Ustawienia konfiguracyjne procedury obsługi wywołania zwrotnego dla interfejsu JAX-RPC

Ta strona służy do określania, w jaki sposób można uzyskać znacznik zabezpieczeń, który jest wstawiany do nagłówka zabezpieczeń usług Web Service dla interfejsu JAX-RPC w komunikacie SOAP. Uzyskanie znacznika jest możliwe przy użyciu podłączanego środowiska wykorzystującego interfejs javax.security.auth.callback.CallbackHandler usługi JAAS (Java Authentication and Authorization Service) w celu uzyskania znacznika zabezpieczeń.

Unikanie problemów: Przed określeniem wartości w polach właściwości Magazyn kluczy i Klucz na tej stronie, należy zrozumieć, że informacje o magazynie kluczy/aliasie podane dla generatora i te same informacje podane dla konsumenta są używane do różnych celów. Główna różnica dotyczy aliasu procedury obsługi wywołania zwrotnego X.509: gotcha

Generator: W przypadku użycia w powiązaniu z generatorem szyfrowania, alias podany dla generatora jest używany do pobierania klucza publicznego służącego do szyfrowania komunikatu. Hasło nie jest wymagane. Alias, który zostanie wprowadzony w procedurze obsługi wywołania zwrotnego powiązanej z generatorem szyfrowania musi być dostępny bez hasła. Oznacza to, że z aliasem nie mogą być powiązane informacje o kluczu prywatnym w magazynie kluczy. W przypadku użycia w powiązaniu z generatorem podpisów, alias podany dla generatora jest używany do pobierania klucza publicznego służącego do podpisywania komunikatu. Hasło jest wymagane.

Aby wyświetlić tę stronę Konsoli administracyjnej dla procedury obsługi wywołania zwrotnego na poziomie komórki, wykonaj następujące kroki:

Kliknij opcję Zabezpieczenia > Środowisko wykonawcze zabezpieczeń JAX-WS i JAX-RPC.
W obszarze Domyślne powiązania generatora JAX-RPC kliknij opcję Generatory znaczników > nazwa_generatora_znaczników.
W obszarze Właściwości dodatkowe kliknij opcję Procedura obsługi wywołania zwrotnego.

Aby wyświetlić tę stronę Konsoli administracyjnej dla procedury obsługi wywołania zwrotnego na poziomie serwera, wykonaj następujące kroki:

Kliknij opcję Serwery > Typy serwerów > Serwery aplikacji WebSphere > nazwa_serwera.
W obszarze Zabezpieczenia kliknij opcję Środowisko wykonawcze zabezpieczeń JAX-WS i JAX-RPC.
Środowisko z różnymi wersjami: W komórce z węzłami mieszanymi, która zawiera serwer korzystający z produktu WebSphere Application Server w wersji 6.1 lub wcześniejszej, kliknij opcję Usługi Web Service: Domyślne powiązania zabezpieczeń usług Web Service.mixv
W obszarze Domyślne powiązania generatora JAX-RPC kliknij opcję Generatory znaczników > nazwa_generatora_znaczników.
W obszarze Właściwości dodatkowe kliknij opcję Procedura obsługi wywołania zwrotnego.

Aby wyświetlić tę stronę Konsoli administracyjnej dla procedury obsługi wywołania zwrotnego na poziomie aplikacji, wykonaj następujące kroki:

Kliknij opcję Aplikacje > Typy aplikacji > Aplikacje korporacyjne WebSphere > nazwa_aplikacji.
W obszarze Moduły kliknij opcję Zarządzaj modułami nazwa_identyfikatora_URI.
W obszarze Właściwości zabezpieczeń usług Web Service można przejść do informacji dotyczących procedury obsługi wywołania zwrotnego dla następujących powiązań:
- W przypadku opcji Powiązanie generatora (nadawcy) żądań kliknij opcję Usługi Web Service: Powiązania zabezpieczeń klienta. W obszarze Powiązanie generatora (nadawcy) żądań kliknij opcję Edytuj niestandardowe. W obszarze Właściwości dodatkowe kliknij opcję Generatory znaczników. Kliknij opcję Nowa, aby utworzyć nową konfigurację generatora znaczników, lub kliknij nazwę istniejącej konfiguracji, aby zmodyfikować jej ustawienia. W obszarze Właściwości dodatkowe kliknij opcję Procedura obsługi wywołania zwrotnego.
- W przypadku opcji Powiązanie generatora (nadawcy) odpowiedzi kliknij opcję Usługi Web Service: Powiązania zabezpieczeń serwera. W obszarze Powiązanie generatora (nadawcy) odpowiedzi kliknij opcję Edytuj niestandardowe. W obszarze Właściwości dodatkowe kliknij opcję Generatory znaczników. Kliknij opcję Nowa, aby utworzyć nową konfigurację generatora znaczników, lub kliknij nazwę istniejącej konfiguracji, aby zmodyfikować jej ustawienia. W obszarze Właściwości dodatkowe kliknij opcję Procedura obsługi wywołania zwrotnego.

Nazwa klasy procedury obsługi wywołania zwrotnego

Określa nazwę klasy implementacji procedury obsługi wywołania zwrotnego, która jest używana podczas instalowania środowiska znaczników zabezpieczeń.

Określona klasa procedury obsługi wywołania zwrotnego musi implementować klasę javax.security.auth.callback.CallbackHandler. Implementacja interfejsu JAAS javax.security.auth.callback.CallbackHandler musi udostępniać konstruktor używający następującej składni:

MyCallbackHandler(String nazwa_użytkownika, char[] hasło, 
    java.util.Map właściwości)

Gdzie:

nazwa_użytkownika: Określa nazwę użytkownika, która została przekazana do konfiguracji.
hasło: Określa hasło przekazywane do konfiguracji.
właściwości: Określa inne właściwości konfiguracji, które zostały przekazane do konfiguracji.

Serwer aplikacji udostępnia następujące implementacje domyślne procedury obsługi wywołania zwrotnego:

com.ibm.wsspi.wssecurity.auth.callback.GUIPromptCallbackHandler: Ta procedura obsługi wywołania zwrotnego korzysta z monitu podczas logowania w celu pobrania informacji o nazwie użytkownika i haśle. Jednak jeśli nazwa użytkownika oraz hasło zostaną podane w tym panelu, monit nie jest wyświetlany i serwer aplikacji zwraca nazwę użytkownika i hasło do generatora znaczników, jeśli generator został określony w tym panelu. Takiej implementacji należy używać tylko dla klienta aplikacji Java EE (Java Platform, Enterprise Edition).
com.ibm.wsspi.wssecurity.auth.callback.NonPromptCallbackHandler: Ta procedura obsługi wywołania zwrotnego nie wyświetla monitu i zwraca nazwę użytkownika i hasło, jeśli są określone w tym panelu. Można jej użyć, gdy usługa WWW pełni rolę klienta.
com.ibm.wsspi.wssecurity.auth.callback.StdinPromptCallbackHandler: Ta procedura obsługi wywołania zwrotnego używa standardowego monitu w celu uzyskania nazwy użytkownika i hasła. Jednak jeśli nazwa użytkownika i hasło są określone w tym panelu, serwer aplikacji nie wyświetla monitu, lecz zwraca nazwę użytkownika i hasło do generatora znaczników. Takiej implementacji należy używać tylko dla klienta aplikacji Java EE (Java Platform, Enterprise Edition).
com.ibm.wsspi.wssecurity.auth.callback.StdinPromptCallbackHandler: Ta procedura obsługi wywołania zwrotnego używa standardowego monitu w celu uzyskania nazwy użytkownika i hasła. Jednak jeśli nazwa użytkownika i hasło są określone w tym panelu, serwer aplikacji nie wyświetla monitu, lecz zwraca nazwę użytkownika i hasło do generatora znaczników. Takiej implementacji należy używać tylko dla klienta aplikacji Java EE (Java Platform, Enterprise Edition).
com.ibm.wsspi.wssecurity.auth.callback.LTPATokenCallbackHandler: Ta procedura obsługi wywołania zwrotnego jest używana do uzyskiwania uwierzytelnienia znacznika zabezpieczeń LTPA (Lightweight Third Party Authentication) z tematu wywołania RunAs. Ten znacznik jest wstawiany do nagłówka zabezpieczeń usługi WWW w komunikacie SOAP jako binarny znacznik zabezpieczeń. Jeśli jednak nazwa użytkownika i hasło zostaną w tym panelu określone, serwer WebSphere Application Server uzyska znacznik zabezpieczeń LTPA przez uwierzytelnienie nazwy użytkownika i hasła, zamiast uzyskiwać go z tematu RunAs. Tej procedury obsługi wywołania zwrotnego należy używać tylko wtedy, gdy usługa WWW działa jako klient na serwerze aplikacji. Nie zaleca się jej używania w kliencie aplikacji Java EE.
com.ibm.wsspi.wssecurity.auth.callback.X509CallbackHandler: Ta procedura obsługi wywołania zwrotnego jest używana w celu utworzenia certyfikatu X.509, który jest wstawiany do nagłówka zabezpieczeń usługi WWW w komunikacie SOAP jako binarny znacznik zabezpieczeń. Wymaga ona magazynu kluczy i definicji klucza.
com.ibm.wsspi.wssecurity.auth.callback.PKCS7CallbackHandler: Ta procedura obsługi wywołania zwrotnego jest używana w celu utworzenia certyfikatów X.509 kodowanych w formacie PKCS#7. Certyfikat jest wstawiany do nagłówka zabezpieczeń usługi WWW w komunikacie SOAP jako binarny znacznik zabezpieczeń. Ta procedura obsługi wywołania zwrotnego wymaga magazynu kluczy. W zbiorczej bazie certyfikatów należy określić listę odwołań certyfikatów (CRL). Lista CRL jest zakodowana przy użyciu certyfikatu X.509 w formacie PKCS#7.
com.ibm.wsspi.wssecurity.auth.callback.PkiPathCallbackHandler: Ta procedura obsługi wywołania zwrotnego jest używana w celu utworzenia certyfikatów X.509 kodowanych w formacie PkiPath. Certyfikat jest wstawiany do nagłówka zabezpieczeń usługi WWW w komunikacie SOAP jako binarny znacznik zabezpieczeń. Ta procedura obsługi wywołania zwrotnego wymaga magazynu kluczy. Ponieważ ta procedura nie obsługuje list CRL, nie ma potrzeby używania zbiorczej bazy certyfikatów.

Implementacja procedury obsługi wywołania zwrotnego uzyskuje wymagany znacznik zabezpieczeń i przekazuje go do generatora znaczników. Generator znaczników wstawia znacznik zabezpieczeń do nagłówka zabezpieczeń usług Web Service w komunikacie SOAP. Ponadto generator znaczników jest punktem wejścia wtyczki dla podłączanej struktury znaczników zabezpieczeń. Dostawcy usług mogą dostarczać własne implementacje, ale muszą one używać interfejsu com.ibm.websphere.wssecurity.wssapi.token.SecurityToken. Implementacja modułu logowania JAAS (Java Authentication and Authorization Service) jest używana odpowiednio do tworzenia znacznika zabezpieczeń po stronie generatora i do sprawdzania poprawności (uwierzytelniania) znacznika zabezpieczeń po stronie konsumenta.

Użyj asercji tożsamości

Tę opcję należy wybrać, jeśli w rozszerzonym deskryptorze wdrażania IBM® zdefiniowano asercję tożsamości.

Ta opcja wskazuje, że tylko tożsamość początkowego nadawcy jest wymagana i wstawiana do nagłówka zabezpieczeń usługi WWW w komunikacie SOAP. Na przykład serwer aplikacji wysyła do generatora znaczników UsernameTokenGenerator tylko nazwę użytkownika oryginalnego programu wywołującego. Dla generatora znaczników X.509 serwer aplikacji wysyła tylko oryginał certyfikatu osoby podpisującej.

Użyj tożsamości RunAs

Tę opcję należy wybrać, jeśli w rozszerzonym deskryptorze wdrażania IBM jest zdefiniowana asercja tożsamości oraz gdy do asercji tożsamości w kolejnych wywołaniach ma być używana tożsamość RunAs, a nie tożsamość początkowego programu wywołującego.

Ta opcja jest poprawna tylko wtedy, gdy jako generator znaczników jest skonfigurowany UsernameTokenGenerator.

ID użytkownika do podstawowego uwierzytelniania

Określa domyślny identyfikator użytkownika przekazywany do konstruktora implementacji procedury obsługi wywołania zwrotnego.

Podstawowe uwierzytelnienie przez nazwę i hasło użytkownika są używane, jeśli zostanie wybrana jedna z następujących implementacji procedury obsługi wywołania zwrotnego, dostarczanych razem z tym produktem.

com.ibm.wsspi.wssecurity.auth.callback.GUIPromptCallbackHandler
com.ibm.wsspi.wssecurity.auth.callback.LTPATokenCallbackHandler
com.ibm.wsspi.wssecurity.auth.callback.NonPromptCallbackHandler
com.ibm.wsspi.wssecurity.auth.callback.StdinPromptCallbackHandler

Te implementacje są opisane szczegółowo w opisie pola Nazwa klasy procedury obsługi wywołania zwrotnego.

Hasło podstawowego uwierzytelniania

Określa hasło przekazywane do konstruktora procedury obsługi wywołania zwrotnego.

Magazyn kluczy i jego pokrewne konfiguracje są używane, jeśli zostanie wybrana jedna z następujących domyślnych implementacji procedury obsługi wywołania zwrotnego udostępnianych razem z tym produktem:

com.ibm.wsspi.wssecurity.auth.callback.PKCS7CallbackHandler: Magazyn kluczy jest używany do zbudowania certyfikatu X.509 ze ścieżką certyfikatu.
com.ibm.wsspi.wssecurity.auth.callback.PkiPathCallbackHandler: Magazyn kluczy jest używany do zbudowania certyfikatu X.509 ze ścieżką certyfikatu.
com.ibm.wsspi.wssecurity.auth.callback.X509CallbackHandler: Magazyn kluczy jest używany do pobrania certyfikatu X.509.

Magazyn kluczy

Należy wybrać opcję Brak, jeśli w tej konfiguracji magazyn kluczy nie jest wymagany.

Należy wybrać opcję Predefiniowany magazyn kluczy, aby wybrać predefiniowane magazyny kluczy, określając nazwę konfiguracji magazynu kluczy.

Należy wybrać opcję Magazyn kluczy zdefiniowany przez użytkownika, aby użyć zdefiniowanych przez użytkownika magazynów kluczy.

Należy określić następujące informacje:

Nazwa konfiguracji pliku kluczy

Określa nazwę konfiguracji magazynu kluczy zdefiniowaną w ustawieniach magazynu na panelu Bezpieczna komunikacja.

Hasło magazynu kluczy

Określa hasło używane w celu uzyskania dostępu do pliku kluczy.

Ścieżka do magazynu kluczy

Określa położenie pliku kluczy.

W nazwie ścieżki należy użyć zmiennej ${USER_INSTALL_ROOT}, ponieważ rozwija się ona do ścieżki produktu na używanym komputerze. Aby zmienić ścieżkę używaną przez tę zmienną, kliknij opcję Środowisko > Zmienne produktu WebSphere i kliknij pozycję USER_INSTALL_ROOT.

Typ pliku kluczy

Określa typ formatu pliku kluczy.

Wybierz dla tego pola jedną z następujących wartości:

JKS: Tej opcji należy użyć, jeśli magazyn kluczy ma format Java Keystore (JKS).
JCEKS: Tej opcji należy użyć, jeśli w narzędziu SDK jest skonfigurowane rozszerzenie Java Cryptography Extension. Domyślne rozszerzenie IBM JCE jest konfigurowane na serwerze aplikacji. Ta opcja zapewnia większy poziom bezpieczeństwa przechowywanych kluczy prywatnych, dzięki użyciu szyfrowania Triple DES.
JCERACFKS: Opcji JCERACFKS należy użyć, jeśli certyfikaty są przechowywane w pliku kluczy SAF (tylko system z/OS).
PKCS11KS (PKCS11): Tej opcji należy użyć, jeśli plik kluczy jest w formacie PKCS#11. Pliki kluczy, które mają taki format, mogą zawierać klucze RSA (Rivest Shamir Adleman) na sprzęcie szyfrującym lub mogą kodować klucze, które używają sprzętu kryptograficznego w celu zapewnienia ochrony.
PKCS12KS (PKCS12): Tej opcji należy użyć, jeśli plik kluczy jest w formacie PKCS#12.

Nazwa pliku: uwbs_callback.html