Utilizaţi această pagină pentru a configura setările handler-ului callback pentru JAX-WS, care determină cum sunt obţinute jetoanele de securitate din anteturile mesajelor.
Puteţi configura setările handler callback atunci când editaţi o legare generală la nivel de celulă sau la nivel de server. Puteţi, de asemenea, să configuraţi legări specifice aplicaţiilor pentru jetoane şi părţi din mesaje care sunt cerute de setul de politici.
Evitarea necazurilor: Înainte de a specifica valorile pentru proprietăţile Depozit de chei şi
Cheie pe această pagină, trebuie să înţelegeţi că informaţiile depozit de chei/alias pe care le furnizaţi
generatorului şi informaţiile depozit de chei/alias pe care le furnizaţi consumatorului au scopuri diferite.
Diferenţa principală se referă la aliasul pentru un handler callback X.509:
gotcha- Generator
- Când este folosit în asociaţie cu un generator de criptare, aliasul furnizat pentru generator este folosit pentru a extrage cheia
publică pentru criptarea mesajului. O parolă nu este necesară. Aliasul care a fost introdus pe un handler callback asociat cu un
generator de criptare trebuie să fie accesibil fără o parolă. Aceasta înseamnă că aliasul nu trebuie să aibă asociat cu el informaţii de
cheie privată în depozitul de chei. Atunci când este utilizat în asociere cu un generator de semnătură, aliasul furnizat pentru
generator este utilizat pentru extragerea cheii private
pentru semnarea mesajului. O parolă este necesară.
![[Updated in October 2013]](../images/delta.gif)
Evitarea necazurilor: Deoarece un alias utilizat pentru a semna un mesaj necesită o parolă, şi un alias utilizat pentru a cripta un mesaj necesită să nu există nicio parolă, nu puteţi utiliza acelaşi alias pentru atât pentru un generator de semnătură cât şi pentru un generator de criptare.gotcha![[Updated in October 2013]](../images/deltaend.gif)
- Consumator
- Când este folosit în asociere cu un consumator de criptare, aliasul furnizat pentru consumator este folosit pentru a extrage cheia privată pentru a decripta mesajul. Este necesară o parolă.
Când este folosit în asociere cu un consumator de semnături, aliasul furnizat pentru consumator este folosit strict pentru a extrage cheia publică folosită pentru a rezolva un certificat X.509 care nu este transmis în antetul de securitate SOAP ca BinarySecurityToken. O parolă nu este necesară.
Aliasul care este introdus pe un handler de callback asociat cu un consumator de semnături trebuie să fie accesibil fără parolă. Asta înseamnă că aliasul nu trebuie să aibă asociate informaţii cheie private în depozitul de chei.
Când un certificat X.509 nu este transmis în antetul de securitate SOAP ca BinarySecurityToken, va apărea un SecurityTokenReference în elementul KeyInfo din elementul Semnătură în antetul de securitate SOAP care va fi folosit pentru a rezolva certificatul X.509. Metodele care pot fi folosite sunt Identificator cheie, Nume şi serial emitent X.509 şi Amprentă digitală. Consumatorul va accepta oricare din aceste trei metode pentru a rezolva un certificat X.509 în afara mesajului când este configurat un depozit de chei/alias pentru un consumator de jetoane X.509 asociat cu un consumator de semnături. Consumatorul de jetoane X.509 nu rezolvă dinamic certificate care apar în afara mesajului la întrările dintr-un depozit de chei. Certificatele care vor fi utilizate trebuie să fie cunoscute la momentul de configurare şi codate în handler-ul callback consumator de jetoane X.509.
Când un certificat X.509 urmează să fie rezolvat în afara mesajului, puteţi rezolva mai multe certificate la utilizarea legărilor generale, dar numai una la utilizarea legărilor specifice de aplicaţie. Doar un certificat poate fi rezolvat în afara mesajului când legările specifice aplicaţiei sunt utilizate deoarece, în legări specifice aplicaţiei, există un singur consumator de jetoane X.509 disponibil pentru utilizare. Din moment ce există un singur consumator de jetoane X.509 pentru utilizare, există un singur alias pentru utilizare, de aceea, doar un certificat poate fi rezolvat. De exemplu, dacă consumatorul de jetoane X.509 este configurat pentru certificatul A, dacă clientul A trimite keyIdentifier-ul pentru certificatul A, certificatul poate fi extras. Totuşi, dacă clientul B trimite keyIdentifier-ul pentru certificatul B, certificatul nu poate fi extras şi mesajul va fi respins.
Când sunt utilizate legări generale, consumatori de jetoane X.509 multipli pot fi creaţi care au diferite certificate configurate pe ei (depozit de chei/alias). Toţi consumatorii de jetoane X.509 asociaţi cu certificatele pe care doriţi să le rezolvaţi ar fi alocaţi informaţiilor Cheie de semnare a configuraţiei dumneavoastră parte componentă semnată în legări.
Când un certificat X.509 care este transmis în antetul de securitate SOAP ca un BinarySecurityToken, dacă există un depozit de chei/alias configurat pe consumatorul de jetoane X.509 asociat cu un consumator de semnătură, certificatul care este configurat pe consumator va fi comparat cu acela transmis în mesaj. Dacă nu se potrivesc, mesajul va fi respins. Acest comportament este diferit faţă de JAX-RPC. Certificatul asociat cu aliasul configurat pe consumatorul de jetoane X.509 nu este folosit pentru a evalua încrederea pe certificatul de intrare. Numai depozitul de încrederi şi depozitele de certificate sunt folosite pentru aceste scopuri.
Dacă vreţi ca certificatul configurat pe consumatorul de jetoane X.509 asociat cu un consumator de semnături să fie disponibil pentru rezoluţia KeyInfo, dar să nu respingă certificatele X.509 care sunt transmise în mesaj şi nu se potrivesc, puteţi adăuga următoarea proprietate personalizată în handler-ul de callback al consumatorului de jetoane X.509:com.ibm.wsspi.wssecurity.consumer.callbackHandlerKeystoreLimitsAccess=false Evitarea necazurilor: Deoarece un alias utilizat pentru a decripta un mesaj necesită o parolă, şi un alias utilizat pentru a verifica o semnătură necesită să nu există nicio parolă, nu puteţi utiliza acelaşi alias pentru atât pentru un consumator de semnătură cât şi pentru un consumator de criptare.gotcha
- Apăsaţi . Panoul legări indică ce legare este setată drept legarea implicită, de exemplu, legarea Exemplu furnizor.
- Pentru a edita această legare implicită, faceţi clic pe .
- Faceţi clic pe numele legării implicite determinate în primul pas. De exemplu, Exemplu furnizor.
- Faceţi clic pe politica WS-Security din tabela Politici.
- Apăsaţi pe legătura Autentificare şi protecţie din secţiunea Legări la politica de securitate mesaje principală.
- Faceţi clic pe legătura nume_jeton din secţiunea Jetoane de protecţie sau din secţiunea Jetoane de autentificare.
- Faceţi clic pe legătura Handler de callback.
- Apăsaţi .
- Selectaţi o aplicaţie care conţine servicii web. Aplicaţia trebuie să conţină un furnizor de serviciu sau un client de serviciu.
- Apăsaţi pe legătura Legările şi seturile de politici ale furnizorului de servicii sau pe Legările şi seturile de politici ale clientului de servicii din secţiunea Proprietăţi ale serviciilor web.
- Selectaţi o legare. Trebuie să fi instalat anterior un set de politici să să fi alocat o legare specifică aplicaţiei.
- Faceţi clic pe politica WS-Security din tabela Politici.
- Apăsaţi pe legătura Autentificare şi protecţie din secţiunea Legări la politica de securitate mesaje principală.
- Faceţi clic pe legătura nume_jeton din secţiunea Jetoane de protecţie sau din secţiunea Jetoane de autentificare.
- Faceţi clic pe legătura Handler de callback.
Această pagină de consolă administrativă se aplică doar API-ului Java pentru aplicaţii XML Web Services (JAX-WS).
Handlerul callback afişează câmpurile diferit în funcţie de jetoanele diferite ce sunt configurate. În funcţie de ce configuraţi (generator sau consumator de jeton pentru protecţie sau jetoane intrare sau ieşire pentru autentificare), secţiunile şi câmpurile din acest panou afişează doar unele câmpuri sau pe toate dintre cele explicate în acest subiect, aşa cum este menţionat în descrierea fiecărui câmp.
![[z/OS]](../ngzos.gif)
JCERACFKS