Estoy tratando de eliminar el uso de AJP de una instalación existente por razones de seguridad, pero no puedo encontrar información sobre cómo hacerlo.
Específicamente, mi configuración original de Apache tiene directivas JKMount, que he reemplazado con directivas ProxyPass y ProxyPassReverse, pero la autenticación Kerberos original ya no parece pasar a Tomcat.
(Ahora tengo mod_proxy_http y mod_proxy habilitados).
Google definitivamente no es mi amigo en este caso.
Realmente no existe una forma estándar de reenviar el nombre de usuario autenticado de Apache a Tomcat usando mod_proxy_http , pero puede crear uno fácilmente:
X-Forwarded-User (si tenemos un usuario autenticado): RequestHeader unset X-Forwarded-User RequestHeader set X-Forwarded-User "expr=%{REMOTE_USER}" "expr=-n %{REMOTE_USER}"$CATALINA_BASE/lib ) una Valve en el lado de Tomcat que recuperará el X-Forwarded-User de hosts "confiables" : import java.io.IOException; import java.util.regex.Pattern; import javax.servlet.ServletException; import org.apache.catalina.connector.CoyotePrincipal; import org.apache.catalina.connector.Request; import org.apache.catalina.connector.Response; import org.apache.catalina.valves.ValveBase; public class RemoteUserValve extends ValveBase { private static String remoteUserHeader = "X-Forwarded-User"; // Same as in RemoteIpValve private static Pattern internalProxies = Pattern .compile("10\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}|" + "192\\.168\\.\\d{1,3}\\.\\d{1,3}|" + "169\\.254\\.\\d{1,3}\\.\\d{1,3}|" + "127\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}|" + "172\\.1[6-9]{1}\\.\\d{1,3}\\.\\d{1,3}|" + "172\\.2[0-9]{1}\\.\\d{1,3}\\.\\d{1,3}|" + "172\\.3[0-1]{1}\\.\\d{1,3}\\.\\d{1,3}|" + "0:0:0:0:0:0:0:1|::1"); @Override public void invoke(Request request, Response response) throws IOException, ServletException { if (internalProxies.matcher(request.getRemoteAddr()).matches()) { final String user = request.getHeader(remoteUserHeader); if (user != null && !user.isEmpty()) { request.setUserPrincipal(new CoyotePrincipal(user)); } } getNext().invoke(request, response); } }servers.xml <Engine name="Catalina"> <Valve className="fully.qualified.name.RemoteUserValve" /> ... </Engine>No lo consideraría muy seguro, pero proporciona el mismo nivel de seguridad que la función AJP equivalente.