Ta strona umożliwia skonfigurowanie ustawień procedury obsługi wywołania zwrotnego dla interfejsu JAX-WS, które określają sposób pobierania znaczników bezpieczeństwa z nagłówków komunikatów.
Podczas edycji ogólnych powiązań na poziomie komórki lub serwera można skonfigurować ustawienia procedury obsługi wywołania zwrotnego. Można także skonfigurować powiązania specyficzne dla aplikacji na potrzeby znaczników i części komunikatów wymaganych przez zestaw strategii.
Unikanie problemów: Przed określeniem wartości w polach właściwości Magazyn kluczy i Klucz na tej stronie, należy zrozumieć, że informacje o magazynie kluczy/aliasie podane dla generatora i te same informacje podane dla konsumenta są używane do różnych celów.
Główna różnica dotyczy aliasu procedury obsługi wywołania zwrotnego X.509:
gotcha- Generator
- W przypadku użycia w powiązaniu z generatorem szyfrowania, alias podany dla generatora jest używany do pobierania klucza publicznego służącego do szyfrowania komunikatu. Hasło nie jest wymagane. Alias, który zostanie wprowadzony w procedurze obsługi wywołania zwrotnego powiązanej z generatorem szyfrowania musi być dostępny bez hasła. Oznacza to, że z aliasem nie mogą być powiązane informacje o kluczu prywatnym w magazynie kluczy. W przypadku użycia w powiązaniu z generatorem podpisów, alias podany dla
generatora jest używany do pobierania klucza prywatnego służącego do
podpisywania komunikatu. Hasło jest wymagane.
![[Updated in October 2013]](../images/delta.gif)
Unikanie problemów: Ponieważ alias używany do podpisywania komunikatu wymaga podania hasła, a
alias
używany do szyfrowania komunikatu nie może mieć hasła, nie można użyć tego
samego aliasu dla generatora podpisów i generatora szyfrowania. gotcha![[Updated in October 2013]](../images/deltaend.gif)
- Konsument
- W przypadku użycia w powiązaniu z konsumentem szyfrowania, alias podany dla konsumenta umożliwia pobranie klucza prywatnego służącego do deszyfrowania komunikatu. Hasło jest wymagane.
W przypadku użycia powiązanego z konsumentem podpisu, alias podany dla konsumenta jest używany tylko do pobierania klucza publicznego, który jest używany do rozstrzygania certyfikatu X.509, który nie jest przekazywany w nagłówku zabezpieczeń protokołu SOAP jako element BinarySecurityToken. Hasło nie jest wymagane.
Alias, który zostanie wprowadzony w procedurze obsługi wywołania zwrotnego powiązanej z konsumentem podpisu musi być dostępny bez hasła. Oznacza to, że z aliasem nie mogą być powiązane informacje o kluczu prywatnym w magazynie kluczy.
Jeśli certyfikat X.509 nie jest przekazywany do nagłówka zabezpieczeń protokołu SOAP jako znacznik BinarySecurityToken, odwołanie securityTokenReference będzie wyświetlane w elemencie KeyInfo w ramach elementu Signature w nagłówku zabezpieczeń protokołu SOAP, który będzie używany do rozstrzygania certyfikatu X.509. Metody, które mogą być używane, to Identyfikator klucza, Nazwa i numer seryjny wystawcy certyfikatu X.509i Odcisk palca. Konsument będzie akceptować dowolną z tych trzech metod określania certyfikatu X.509 poza komunikatem, jeśli magazyn kluczy/alias został skonfigurowany dla konsumenta znacznika X.509 powiązanego z konsumentem podpisu. Konsument znacznika X.509 nie rozstrzyga dynamicznie certyfikatów spoza komunikatu do pozycji w magazynie kluczy. Używane certyfikaty muszą być znane podczas konfiguracji. Ponadto muszą one zostać zakodowane na stałe w procedurze obsługi wywołania zwrotnego konsumenta znacznika X.509.
W przypadku, gdy certyfikat X.509 jest rozstrzygany poza komunikatem, można rozstrzygnąć wiele certyfikatów, jeśli używane są powiązania ogólne, natomiast jeśli używane są powiązania specyficzne dla aplikacji, można rozstrzygnąć tylko jeden certyfikat. Jeśli używane są powiązania specyficzne dla aplikacji, tylko jeden certyfikat można rozstrzygnąć poza komunikatem, ponieważ w przypadku powiązań specyficznych dla aplikacji można korzystać tylko z jednego konsumenta znacznika X.509. W związku z tym, można używać tylko jednego aliasu i dlatego można rozstrzygnąć tylko jeden certyfikat. Jeśli na przykład konsument znacznika X.509 jest skonfigurowany dla certyfikatu A, a klient A wysyła element KeyIdentifier dla certyfikatu A, certyfikat może zostać pobrany. Jeśli jednak klient B wysyła element KeyIdentifier dla certyfikatu B, nie można pobrać certyfikatu i komunikat zostanie odrzucony.
Jeśli używane są powiązania ogólne, można utworzyć wiele konsumentów znaczników X.509, a w ramach każdego z nich można skonfigurować inny certyfikat (magazyn kluczy / alias). Wszystkie konsumenty znaczników X.509 powiązane z certyfikatami, które mają zostać rozstrzygnięte, zostaną przypisane do informacji o kluczu podpisywania dla konfiguracji podpisanej części zawartej w powiązaniach.
Jeśli certyfikat X.509 jest wysyłany w nagłówku zabezpieczeń protokołu SOAP jako element BinarySecurityToken i jeśli istnieje magazyn kluczy/alias skonfigurowany w konsumencie znacznika X.509 powiązanym z konsumentem podpisów, to certyfikat, który jest skonfigurowany w ramach konsumenta zostanie porównywany z tym, który został przekazany w komunikacie. Jeśli nie są one zgodne, komunikat zostanie odrzucony. Zachowanie to jest inne niż w przypadku interfejsu JAX-RPC. Certyfikat powiązany z aliasem skonfigurowany w konsumencie znacznika X.509 nie jest używany do wartościowania poziomu zaufania dla certyfikatów przychodzących. Tylko magazyn zaufanych certyfikatów i magazyn certyfikatów są używane w tym celu.
Jeśli certyfikat skonfigurowany w konsumencie znacznika X.509 powiązanym z konsumentem podpisów ma być dostępny na potrzeby rozstrzygania elementu KeyInfo, ale nie mają być odrzucane certyfikaty X.509, które zostały przekazywane w komunikacie i które nie są zgodne, można dodać następującą właściwość niestandardową do procedury obsługi wywołania zwrotnego konsumenta znacznika X.509:com.ibm.wsspi.wssecurity.consumer.callbackHandlerKeystoreLimitsAccess=false Unikanie problemów: Ponieważ alias używany do deszyfrowania komunikatów wymaga podania hasła, a
alias używany do sprawdzania podpisu nie może mieć hasła, nie można użyć tego
samego aliasu dla konsumenta podpisów i konsumenta szyfrowania. gotcha
- Kliknij opcję . Panel powiązań wskazuje, które powiązanie jest ustawione jako domyślne, na przykład przykładowe powiązanie dostawcy.
- Aby edytować to powiązanie domyślne, kliknij opcję .
- Kliknij nazwę domyślnego powiązania określonego w pierwszym kroku, np. Przykład dostawcy.
- Kliknij strategię WS-Security w tabeli Strategie.
- Kliknij odsyłacz Uwierzytelnianie i zabezpieczenie w sekcji Główne powiązania strategii bezpieczeństwa komunikatów.
- Kliknij odsyłacz nazwa_znacznika w sekcji Znaczniki bezpieczeństwa lub w sekcji Znaczniki uwierzytelniania.
- Kliknij odsyłacz Procedura obsługi wywołania zwrotnego.
- Kliknij opcję .
- Wybierz aplikację zawierającą usługi Web Service. Aplikacja musi zawierać dostawcę lub klienta usług.
- Kliknij odsyłacz Zestawy strategii i powiązania dostawcy usług lub Zestawy strategii i powiązania klienta usługi w sekcji Właściwości usług Web Service.
- Wybierz powiązanie. Wcześniej należy przyłączyć zestaw strategii i przypisać powiązanie specyficzne dla aplikacji.
- Kliknij strategię WS-Security w tabeli Strategie.
- Kliknij odsyłacz Uwierzytelnianie i zabezpieczenie w sekcji Główne powiązania strategii bezpieczeństwa komunikatów.
- Kliknij odsyłacz nazwa_znacznika w sekcji Znaczniki bezpieczeństwa lub w sekcji Znaczniki uwierzytelniania.
- Kliknij odsyłacz Procedura obsługi wywołania zwrotnego.
Ta strona Konsoli administracyjnej dotyczy jedynie aplikacji korzystających z interfejsu JAX-WS (Java API for XML Web Services).
Panel Procedura obsługi wywołania zwrotnego wyświetla pola w odmienny sposób dla różnych znaczników, które są konfigurowane. W zależności od tego, czy konfigurowane są znaczniki generatora lub konsumenta na potrzeby zabezpieczenia bądź znaczniki przychodzące lub wychodzące na potrzeby uwierzytelniania, sekcje i pola w tym panelu wyświetlają niektóre lub wszystkie pola przedstawione w tej sekcji, zgodnie z opisem każdego pola.
![[z/OS]](../ngzos.gif)
JCERACFKS