JMX+J2SE5.0實作Web應用的安全管理

<b>一、 引言</b>

　　JMX(Java管理擴充)提供了一組工具用來管理本地和遠端應用程式、系統對象、裝置等。本文将解釋如何 使用JMX(JSR 160)來遠端控制web應用程式，并将解釋應用程式中可用于JMX客戶的代碼，同時将展示使用如MC4J和jManage等的不同客戶如何連接配接到支援 JMX的應用程式。此外，我們還将詳細地讨論使用RMI協定和JNDI來保護通訊層。

　　首先我們要分析一個簡單的web應用程式，它監 控已經登陸的使用者數目并通過一個安全的JMX服務來顯示該項統計。我們還将運作這個應用程式的多個執行個體并且從所有的運作執行個體中跟蹤這個統計數字。當然，你 可以下載下傳這個示例web應用程式。它需要你安裝J2SE 5.0 SDK并且你的JAVA_HOME環境變量指向基安裝目錄。J2SE 5.0實作了1.2版本的JMX API和JMX 1.0版本的Remote API。同時還需要一個支援servlet的容器；我使用的是Apache Tomcat 5.5.12。另外，我還使用Apache Ant來建構這一示例應用程式。

　　<b>二、 建立示例應用程式</b>

　　首先，你要下載下傳示例應用程式并且使用 ant war(更多的細節見build.xml中的注釋)來建立一個WAR檔案。把jmxapp.war複制到Tomcat的webapps目錄。假定 Tomcat正在運作于你的本地機器的端口8080，那麼該應用程式的URL将是：

[url]http://localhost:8080/jmxapp[/url]

　　如果你看到一個提示你輸入名字和密碼的登陸螢幕，那麼一切已經就緒了。

　　<b>三、 跟蹤一些有意義的資料</b>

　 　本文中的應用程式使用Struts架構來送出登入表單。一旦送出結束，即執行LoginAction.execute(..)方法-它将簡單地檢查是否 使用者的ID為"hello"以及是否其密碼為"world"。如果二者都正确，那麼登入成功并且控制被導向login_success.jsp；如果不正 确，那麼我們傳回到登入表單。根據登入成功與否決定調用incrementSuccessLogins(HttpServletRequest)方法還是 incrementFailedLogins(HttpServletRequest)方法。現在，讓我們先分析一下 incrementFailedLogins（HttpServletRequest）：

private void incrementFailedLogins(HttpServletRequest request) {

HttpSession session = request.getSession();

ServletContext context =session.getServletContext();

Integer num = (Integer) context.getAttribute( Constants.FAILED_LOGINS_KEY);

int newValue = 1;

if (num != null) { newValue = num.intValue() + 1; }

context.setAttribute( Constants.FAILED_LOGINS_KEY, new Integer(newValue));

}

　 　這個方法增加一個在應用程式範圍存儲的FAILED_LOGINS_KEY變量。這個incrementSuccessLogins (HttpServletRequest)方法是以相似的方法實作的。該應用程式追蹤有多少人成功地登入和有多少人認證失敗。這真不錯，但是我們該如何存 取這些資料？這就是引入JMX的原因。

　　<b>四、 建立JMX MBeans</b>

　　MBeans基礎知識及其适于JMX架構的方面超出了本文所讨論的範圍。我們将為我們的應用程式簡單地建立、實作、暴露和保護一個MBean。我們所感興趣的是暴露相應與下列兩個方法的兩種資料。下面是我們的簡單MBean接口:

public interface LoginStatsMBean {

public int getFailedLogins();

public int getSuccessLogins();

　　這兩個方法簡單地傳回成功和失敗登陸的數目。LoginStatsMBean的實作-LoginStats，為上面兩種方法提供了一種具體的實作。讓我們分析一下getFailedLogins()實作：

public int getFailedLogins() {

ServletContext context = Config.getServletContext();

Integer val = (Integer) context.getAttribute( Constants.FAILED_LOGINS_KEY);

return (val == null) ? 0 : val.intValue();

　　該方法傳回一個存儲在ServletContext中的值。getSuccessLogins()方法是以相似的方式實作的。

　　<b>五、 建立和保護一個JMX代理</b>

　　管理應用程式的JMX相關方面的JMXAgent類有以下幾個責任：

　　1. 建立一個MBeanServer。

　　2. 用MBeanServer注冊LoginStatsMBean。

　　3. 建立一個JMXConnector以允許遠端客戶進行連接配接。

　　　o 包含對JNDI的使用。

　　　o 也必須有一個RMI注冊運作。

　　4. 使用一個使用者名和密碼保護JMXConnector。

　　5. 分别在應用程式啟動和停止時，啟動和停止JMXConnector。

　　JMXAgent的類輪廓是：

public class JMXAgent {

public JMXAgent() {

//初始化JMX伺服器

public void start() {

//啟動JMX伺服器

//在應用程式結束時調用

public void stop() {

//停止JMX伺服器

　　讓我們了解在該構造器的這部分代碼-它能夠使得客戶遠端地監控該應用程式。

　　<b>用MBeans建立一個MBeanServer</b>

　 　我們首先建立一個MBeanServer對象。它是JMX基礎結構的核心元件，它允許我們暴露我們的MBeans作為可管理的對象。 MBeanServerFactory.createMBeanServer(String)方法使得這一任務極為輕松。所提供的參數是伺服器的域。可以 把它當作這個MBeanServer的唯一的名字。然後，我們用MbeanServe來注冊LoginStatsMBean。 MBeanServer.registerMBean(Object，ObjectName)方法使用的參數有兩個：一個是MBean實作的一個執行個體；另 一個是類型ObjectName的一個對象-它用于唯一地辨別該MBean；在這種情況下，DOMAIN+":name=LoginStats"就足夠 了。

MBeanServer server = MBeanServerFactory.createMBeanServer(DOMAIN);

server.registerMBean(new LoginStats(),new ObjectName(DOMAIN+ ":name=LoginStats"));

<b>六、 建立JMXServiceURL</b>

　　到現在為止，我們已經建立了一個MBeanServer并且用它注冊了LoginStatsMBean。下一步是使得該伺服器對客戶可用。為此，我們必須建立一個JMXServiceURL-它描述了客戶将用來存取該JMX服務的URL：

JMXServiceURL url = new JMXServiceURL("rmi",null,

Constants.MBEAN_SERVER_PORT,

"/jndi/rmi://localhost:" +Constants.RMI_REGISTRY_PORT +"/jmxapp");

　　讓我們細緻地分析一下上面一行代碼。該JMXServiceURL構造器使用了四個參數：

　　1. 在連接配接時使用的協定(rmi，jmxmp，iiop，等等)。

　　2. JMX服務的主機。用localhost作為參數就足夠了。然而，提供null強制JMXServiceURL找到可能是最好的主機名。例如，在這種情況下，它将把null翻譯成zarar-這是我的計算機的名字。

　　3. JMX服務使用的端口。

　　4. 最後，我們必須提供URL路徑-它訓示怎樣找到JMX服務。在這種情況下，它會是/jndi/rmi://localhost:1099/jmxapp。

　 　其中，/jndi部分是指，客戶必須為JMX服務做一下JNDI查詢。rmi://localhost:1099訓示，存在一個運作于本機的端口 1099的RMI注冊。這裡的jmxapp是在RMI注冊中唯一辨別這個JMX服務的。在JMXServiceURL對象上的一個toString()産 生下列結果：

service:jmx:rmi://zarar:9589/jndi/rmi://localhost:1100/jmxapp

　　上面是客戶将最終使用來連接配接到該JMX服務的URL。J2SE 5.0文檔有關于這個URL結構的更為詳細的解釋。

　　(一) 保護服務

　　J2SE 5.0提供了一種有利于JMX用一種容易的方式進行使用者認證的機制。我建立了一個簡單的文本檔案-它存儲使用者名和密碼資訊。檔案的内容是：

zarar siddiqi

fyodor dostoevsky

　 　使用者zarar和fyodor被分别通過密碼siddiqi和dostoevsky認證。下一步是建立并保護一個 JMXConnectorServer，它暴露了該MbeanServer。username/password檔案的路徑被存儲在該鍵下的一個映射中- jmx.remote.x.password.file。這個映射在以後建立JMXConnectorServer時使用。

//得到存儲jmx使用者資訊的檔案

String userFile =context.getRealPath("/")+"/WEB-INF/classes/"+Constants.JMX_USERS_FILE;

//建立authenticator并且初始化RMI伺服器

Map&lt;string&gt; env = new HashMap&lt;string&gt;();

env.put("jmx.remote.x.password.file", userFile);

現在，讓我們建立JMXConnectorServer。下面一行代碼完成這一功能：

connectorServer = JMXConnectorServerFactory.

newJMXConnectorServer(url, env, server);

　 　這個JMXConnectorServerFactory.newJMXConnectorServer(JMXServiceURL，Map， MBeanServer)方法使用我們剛建立的三個對象作為參數-它們是JMXServiceURL，存儲認證資訊的映射和MBeanServer。其 中，connectorServer執行個體變量允許我們分别在應用程式啟動和停止時，分别用start()和stop()來啟動和停止 JMXConnectorServer。

　　提示 盡管JSR 160的J2SE 5.0實作相當有力；但是另外的實作，例如MX4J，也提供了一些類-它們提供了友善的特性，例如密碼混淆，也就是PasswordAuthenticator類。

　　<b>七、 啟動RMI注冊</b>

　　在早些時候，我提到RMI注冊并且指出當通路服務時執行一個JNDI查詢。然而，現在我們沒有一個正運作的RMI注冊，是以一個JNDI查詢将失敗。一個RMI注冊的啟動可以用手工方式或程式設計方式來實作。

　　(一) 使用指令行

　　在你的Windows或Linux指令行上，輸入下列一名來啟動一個RMI注冊:

rmiregistry &amp;

　　這将啟動你的預設主機和端口（分别是localhost和1109）的RMI注冊。然而，對于我們的web應用程式來說，我們不可能依賴一個在應用程式啟動時可用的RMI而甯願用程式設計方式來實作之。

　　(二) 以程式設計方式啟動RMI注冊

　 　為了以程式設計方式啟動RMI注冊，你可以使用LocateRegistry.createRegistry(int port)方法。該方法傳回類型注冊的一個對象。當我們想在應用程式一端終止這個注冊時，我們儲存這個參考。就在我們啟動我們的在 JMXAgent.start()中的JMXConnectorServer之前，我們首先啟動RMI注冊，使用下列代碼行：

registry = LocateRegistry.createRegistry(Constants.RMI_REGISTRY_PORT);

　　在應用程式一端，在JMXAgent.stop()中停止JMXConnectorServer之後，調用下列方法來終止該注冊:

UnicastRemoteObject.unexportObject(registry,true);

　　注意，StartupListener類觸發了應用程式開始和結束任務。

<b>八、 通路我們的JMX服務</b>

　　我們可以有好幾種方法來存取JSR 160服務。為此，我們可以通過程式設計或通過使用一個GUI來實作。

　　(一) 使用MC4J連接配接

　　通過把jmxapp.war複制到Tomcat的webapps目錄來釋出該應用程式。下載下傳并且安裝MC4J。一旦安裝完，建立一新的類型JSR 160的伺服器連接配接并且指定該伺服器URL-它在應用程式啟動時在應用程式伺服器日志中列印。在我的示例中，它是：

　 　提供使用者名和密碼，MC4J分别把它們參考為"Principle"和"Credentials"。點選Next将把你帶到一個螢幕-在此你可以定制你 的classpath。預設設定應該工作正常，并且你可以點選"Finish"來連接配接到該JMX服務。一旦建立連接配接，浏覽如圖1所示的MC4J樹結構，直 到你找到LoginStats MBean實作的"Properties"選項。

　　點選Properties顯示統計，如圖2所示：

　　(二) 使用jManage連接配接到一個"簇"

　 　通過把jmxapp.war複制到Tomcat的webapps目錄釋出該應用程式。請注意一下在應用程式啟動時所列印的URL。接下來，釋出這個應用 程式的另一個執行個體-通過改變Constants類中的RMI_REGISTRY_PORT并且MBEAN_SERVER_PORT變量，這樣該應用程式的 第二個執行個體就不會試圖使用已經在使用的端口了。改變在build.xml檔案中的app.name屬性，以便新的執行個體将被釋出到一個不同的上下文(例如， jmxapp2)。用ant建立一個清理的war檔案-它将在其目錄下建立jmxapp2.war。把jmxapp2.war複制到Tomcat的 webapps目錄。該應用程式将要釋出，而且現在你有相同應用程式的兩個執行個體在運作了。我再次提醒你注意在啟動時所列印的URL。

　　下載下傳和安裝jManage。一旦安裝了，使用jManage的web接口來建立一個JSR 160應用程式-通過使用首頁中的"添加新應用程式"連結。"添加應用程式"頁面顯示在圖3中：

　　為要釋出的第二個應用程式重複前面的步驟并再次使用适當的使用者名、密碼和URL。。一旦你建立了這兩個應用程式，你必須通過遵循在首頁中找到的"添加新應用程式簇"連結來建立一個簇。現在，把這兩個已經建立的應用程式添加到你的簇上，如圖4所示：

　 　好了，我們已經完成了！從首頁上，點選簇中的一個應用程式，然後點選"Find More Objects"按鈕。你将看到name=LoginStats MBean；點選它，則你就會看到我們已經暴露的FailedLogins和SuccessLogins屬性。點選在該同一頁面上的"Cluster View"連結将顯示與圖5相類似的一個頁面-其中，你可以看到兩個應用程式的運作計數統計：

　　試着登入到兩個應用程式([url]http://localhost:8080/jmxapp[/url]和[url]http://localhost:8080/jmxapp2[/url])并且觀察這些數字是怎樣改變的。

　　<b>九、 結論</b>

　 　現在你已經知道了怎樣使你的新的和現有web應用程式支援JMX并且安全地管理它們-使用MC4J和jManage。盡管J2SE 5.0提供了JMX說明書的一個有力的實作，但是另外的開源工程例如XMOJO和MX4J還提供了另外的特征，例如經由web接口甚至更多的方式的連接配接。 如果有興趣的讀者想了解更多地有關JMX的知識，你可以看一下J. Steven Perry寫的《Java Management Extensions》一書。如果你對遠端應用程式管理感興趣的話，Jeff Hanson寫的《Connecting JMX客戶and Servers》将是很有閱讀價值的，其中提供了許多真實世界的例子。

本文轉自朱先忠老師51CTO部落格，原文連結： http://blog.51cto.com/zhuxianzhong/60123，如需轉載請自行聯系原作者