用占位符。在“域控制器列表”特性中可以使用下列占位符：
LogonType 特性的适当值取决于需要能够对其进行身份验证的用户的 Windows NT 登录权限：
interactive。
network。
user@domain 形式。可以配置 Windows NT 身份验证提供程序如何处理包含 @ 字符但可能不是 UPN 名的用户名，方法是设置 Windows NT 身份验证提供程序中的 mapUPNNames 特性。
mapUPNNames 特性的默认值 FIRST。但是，可能需要考虑将该设置更改为 ALWAYS 以减少检测到身份验证失败所需的时间量。在指定了较长的域控制器列表时尤为如此。
mapUPNNames 特性设置为 FIRST。
mapUPNNames 特性设置为 LAST。
mapUPNNames 特性设置为 NEVER。
CLIENT-CERT，则 WebLogic Server 中的 Web 应用程序容器将对请求头信息和 Cookie 中的值执行标识声明。如果该头信息名或 Cookie 名与已配置标识声明提供程序的活动标记类型匹配，则将值传递给该提供程序。
|
|
|
|
|
指示协商标识声明提供程序和 Servlet 筛选器是否应在将 Web 应用程序配置为执行 FORM 身份验证时进行协商。 |
|
|
此协商标识声明提供程序用于身份验证的标记类型。可用的标记类型为 Authorization.Negotiate 和 WWW-Authenticate.Negotiate。 应确保同一安全领域中配置的其他标识声明提供程序都未将此特性设置为 X509。 |
AuthenticationStatement 来声明的。SAML 标识声明提供程序还可以确保该声明以前从未使用过。如果需要在某个服务器实例上部署 SAML 声明使用者服务，则必须配置 SAML 标识声明提供程序。
WL-Proxy-Client-<TOKEN> 形式的头信息，其中 <TOKEN> 是默认安全领域中为标识声明提供程序配置的活动标记类型之一。
| 注意： |
不赞成使用此方法，应仅将其用于实现向后兼容性。 |
<TOKEN> 形式的头信息，其中 <TOKEN> 是默认安全领域中为标识声明提供程序配置的活动标记类型之一。
<TOKEN> 形式的 Cookie，其中 <TOKEN> 是默认安全领域中为标识声明提供程序配置的活动标记类型之一。
FOO 和 BAR 标记作为活动标记类型，（在以下示例中，假定除活动标记类型外，HTTP 请求中不包含任何与标识声明相关的内容），则将按照以下方式执行标识声明：
FOO 头信息并通过双向 SSL 连接传入，则将使用 X.509 进行标识声明。
FOO 头信息和 WL-Proxy-Client-BAR 头信息，则将使用 BAR 标记进行标识声明。
FOO 头信息和 BAR Cookie，则将使用 FOO 标记进行标识声明。
FOO 头信息和 BAR 头信息，则将使用 FOO 或 BAR 标记进行标识声明，但未指定具体使用哪一个标记。
FOO Cookie 和 BAR Cookie，则将使用 FOO 或 BAR 标记进行标识声明，但未指定具体使用哪一个标记。
<run-as> 标记；使用标识声明但未在 HTTPSession 中进行缓存（例如，在签名和加密 XML 文档时）的其他情况。
-Dweblogic.security.identityAssertionTTL 命令行参数设置主题可以在缓存中生存的最大秒数，以此来更改该缓存中项目的生命周期。该命令行参数的默认值为 300 秒（即 5 分钟）。其可能的值包括：
| 注意： |
随着标识声明性能的不断提高，标识声明提供程序对已配置身份验证提供程序中的更改的响应速度会越来越慢。例如，在用户组中进行某项更改后，只有从缓存中刷新并重新创建主题，才会反映出该项更改。在为该命令行参数设置较低的值后，可以提高身份验证更改的响应速度，但会降低性能。 |
weblogic.security.providers.authentication.UserNameMapper 接口的实现。该接口可根据符合需要的任何 Scheme 将标记映射到 WebLogic Server 用户名。默认情况下，WebLogic Server 将提供 weblogic.security.providers.authentication.UserNameMapper 接口的默认实现。您也可以编写自己的实现。
smith@example.com) 映射到 WebLogic Server 安全领域中的用户 (smith)。使用 WebLogic 标识声明提供程序的“默认用户名映射器特性类型”和“用户名映射器特性的默认分隔符”特性可以定义以下信息：
C、CN、E、L、O、OU、S and STREET。
weblogic.security.providers.authentication.UserNameMapper 接口的实现。随后可以使用 WebLogic 标识声明提供程序的“用户名映射器类名”特性来在活动安全领域中配置该自定义用户名映射器。
|
