問題タブ [ws-security]

WS-Security の適切な紹介を教えてくれる人はいますか?

Web サービスと SOAP の基本的な知識を前提としているかどうかは気にしませんが、このテーマについてかなり穏やかな紹介を提供するチュートリアルまたは何かを探しています。これまで見てきた内容のほとんどは非常に技術的なものであり、それを適切に理解するには、複雑で詳細な背景知識が必要です。

PHP で Web サービスを実装し、.NET で 1 つまたは複数のクライアントを実装する必要があるため、両方をカバーするリソースを大いに歓迎します。

.NET で記述された Web サービスを Java から呼び出す必要があります。Web サービスは WS-Security スタックを実装します (WSE 2 または WSE 3 のいずれか、私が持っている情報からは明らかではありません)。

サービス プロバイダーから受け取った情報には、WSDL、policyCache.config ファイル、いくつかのサンプル C# コード、およびサービスを正常に呼び出すことができるサンプル アプリケーションが含まれていました。

この情報を使用して Java クライアントを作成する方法が明確でないため、これは思ったほど役に立ちません。Web サービス要求がポリシーに従って署名されていない場合、サービスによって拒否されます。Apache Axis2 を使用しようとしていますが、policyCahce.config ファイルと WSDL を使用してクライアントを生成する方法についての説明が見つかりません。

私が Web で見つけたいくつかの例がありますが、いずれの場合も、例の作成者はサービスとクライアントの両方を制御しており、動作させるために両側で微調整を行うことができました。私はその立場ではありません。

誰もこれを成功させましたか？

WCF で構築された API を使用するときに認証が 1 回だけで済むようにするための最善の方法は何ですか?

私の現在のバインディングと動作は以下のとおりです

次は、クライアント アプリで認証に使用しているものです (現在、WCF を呼び出すたびにこれを行う必要があります)。

私がやりたいのは、これらの資格情報を使用して API で認証し、クライアント アプリケーションが Web サービス プロジェクトを使用している間、何らかのタイプのトークンを取得することです。私はこれを私のために確立したと思いましたか？

WS-Security を実装する適切な Ruby ライブラリを見つけるのに苦労しています。私はwss4rを見たことがありますが、まだ使用していません (ドキュメントは少し軽めです)。このタスクにはどのライブラリを使用していますか、またはより良い代替手段はありますか?

Java と WS-Security を使用して、当社の製品でいくつかの Web サービスを公開しました。お客様の 1 人が、ColdFusion を使用して Web サービスを利用したいと考えています。ColdFusion は WS-Security をサポートしていますか? Java クライアントを作成して ColdFusion で使用することで回避できますか?

(ColdFusion についてはよくわかりません)。

Ws2007HttpBinding を使用してサービスを保護すると、生成された WSDL ファイルのポリシー セクションで、すべての ws-addressing ヘッダーと本文が署名され、本文が暗号化されることが示されます。

Apache の城壁で可能なように、どのヘッダーを署名および/または暗号化する必要があるかを指定したいと考えています。カスタム ヘッダーまたはボディ要素の場合、コードで注釈を使用することは可能ですが、バインディング自体によって追加されるこれらの要素の場合は可能ですか?

Web サービス (サーバー側) に暗号化 (および署名) を使用する必要があります。私は axis2 を使用し、(WS-Security 実装用に) ランパート モジュールを正常に追加しました。しかし、城壁ページ ( http://ws.apache.org/axis2/modules/rampart/1_2/security-module.html ) には例がなく、サンプル ファイルは実際には文書化されていません。だから私の質問は: 暗号化 (および署名) を追加する最も簡単な方法は何ですか? services.xml には何を入れる必要がありますか? policy.xml を作成する必要がありますか? (WSDL に加えて) クライアントの開発者に何を提供する必要がありますか? 良いチュートリアルを教えていただければ助かります、ありがとうございます...

TLS を有効にして (クライアントとサーバーの両方の証明書を使用して) Tomcat でアプリケーション (Web サービス) を実行しています。

TLS ハンドシェイクが失敗したときに、アプリケーションが監査メッセージ (ログ) を送信できるようにしたいと考えています。たとえば、次の場合にログに記録します。

• クライアント証明書の有効期限が切れている
• クライアント証明書が不明です (サーバーの信頼ストアにありません)
• その他のハンドシェイクの失敗

そのためにキャッチして処理できるイベントはありますか?

私のアプリケーションは Web サービス ベースで、Tomcat で実行されています。Tomcat はすべてのネットワークと TLS レイヤーを処理しており、アプリケーションはそれを認識していません。

自分でソケットを開かないので、どこでこの例外をキャッチする必要がありますか?

私は、WS-Security を使用する Web サービスとやり取りしようとしている .NET 開発チームと協力しています。このサービスは署名付きの要求を必要としますが、署名されていない応答しか返しません。

チームは WSE を使用してサービスを呼び出す方法を知っていますが、WCF を使用する必要があるため、署名付きの要求を送信し、署名されていない応答を受信するように WCF を構成する方法を誰か提案できますか?

ティア

プロジェクトの一環として、この質問を期待しています。私は過去に Web サービスを開発および使用した経験があり、それらに精通しています。しかし、この次のプロジェクトの一環として、「安全な」Web サービスを使用する必要があると言われました。安全でない Web サービスとは言え、標準のサービスとは対照的に、これらを実装するためにどのような追加の開発タスクが必要になるかについて、いくつかの洞察を提供していただけますか?

乾杯