春ブーツアクチュエータのエンドポイントセキュリティはカスタム春のセキュリティ設定では動作しません

Question

は、これは私の春ブーツ1.5.1アクチュエータapplication.propertiesです：

#Spring Boot Actuator 
management.contextPath: /actuator 
management.security.roles=R_0 

これは私のWebSecurityConfigです：

@Configuration 
@EnableWebSecurity 
public class WebSecurityConfig extends WebSecurityConfigurerAdapter { 

    @Autowired 
    private UserDetailsService userDetailsService; 

    @Value("${logout.success.url}") 
    private String logoutSuccessUrl; 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 

     // @formatter:off 
     http.addFilterBefore(new CorsFilter(), ChannelProcessingFilter.class); 

     http 
      .csrf().ignoringAntMatchers("/v1.0/**", "/logout") 
     .and() 
      .authorizeRequests() 

      .antMatchers("/oauth/authorize").authenticated() 
      //Anyone can access the urls 
      .antMatchers("/signin/**").permitAll() 
      .antMatchers("/v1.0/**").permitAll() 
      .antMatchers("/auth/**").permitAll() 
      .antMatchers("/actuator/health").permitAll() 
      .antMatchers("/actuator/**").hasAuthority("R_0") 
      .antMatchers("/login").permitAll() 
      .anyRequest().authenticated() 
     .and() 
      .formLogin() 
       .loginPage("/login") 
       .loginProcessingUrl("/login") 
       .failureUrl("/login?error=true") 
       .usernameParameter("username") 
       .passwordParameter("password") 
       .permitAll() 
      .and() 
       .logout() 
        .logoutUrl("/logout") 
        .logoutSuccessUrl(logoutSuccessUrl) 
        .permitAll(); 
     // @formatter:on 
    } 

    /** 
    * Configures the authentication manager bean which processes authentication requests. 
    */ 
    @Override 
    protected void configure(AuthenticationManagerBuilder auth) throws Exception { 
     auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder()); 
    } 

    @Override 
    @Bean 
    public AuthenticationManager authenticationManagerBean() throws Exception { 
     return super.authenticationManagerBean(); 
    } 

} 

今私R_0権限を持っているが、私がアクセスしようとしているときに私のアプリケーションにログインできました。

http://localhost:8080/api/actuator/beans 

私は、次のエラーが表示されます

There was an unexpected error (type=Forbidden, status=403). 
Access is denied. User must have one of the these roles: R_0 

正しく正しいAuthenticationについて知っておくために、春ブーツアクチュエータを構成するにはどのように？それは私が次のトリックを行う必要が働い得るために今

：

management.security.enabled=false 

.antMatchers("/actuator/health").permitAll() 
.antMatchers("/actuator/**").hasAuthority("R_0") 

は正しい方法でアクチュエータを構成するためのチャンスですか？

http://docs.spring.io/spring-boot/docs/current/reference/html/production-ready-monitoring.html

By default all sensitive HTTP endpoints are secured such that only users that have an ACTUATOR role may access them. Security is enforced using the standard HttpServletRequest.isUserInRole method.

Use the management.security.roles property if you want something different to ACTUATOR.

だから私はあなたがしなければならないすべてが設定されていると思う：私はこのリンクによるとUserDetailsService.UserDetails.Authorities

public Collection<? extends GrantedAuthority> getAuthorities() { 
     String[] authorities = permissions.stream().map(p -> { 
      return p.getName(); 
     }).toArray(String[]::new); 
     return AuthorityUtils.createAuthorityList(authorities); 
    } 

Answer 1

この例を参照してください*あなたはこの問題に

Answer 2

を使用してい

を更新し

フォールドapplication.propertiesのlowingプロパティ。

management.security.roles 

例：

management.security.roles=R_0 

Answer 3

あなたはアクチュエータ役割を持っている必要があり、ブートアクチュエータのエンドポイントを春する権限を持っています。 Accessing Restricted Actuator Endpoints with Spring Security