WebCenter Portal: Restringir el acceso a la Administration Console

La consola de Administración de WebCenter Portal está siempre accesible desde /admin.

(Link to english version)

WebCenter Portal Administration Console
Durante la consutrucción de las Page Template normalmente se suele dar el siguiente fragmento de código para el acceso a la página de la consola de Administración (cogido de la template por defecto):
Enlace a la página de administración
Si comprobamos la propiedad rendered esta indica que solo puedes ver dicho enlace si:
  • #{attrs.showAdmin}: Si verificas en los atributos de la Page Template esta configurado para que su valor sea #{securityContext.authenticated} lo que significa que cualquier usuario autenticado verá el enlace.
  • #{attrs.isAdminPage}: Por defecto está a falso. La admin.jspx sobreescribe este valor con un <f:attribute name="isAdminPage" value="true"/> al incluir la Page Template para cambiar dicho valor.
Por lo tanto cualquier usuario autenticado puede ver el enlace a la Administration Console.

Ahora se quiere cambiar la lógica para que sólo usuarios administradores accedan a la consola de administración.
En muchas ocasiones me he encontrado el siguiente código:

Atributo de plantilla que securiza visualmente el enlace
Como podéis comprobar, ahora se ha restringido el acceso a la consola de administracion usando #{WCSecurityContext.userInAppRole['Administrator']}. Esto significa que sólo los usuarios con el rol de administración podrán ver el enlace. Esto no significa que otros usuarios puedan acceder a la consola de administración. Con que escriban en la URL http://[host]:[puerto]/<context-root>/admin  accederan sin problemas a la consola de administración.

Las propiedades rendered son útiles para ocultar cosas visualmente. Sin embargo, a veces requiere más trabajo securizar los componentes para hacerlos totalmente seguros.

En el caso de la página de administración, hay que aplicar la seguridad a la pageDefinition de la misma. Para securizar esta página (que se encuentra en la librería principal del framework de WebCenter Portal) hay que ir al fichero jazn-data.xml y seguir los siguientes pasos:
  1. Ir a la pestaña Resource Grants y seleccionar Web Page como Resource Type.
    jazn-data -> Web Page
  2. Como la página de administración se encuentra en una de las librerías. Seleccionar Show web pages imported from ADF Libraries.
    jazn-data -> Show web pages imported from ADF Libraries
  3.  Seleccionando la admin page. Se puede observar que la Admin page puede ser accedida por cualquier usuario autenticado. Por ejemplo, quitamos dicho rol y ponemos que sólo los administradores podrán verla.
    Cambio de los permisos a rol administrador
  4. Ejecutar la aplicación y comprobar que al intentar acceder como usuario no administrador el acceso será denegado.
    Usuario autenticado no puede ver la página de administración
Referencias: Thread del foro de OTN de WebCenter Portal

Enlace a la versión en inglés (Link to english version)

Comments

Post a Comment

Popular posts from this blog

OJET: Build and Deploy in an Application Server

Image
There are some other sources where an Oracle JET Application is packaged and deployed as a WAR in Oracle WebLogic Application Server (Arda Eralp) https://blogs.oracle.com/ardaeralp/deploy-oracle-jet-application-to-weblogic-server (Andrejus Baranovski's) http://andrejusb.blogspot.com/2016/07/serving-oracle-jet-application-from.html They may look bit old or maybe because they call directly grunt tasks by using the grunt-cli . In this post I will update a bit these posts in Oracle JET 6.1.0 and the usage of ojet build (instead of calling the grunt tasks) for also building the corresponding WAR file. The example can be found in my GIT repository: https://github.com/DanielMerchan/ojet-examples Let's start... Install grunt-war module in your Oracle JET Application. npm install grunt-war --save-dev Create a war.js (or call it whatever you want) in /scripts/grunt/config folder under your souce files. This is a sample code inside of it, check https://www.npmjs.com/packag...
Read more

OJET: Select All options using only Checkboxset

Image
This is an example on how to select all other options by using another oj-checkboxset. GitHub: ojet-checkbockset-select-all The idea is to keep track of the selection and make use of the on-value-changed as described in the following code. self.colorOptions = ko.observableArray([ { id: "blueopt", value: "blue", color: "Blue" }, { id: "greenopt", value: "green", color: "Green" }, { id: "redopt", value: "red", color: "Red" }, { id: "limeopt", value: "lime", color: "Lime" }, { id: "aquaopt", value: "aqua", color: "Aqua" }, ]); self.selectAll = ko.observableArray([]); self.currentColor = ko.observableArray(["red"]); self.selectAllOptionChanged = (event) => { const newSelection = event.detail.value; if (newSelection.indexOf('all')...
Read more

WebCenter Content: Check-in sin Primary File

Image
En esta entrada se explican dos ascpectos relacionados con los Primary File: Primary File fields Permitir que un Check-in no obligue a subir un fichero asociado para todos los contenidos. Cómo permitir Check-in para un perfil específico y ocultar los campos de Primary File de un formulario de Check-in . Permitir Check-in sin Primary File Para permitir los Check-in sin Primary asociado para todos los contenidos de WebCenter Content solo hay que añadir la siguiente variable a la configuración: AllowPrimaryMetaFile=true Configuración de Oracle WebCenter Content Permitir Check-in y ocultar los campos para un Profile específico En caso de requerir realizar la acción para ciertos perfiles de WebCenter Content. Seguir los siguientes pasos: Crear una nueva regla que se activará con las condiciones de Check-in Regla que se activa con Check-in En la pestaña de Side Effects añadir el siguiente IdocScript que permitirá la creación de contenido sin Primary File y ade...
Read more