WS-安全 Websphere 配置

Question

我正在尝试使用 Websphere 7 和 JAX-WS 开发一个使用 WS-Security 的 Web 服务。通过查看一些指南，我似乎必须创建一个应用程序服务器用户注册表并在该服务器内维护用户名/密码。无论如何，是否可以避免在服务器本身中创建用户名并以某种方式捕获标头并基于另一个自定义安全配置（例如单点登录）进行验证？

我可以创建一个处理程序来获取标头，但是当请求中的 MustUnderstands 设置为 1（这是强制性的）时，它会在我的处理程序看到消息之前被拒绝。

我只想使用 WS-Security 的 UsernameToken 部分。

任何帮助表示赞赏。

我的请求示例

<?xml version="1.0" encoding="UTF-8"?>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
  <soapenv:Header>
    <wsse:Security xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" soapenv:mustUnderstand="1">
      <wsse:UsernameToken xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" Id="unt_20">
        <wsse:Username>some_username</wsse:Username>
        <wsse:Password Type="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#PasswordText">some_password</wsse:Password>
      </wsse:UsernameToken>
    </wsse:Security>
  </soapenv:Header>
  <soapenv:Body>
    ...body...
  </soapenv:Body>
</soapenv:Envelope>

是否可以创建自定义安全实现，以便我可以使用现有的用户验证方案？

Answer 1

看来我可以实现一个自定义用户注册表，它可以与我选择的安全实现进行交互。 IBM 文章的链接：

http://publib.boulder.ibm.com/infocenter/wasinfo/v6r0/index.jsp?topic=/com.ibm.websphere.base.doc/info/aes/ae/tsec_useregistry.html

Answer 2

另一个可能的答案是创建信任关联拦截器（TAI）。这基本上扩展了您当前的安全性。

这是一个有用的入门链接：
http://www.ibm.com/developerworks/websphere/techjournal/0508_benantar /0508_benantar.html

Answer 3

您可以使用带有策略/绑定的现成 WS-Security 运行时来实现此目的，但您必须编写自定义代码来覆盖检查用户注册表中 UsernameTokens 的默认行为。

请参阅本文，了解如何在使用 UsernameToken 时使用您自己的认证机制：

在没有注册表交互的情况下配置 UsernameToken 调用方配置

如果您还想创建 WebSphere，请参阅本文基于该令牌中的用户名的凭证：

使用堆叠式JAAS登录模块替换UsernameToken消费者的身份验证方法

Answer 4

您能详细说明一下您想要实现的目标吗？

WAS 服务器需要根据其用户注册表（可以是 LDAP、基于文件的注册表等）验证标头中的用户名和密码。

也可以使用 LTPA 令牌（WebSphere 和相关产品用于 SSO）。

如果您详细说明了您的要求，这里的人们将能够帮助您。

HTH

曼格鲁

Answer 5

JAX-WS 应该允许您拥有自定义拦截器。

看一下这个 spring 配置，看看我如何向服务端点添加拦截器。

    <jaxws:endpoint id="pqdws"
                implementor="#Atypon"
                address="/pqdws"
                publishedEndpointUrl="@ws_webapp_url_ext@">
    <jaxws:properties>
        <entry key="exceptionMessageCauseEnabled" value="true"/>
        <entry key="Content-length"
    </jaxws:properties>
    <jaxws:inInterceptors>
        <bean class="org.apache.cxf.ws.security.wss4j.WSS4JInInterceptor">
            <constructor-arg>
                <map>
                    <entry key="action" value="UsernameToken"/>
                    <entry key="passwordType" value="PasswordText"/>
                    <entry key="passwordCallbackRef">
                        <ref bean="passwordCallback"/>
                    </entry>
                </map>
            </constructor-arg>
        </bean>
    </jaxws:inInterceptors>
    </jaxws:endpoint>

    <bean id="passwordCallback"
      class="access.ws.ServerPasswordCallback">
    <property name="username" value="@ws_sec_username@"/>
    <property name="password" value="@ws_sec_password@"/>
</bean>

然后，拦截器可以执行您希望执行的任何操作，包括调用外部服务进行身份验证。