Эта страница позволяет настроить параметры обработчика обратных вызовов для JAX-WS, которые определяют способ получения маркеров защиты из заголовков сообщений.
При редактировании привязки уровня ячейки или сервера можно настроить параметры обработчика обратных вызовов. Также можно настроить привязки приложения для маркеров и частей сообщений, необходимых набору стратегий.
Предотвращение неполадок: Перед указанием значений свойств
Хранилище ключей и Ключ на этой странице
обратите внимание, что информация о хранилище ключей и псевдониме на уровнях генератора и
приемника указывается для разных целей.
Основные различия относятся к псевдониму обработчика обратных вызовов X.509:
gotcha- Генератор
- При применении с генератором шифрования для шифрования сообщения используется
открытый ключ, получаемый через указанный псевдоним для генератора. Пароль не требуется. Псевдоним
для обработчика обратных вызовов, связанного с генератором шифрования, должен быть доступен без
пароля. Это означает, что в хранилище ключей с псевдонимом не должна быть связана информация о
личном ключе. В генераторе подписи этот псевдоним используется для получения личного ключа для подписания сообщения. Необходимо указать пароль.
![[Updated in October 2013]](../images/delta.gif)
Предотвращение неполадок: Поскольку псевдоним, используемый для подписания сообщения, требует пароля, а псевдоним,
используемый для шифрования сообщения, требует отсутствия пароля, недопустимо использовать
один и тот же псевдоним для генератора подписей и генератора шифрования.gotcha![[Updated in October 2013]](../images/deltaend.gif)
- Приемник
- Когда используется совместно с приемником шифрования,
предоставленный для приемника псевдоним применяется для получения
личного ключа для расшифровки сообщения. Необходимо указать пароль.
Когда используется совместно с приемником подписи, предоставленный для приемника псевдоним применяется для получения открытого ключа применяется для обработки сертификата X.509, который не передается в заголовок защиты SOAP как BinarySecurityToken. Пароль не требуется.
Псевдоним, введенный в обработчике обратного вызова, связанном с приемником подписи, должен быть применим без пароля. Это означает, что в хранилище ключей с псевдонимом не должна быть связана информация о личном ключе.
Когда сертификат X.509 не передается в заголовок защиты SOAP как BinarySecurityToken, SecurityTokenReference появится в элементе KeyInfo внутри элемента Signature заголовка защиты SOAP, который будет использоваться для обработки сертификата X.509. Могут применяться методы Key identifier, X.509 issuer name and issuer serial и Thumbprint. Приемник примет любой из этих трех методов для обработки сертификата X.509 вне сообщения, когда хранилище ключей и псевдоним заданы для приемника ключа X.509, связанного с приемником подписи. Приемник ключа X.509 не поддерживает динамическое преобразование внешних сертификатов вне сообщения в записи хранилища ключей. Используемые сертификаты должны быть известны в момент настройки и явно указаны в коде обработчика обратного вызова приемника ключа X.509.
Когда сертификат X.509 должен обрабатываться вне сообщения, можно обрабатывать несколько сертификатов при использовании общих привязок, но только один при использовании привязок приложений. Можно обрабатывать только один сертификат вне сообщения, когда используются привязки приложений, так как в привязках приложений есть только один приемник ключа X.509. Поскольку есть только один приемник ключа X.509, доступен только один псевдоним, поэтому можно обработать только один сертификат. Например, если приемник ключа X.509 задан для сертификата A, и клиент A отправляет keyIdentifier для сертификата A, то сертификат может быть получен. Однако, если клиент B отправляет keyIdentifier для сертификата B, то сертификат не может быть получен и сообщение будет отклонено.
Когда используются общие привязки, можно создать несколько приемников ключей X.509 с разными сертификатами (хранилище ключей/псевдоним). Все связанные с сертификатами приемники ключей X.509, которые требуется обрабатывать, добавляются в информацию о подписывающем ключе соответствующей части конфигурации привязок.
Если сертификат X.509 передается в заголовке защиты SOAP в качестве BinarySecurityToken и для приемника ключей X.509, связанного с приемником подписей, настроено хранилище ключей/псевдоним, то сертификат, указанный для приемника, сравнивается с сертификатом из сообщения. Если они не совпадают, то сообщение отклоняется. Такой алгоритм работы отличается от JAX-RPC. Сертификат, связанный с псевдонимом из конфигурации приемника ключа X.509, не применяется для проверки надежности входящего сертификата. Для этой цели применяются только хранилище доверенных сертификатов и хранилища сертификатов.
Если вы хотите, чтобы сертификат, настроенный в приемнике ключа X.509, связанном с приемником подписи, был доступен для обработки KeyInfo, но не отклонял несовпадающие сертификаты X.509, переданные в сообщении, можно добавить следующее пользовательское свойство в обработчик обратного вызова приемника ключа X.509:com.ibm.wsspi.wssecurity.consumer.callbackHandlerKeystoreLimitsAccess=false Предотвращение неполадок: Поскольку псевдоним, используемый для расшифровки сообщения, требует пароля, а псевдоним,
используемый для проверки подписи, требует отсутствия пароля, недопустимо использовать
один и тот же псевдоним для приемника подписей и приемника шифрования.gotcha
- Выберите . На панели привязок показана привязка по умолчанию, например, Пример привязки провайдера.
- Для изменения привязки по умолчанию выберите .
- Щелкните на имени связывания по умолчанию, указанного на первом шаге. Например, Пример провайдера.
- Щелкните на стратегии WS-Security в таблице Стратегии.
- Щелкните на ссылке Идентификация и защита в разделе Привязки стратегии защиты главного сообщения.
- В разделе Маркеры защиты или Маркеры идентификации щелкните на ссылке имя-маркера.
- Щелкните на ссылке Обработчик обратных вызовов.
- Выберите .
- Выберите приложение, содержащее веб-службы. Приложение должно иметь провайдер службы или клиент службы.
- Нажмите ссылку Наборы стратегий и привязки провайдера службы или Наборы стратегий и привязки клиента службы в разделе "Свойства веб-служб".
- Выберите привязку. Перед этим нужно прикрепить набор стратегий и присвоить привязку приложения.
- Щелкните на стратегии WS-Security в таблице Стратегии.
- Щелкните на ссылке Идентификация и защита в разделе Привязки стратегии защиты главного сообщения.
- В разделе Маркеры защиты или Маркеры идентификации щелкните на ссылке имя-маркера.
- Щелкните на ссылке Обработчик обратных вызовов.
Эта страница административной консоли применима только к Java API для приложений XML (JAX-WS).
Для разных настраиваемых маркеров обработчик обратных вызовов отображает поля по-разному. В зависимости от того, настраиваются маркеры отправителя или получателя для защиты или настраиваются входящие и исходящие маркеры для идентификации, на этой панели отображаются некоторые или все разделы и поля, описываемые в этом разделе, что отмечается в описании каждого поля.
![[z/OS]](../ngzos.gif)
JCERACFKS