Spring Security  2.0 다운로드 파일에 들어있는 예제를 이해하는데 도움을 주기 위해 두 가지 작업만 했다.

• jsp를 한글로 변경해서 톰캣에 올려서 보면서 이해하기 쉽게 함
• 이클립스 프로젝트로 변경

이클립스 인코딩은 UTF-8로 설정해야 한다. JDK 6.0, Tomcat 6에서 테스트한 것이다. 다운로드 파일에 예제가 하나 뿐인 것이 아쉽지만, 레퍼런스가 있어서 사용하는데 무리가 없을 것 같다. 설정이 완전히 바뀌었지만, 내부 메커니즘 이해를 위해서는 5회 KSUG 세미나에 진행한 내용이 여전히 유용한 것 같다.



Todo 목록: 아래 사항을 쉽게 쓸 수 있는 래퍼 혹은 적용을 도울 예제 만들기

• Simplified namespace-based configuration syntax. Old configurations could require hundreds of lines of XML but our new convention over configuration approach ensures that many deployments will now require less than 10 lines.
• OpenID integration, which is the web's emerging single sign on standard (supported by Google, IBM, Sun, Yahoo and others)
• Windows NTLM support, providing easy enterprise-wide single sign on against Windows corporate networks
• Support for JSR 250 ("EJB 3") security annotations, delivering a standards-based model for authorization metadata
• AspectJ pointcut expression language support, allowing developers to apply cross-cutting security logic across their Spring managed objects
• Substantial improvements to the high-performance domain object instance security ("ACL") capabilities
• Comprehensive support for RESTful web request authorization, which works well with Spring 2.5's @MVC model for building RESTful systems
• Long-requested support for groups, hierarchical roles and a user management API, which all combine to reduce development time and significantly improve system administration
• An improved, database-backed "remember me" implementation
• Support for portlet authentication out-of-the-box
• Support for additional languages
• Numerous other general improvements, documentation and new samples
• New support for web state and flow transition authorization through the Spring Web Flow 2.0 release
• New support for visualizing secured methods, plus configuration auto-completion support in Spring IDE
• Enhanced WSS (formerly WS-Security) support through the Spring Web Services 1.5 release

출처: http://www.infoq.com/news/2008/04/spring-security

참고사항: Pathway from ACEGI to Spring Security 2.0

번역 요청을 했던 글이다.

Acegi로 자바 애플리케이션 보안화 하기, Part 3: 자바 객체를 위한 액세스 컨트롤 (한글)

시리즈 마지막 편으로 가장 세밀한 객체 및 메소드 보안을 다루고 있다.  보안 기능이 부가된 빈이 아마도 영어로 'secured  bean'같은데 이를 보안 빈이라 한 부분이 좀 어색하다. 그렇지만, 원문 내용이 워낙 좋고 번역에 크게 무리는 없어 보인다. run-as-replacement라고 하는 메커니즘까지 설명하고 있다.

자습하기엔 다소 어려울 수도 있는 보안부분인지라 소중한 아티클이다.

이전 시리즈 소개:

• "Acegi로 자바 애플리케이션 보안화 하기, Part 1: 아키텍처 개요와 보안 필터 (한글)" (Bilal Siddiqui, developerWorks, 2007년 11월): Acegi Security System을 이용한 URL 기반 보안.
  
  
• "Acegi로 자바 애플리케이션 보안화 하기, Part 2: LDAP 디렉토리 서버 사용하기 (한글)" (Bilal Siddiqui, developerWorks, 2008년 1월): 액세스 컨트롤 정책을 작성하고, 이것을 ApacheDS에 저장하고 나서, 인증과 권한에 디렉토리 서버와 인터랙팅 하도록 Acegi를 설정하는 방법을 설명한다.

지난 KSUG 모임에서 Acegi(Spring Security) 발표할 때 모태로 삼았던 글을 번역해서 올렸습니다. 이전에 요청한 것인데 빠르게 대응해주셨네요. 발표 전에 공유했던 글을 보면 개념 정리하는데 도움이 될 수 있습니다. 발표 자료를 안올렸네요. 강의할 때 요청하신 분도 있었는데 주말에 짬을 내서 정리해야겠습니다.

Acegi로 자바 애플리케이션 보안화 하기, Part 1: 아키텍처 개요와 보안 필터 (한글)은 빠르게 Acegi를 읽히고자 할 때 매우 좋은 글입니다. 꼭 필요한 요소들만 간결하게 설명하고 있습니다. 샘플 코드 역시 불필요한 내용이 전혀 없어 KSUG 발표때도 활용했습니다. ^^

좋은 시나리오, 간결한 글, 좋은 샘플도 좋지만, 복잡한 내용에 대해서는 그림으로 묘사해서 별 다섯개를 주고 싶은 글입니다. 추후 LDAP 연계와 객체/메소드 보안을 다룰 2, 3 부가 이어지겠죠?

5회 사용자 모임 발표 시나리오 사전 공유


해야 할 일에 대해서.. 그림을 그릴 수 있는 것들은 옮겨본다.

1. Servlet Filter 대신 Bean을 쓰기

web.xml 이 아니라 스프링으로 설정하기 위해서 FilterChainProxy 활용



그림만 쭉 이어봐도 대략의 스토리가 나온다.
주요 필터들

Manager와 Provider 관계

계층적으로 보기

실제 클래스 배열해보기
Security Interceptor 종류


Security Interceptor 의 collaborator

참고

• Securing Java applications with Acegi, Part 1: Architectural overview and security filters: http://www.ibm.com/developerworks/java/library/j-acegi1/
  
• Spring in Action, 2nd edition, Craig Walls, Ryan Breidenbach, Manning 7장

이번 KSUG 세미나에서 발표할 주제라서 흥미가 간다.
시리즈 형태인 원문을 한 번 읽어볼 생각인데, 마치  IBM DW 개발자사이트(이하 DW) RSS 에 다음 포스트가 올라왔다:
Acegi를 사용한 자바 애플리케이션 보안, Part 3: 자바 객체를 위한 액세스 컨트롤

아쉽게도 시리즈 전부가 번역은 되어 있지 않았다.
KSUG 기선, 찬욱군이 DW에서 번역을 하고 있는데 없다는 것이 의외다.
그래서, 페이지의 내용을 따라 번역을 요청 메일을 보냈다.