Na této stránce lze konfigurovat obslužnou rutinu zpětného volání zabezpečení JAX-WS, který určuje způsob načítání tokenů zabezpečení ze záhlaví zpráv.
Při úpravě obecné vazby na úrovni volání či serveru můžete konfigurovat obslužnou rutinu zpětného volání. Můžete také konfigurovat vazby specifické pro aplikace pro tokeny a části zpráv, které jsou vyžadovány sadou zásad.
Předcházení potížím: Před zadáním hodnot vlastností Úložiště klíčů a Klíč na této stránce je nutné vědět, že informace o úložišti klíčů nebo aliasu poskytované generátoru a informace o úložišti klíčů nebo aliasu poskytované pro spotřebitele jsou používány pro jiné účely. Hlavní rozdíl se týká aliasu pro obslužnou rutinu zpětného volání X.509:
gotcha- Generátor
- Při použití spolu s generátorem šifrování slouží alias dodávaný pro generátor k načtení veřejného klíče za účelem šifrování zprávy. Není vyžadováno heslo. Alias zadaný v obslužné rutině zpětného volání přidružený ke generátoru šifrování musí být přístupný bez hesla. To znamená, že k aliasu nesmí být v úložišti klíčů přidruženy informace o soukromém klíči. Při použití spolu s generátorem podpisů slouží alias dodávaný pro generátor k načtení soukromého klíče za účelem podepsání zprávy. Je vyžadováno heslo.
![[Updated in October 2013]](../images/delta.gif)
Předcházení potížím: Vzhledem k tomu, že alias používaný k podpisu zprávy vyžaduje heslo a alias používaný k šifrování zprávy vyžaduje, aby heslo nebylo aktivováno, nelze použít stejný alias současně pro generátor podpisů i generátor šifrování. gotcha![[Updated in October 2013]](../images/deltaend.gif)
- Spotřebitel
- Při použití spolu se spotřebitelem šifrování slouží alias dodávaný pro spotřebitele k načtení soukromého klíče za účelem dešifrování zprávy. Je vyžadováno heslo.
Při použití spolu s odběratelem podpisů je alias dodávaný pro odběratele používán pouze k načtení veřejného klíče, který slouží k předání certifikátu X.509, jenž není předán v záhlaví zabezpečení SOAP jako token BinarySecurityToken. Není vyžadováno heslo.
Alias zadaný v obslužné rutině zpětného volání přidružený ke odběrateli podpisů musí být přístupný bez hesla. To znamená, že k aliasu nesmí být v úložišti klíčů přidruženy informace o soukromém klíči.
Pokud certifikát X.509 není předán v záhlaví zabezpečení SOAP jako token BinarySecurityToken, zobrazí se v prvku KeyInfo v prvku Signature v záhlaví zabezpečení SOAP odkaz SecurityTokenReference, který bude použit k předání certifikátu X.509. Je možné použít následující metody: Identifikátor klíče, Název a sériové číslo vydavatele X.509 a Otisk. Odběratel přijme libovolnou z těchto metod k předání certifikátu X.509 mimo zprávu, pokud jsou úložiště klíčů nebo alias konfigurovány pro odběratele tokenů X.509 přidruženého k odběrateli podpisů. Spotřebitel tokenů X.509 neprovádí dynamickou interpretaci certifikátů, které se nacházejí mimo zprávy pro položky v úložišti klíčů. Certifikáty, které budou použity, musejí být známé již při konfiguraci a pevně zabudovány do obslužné rutiny zpětného volání pro spotřebitele tokenů X.509.
Má-li být certifikát X.509 interpretován mimo zprávu, můžete při použití obecných vazeb interpretovat více certifikátů, avšak při použití specifických vazeb pouze jeden certifikát. Jsou-li použity vazby specifické pro aplikaci, lze mimo zprávu interpretovat pouze jeden certifikát, protože u vazeb specifických pro konkrétní aplikace je k dispozici pouze jeden spotřebitel tokenů X.509. Vzhledem k dostupnosti pouze jednoho spotřebitele tokenů X.509 lze použít pouze jeden alias, a proto lze interpretovat pouze jeden certifikát. Například v případě, že odběratel tokenů X.509 je konfigurován pro certifikát A, pokud klient A odešle identifikátor klíče pro certifikát A, tento certifikát je možné načíst. Pokud však klient B odešle identifikátor klíče pro certifikát B, tento certifikát nelze načíst a zpráva bude odmítnuta.
Jsou-li použity obecné vazby, lze vytvořit více spotřebitelů tokenů X.509, pro každého z nichž jsou konfigurovány různé certifikáty (úložiště klíčů/alias). Všichni spotřebitelé tokenů X.509 sdružení s certifikáty, které chcete interpretovat, by v takovém případě byli přiřazeni k informacím o klíči podpisu v konfiguraci vaší podepsané části v rámci vazby.
Pokud odešlete certifikát X.509 v záhlaví zabezpečení SOAP jako token BinarySecurityToken a v odběrateli tokenů X.509 přidruženém k odběrateli podpisů je konfigurováno klíčové slovo nebo alias, certifikát konfigurovaný v odběrateli bude porovnán s certifikátem předaným ve zprávě. Pokud se tyto certifikáty neshodu, zpráva bude odmítnuta. Toto chování se liší od chování prostředí JAX-RPC. Certifikát přidružený k aliasu konfigurovanému v odběrateli tokenů X.509 není používán k hodnocení důvěryhodnosti příchozího certifikátu. Pro tento účel jsou používána pouze úložiště údajů o důvěryhodnosti a úložiště certifikátů.
Pokud má být certifikát konfigurovaný v odběrateli tokenů X.509 přidruženém k odběrateli podpisů dostupný pro řešení KeyInfo, ale nemá dojít k odmítnutí certifikátů X.509 předaných ve zprávě, které se neshodují, je možné do obslužné rutiny zpětného volání odběratele tokenů X.509 přidat následující přizpůsobenou vlastnost:com.ibm.wsspi.wssecurity.consumer.callbackHandlerKeystoreLimitsAccess=false Předcházení potížím: Vzhledem k tomu, že alias používaný k dešifrování zprávy vyžaduje heslo a alias použitý k ověření podpisu vyžaduje, aby heslo nebylo aktivováno, nelze použít stejný alias současně pro spotřebitele podpisu a spotřebitele šifrování. gotcha
- Klepněte na volbu . Na panelu vazeb je označena vazba, která je nastavena jako výchozí, například vazba Ukázka poskytovatele.
- Chcete-li tuto výchozí vazbu změnit, klepněte na volbu .
- Klepněte na název výchozí vazby určený v prvním kroku, například Ukázka poskytovatele.
- V tabulce zásad klepněte na zásadu WS-Security.
- V části Vazby zásad zabezpečení pro hlavní zprávu klepněte na odkaz Ověřování a ochrana.
- V části Tokeny ochrany nebo Tokeny ověřování klepněte na odkaz název_tokenu.
- Klepněte na odkaz Obslužná rutina zpětného volání.
- Klepněte na volbu .
- Vyberte aplikaci, která obsahuje webové služby. Aplikace musí obsahovat poskytovatele služby nebo klienta služby.
- V části Vlastnosti webových služeb klepněte na odkaz Sady zásad a vazby poskytovatele služeb nebo Sady zásad a vazby klienta služeb.
- Vyberte vazbu. Před touto akcí je nutné mít již připojenou sadu zásad a přiřazenou vazbu specifickou pro aplikaci.
- V tabulce zásad klepněte na zásadu WS-Security.
- V části Vazby zásad zabezpečení pro hlavní zprávu klepněte na odkaz Ověřování a ochrana.
- V části Tokeny ochrany nebo Tokeny ověřování klepněte na odkaz název_tokenu.
- Klepněte na odkaz Obslužná rutina zpětného volání.
Tato stránka administrativní konzoly se vztahuje pouze na aplikace rozhraní JAX-WS (Java API for XML Web Services).
Na panelu Obslužná rutina zpětného volání se zobrazují různá pole podle aktuálně konfigurovaných tokenů. Na tomto panelu jsou k dispozici některá nebo všechna pole a části popsané v tomto tématu. Záleží na tom, zda konfigurujete tokeny generátoru nebo spotřebitele pro ochranu nebo konfigurujete příchozí nebo odchozí tokeny pro ověřování. Způsob zobrazení je uveden v popisu jednotlivých polí.
![[z/OS]](../ngzos.gif)
JCERACFKS