Tomcat 8.5中LDAP组映射至安全角色失效问题排查求助

我之前也踩过Tomcat LDAP角色映射的坑，结合你的配置和日志来看，核心问题是**security-role-ref的配置逻辑搞反了**，再加上针对Active Directory的JNDIRealm配置细节没调整到位，下面给你具体的解决步骤：

1. 修正web.xml中的security-role-ref配置 #

security-role-ref的作用是把应用定义的逻辑角色（比如你配置的tomcat）映射到Realm实际返回的角色（这里是LDAP组的标识），你的配置刚好写反了标签内容：

• <role-name>：填应用里的逻辑角色（也就是auth-constraint里要求的tomcat/role1）
• <role-link>：填Realm返回的实际角色（LDAP组的DN或cn名称）

修正后的web.xml配置块：

<!-- Security roles referenced by this web application -->
<security-role>
  <role-name>role1</role-name>
</security-role>
<security-role>
  <role-name>tomcat</role-name>
</security-role>
<security-role-ref>
  <role-name>tomcat</role-name> <!-- 应用逻辑角色 -->
  <role-link>CN=LDAP_GROUP,OU=Groups,DC=<sub_dc>,DC=<dc>,DC=com</role-link> <!-- LDAP组的完整DN -->
</security-role-ref>

2. 调整JNDIRealm适配Active Directory的配置 #

从你的userSearch="(sAMAccountName={0})"可以看出用的是Active Directory，而AD的组成员属性是member而非uniqueMember（后者是OpenLDAP常用的），同时你可以配置roleName="cn"让Tomcat直接返回组的名称而非完整DN，这样映射更简洁：

修改$TOMCAT_HOME/conf/server.xml中的JNDIRealm配置：

<Realm className="org.apache.catalina.realm.LockOutRealm">
  <Realm className="org.apache.catalina.realm.UserDatabaseRealm" resourceName="UserDatabase"/>
  <Realm className="org.apache.catalina.realm.JNDIRealm" 
         connectionURL="ldap://<ldap_host>:3268" 
         connectionName="<ldap_bind_dn>" 
         connectionPassword="<ldap_pw>" 
         connectionTimeout="3000" 
         referrals="follow" 
         userBase="DC=<sub_dc>,DC=<dc>,DC=com" 
         userSubtree="true" 
         userSearch="(sAMAccountName={0})" 
         userRoleName="memberOf" 
         roleBase="DC=<sub_dc>,DC=<dc>,DC=com" 
         roleSubtree="true" 
         roleSearch="(member={0})" <!-- 替换为AD的member属性 -->
         roleName="cn" <!-- 返回组的cn名称作为角色标识 -->
         roleNested="true" />
</Realm>

如果用了上面的配置，web.xml里的security-role-ref可以简化为：

<security-role-ref>
  <role-name>tomcat</role-name>
  <role-link>LDAP_GROUP</role-link> <!-- 直接用组的cn名称 -->
</security-role-ref>

3. 清理冗余配置 #

因为你已经启用了JNDIRealm，tomcat-users.xml里的<role rolename="tomcat"/>属于UserDatabaseRealm的配置，会造成干扰，建议直接删除这行配置。

4. 验证生效 #

重启Tomcat后访问受保护页面，查看日志，如果看到类似下面的内容，就说明映射成功了：

org.apache.catalina.realm.RealmBase.hasRole Username ldap_user has role tomcat

额外注意点 #

• 确认LDAP用户确实是LDAP_GROUP的成员，AD默认会自动填充memberOf属性，无需额外配置；
• 如果启用了roleNested="true"，确保Tomcat能递归解析组的嵌套关系（比如LDAP_GROUP是另一个组的成员的情况）；
• 可以开启Tomcat的Debug日志（调整logging.properties里的org.apache.catalina.realm.level=FINE），更详细地查看角色解析过程。

内容的提问来源于stack exchange，提问作者Shorty110