Spring Пыльники привода Endpoints безопасности не работает с конфигурацией безопасности пользовательских Spring

Question

Это моя весна Загрузочный 1.5.1 Привод application.properties:

#Spring Boot Actuator 
management.contextPath: /actuator 
management.security.roles=R_0 

Это мой WebSecurityConfig:

@Configuration 
@EnableWebSecurity 
public class WebSecurityConfig extends WebSecurityConfigurerAdapter { 

    @Autowired 
    private UserDetailsService userDetailsService; 

    @Value("${logout.success.url}") 
    private String logoutSuccessUrl; 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 

     // @formatter:off 
     http.addFilterBefore(new CorsFilter(), ChannelProcessingFilter.class); 

     http 
      .csrf().ignoringAntMatchers("/v1.0/**", "/logout") 
     .and() 
      .authorizeRequests() 

      .antMatchers("/oauth/authorize").authenticated() 
      //Anyone can access the urls 
      .antMatchers("/signin/**").permitAll() 
      .antMatchers("/v1.0/**").permitAll() 
      .antMatchers("/auth/**").permitAll() 
      .antMatchers("/actuator/health").permitAll() 
      .antMatchers("/actuator/**").hasAuthority("R_0") 
      .antMatchers("/login").permitAll() 
      .anyRequest().authenticated() 
     .and() 
      .formLogin() 
       .loginPage("/login") 
       .loginProcessingUrl("/login") 
       .failureUrl("/login?error=true") 
       .usernameParameter("username") 
       .passwordParameter("password") 
       .permitAll() 
      .and() 
       .logout() 
        .logoutUrl("/logout") 
        .logoutSuccessUrl(logoutSuccessUrl) 
        .permitAll(); 
     // @formatter:on 
    } 

    /** 
    * Configures the authentication manager bean which processes authentication requests. 
    */ 
    @Override 
    protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
     auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder()); 
    } 

    @Override 
    @Bean 
    public AuthenticationManager authenticationManagerBean() throws Exception { 
     return super.authenticationManagerBean(); 
    } 

} 

Сейчас я 'успешно удается войти в мое приложение с нужным пользователем, у которого есть R_0, но когда я пытаюсь получить доступ, например,

http://localhost:8080/api/actuator/beans 

я получаю следующее сообщение об ошибке:

There was an unexpected error (type=Forbidden, status=403). 
Access is denied. User must have one of the these roles: R_0 

Как правильно настроить Spring загрузки привода для того, чтобы быть в курсе о правильном Authentication?

Сейчас для того, чтобы получить его, я работаю должен сделать следующий трюк:

management.security.enabled=false 

.antMatchers("/actuator/health").permitAll() 
.antMatchers("/actuator/**").hasAuthority("R_0") 

ли шанс настроить привода в правильном направлении?

ОБНОВЛЕНО

Я использую UserDetailsService.UserDetails.Authorities

public Collection<? extends GrantedAuthority> getAuthorities() { 
     String[] authorities = permissions.stream().map(p -> { 
      return p.getName(); 
     }).toArray(String[]::new); 
     return AuthorityUtils.createAuthorityList(authorities); 
    } 

Answer 1

Вы должны использовать префикс ROLE_ для вашего management.security.roles, например management.security.roles=ROLE_SOMENAME для того, чтобы решить эту проблему

Answer 2

По этой ссылке:

http://docs.spring.io/spring-boot/docs/current/reference/html/production-ready-monitoring.html

By default all sensitive HTTP endpoints are secured such that only users that have an ACTUATOR role may access them. Security is enforced using the standard HttpServletRequest.isUserInRole method.

Use the management.security.roles property if you want something different to ACTUATOR.

Так что я думаю, что все, что вам нужно сделать, это установить люди низкое свойство в application.properties.

management.security.roles 

Ex:

management.security.roles=R_0 

Answer 3

Чтобы иметь разрешение на весну загрузку привода конечных точек, нужно иметь ПРИВОД роль. См этого примера Accessing Restricted Actuator Endpoints with Spring Security