【Java安全技术探索之路系列：Java可扩展安全架构】之十四：JAAS（一）：JAAS架构介绍

作者：郭嘉
邮箱：allenwells@163.com
博客：http://blog.csdn.net/allenwells
github：https://github.com/AllenWell

JAAS，即Java认证和授权服务。

• 认证是通过验证用户或设备的身份来判断真实性和可信赖性的过程。
• 授权是根据提出请求的身份被授予的权限来提供访问资源或执行功能的权限。

JAAS为基于Java的应用解决方案提供了支持认证和授权所需的API机制和服务。JARS是可插人认证模块(Pluggable Authentication Module)框架的Java实现，该框架最初是为Sun公司的Solaris操作系统开发的。PAM允许插入认证机制，使应用可以独立于底层的认证技术。通过使用PAM, JARS认证模
块允许集成认证技术，如Kerberos, RSA、智能卡和生物特征认证系统。

基于JARS的认证和授权架构如下图所示：

在端到端的应用安全模型中，JAAS为Java应用提供了认证和授权机制，并使它们能独立于JARS提供者实现。JARS API框架的功能分为两大类:

• 认证：JARS为验证和确定代码执行者的身份提供了可靠的和安全的API机制。
• 授权：JARS根据通过认证的身份来控制执行功能的权限。JARS使用基于身份的细粒度访问控制。