問題タブ [ws-security]

私たちのチームは、Spring-WS と XWSS を使用して SOAP ベースの Web サービスを実装しています。これまでのところ、XSD から WSDL を生成するために Spring-WS に依存してきました。現在、WS-SecurityPolicy を使用して WSDL でセキュリティ要件を文書化するか、別のドキュメントで伝えるかを検討しています。私たちが考えている質問は次のとおりです。

• 標準は何ですか？ポリシーを WSDL に入れるのは一般的ですか?

• 多くの (ある?) クライアント ジェネレータは、WSDL の WS-SecurityPolicy 情報を取得しますか?

• Spring-WS は、WSDL の生成時に WS-SecurityPolicy をサポートしていません。Apache CXF への切り替えは役に立ちますか?

また、REST の人気が高まっていることは承知していますが、SOAP は権威によって指定されています。ありがとう！

Spring フレームワークに基づいて RESTful サービスのセキュリティを実装しようとしています。実際、私はこれまで RESTful WS を保護したことはありませんが、ここで良い紹介を得ることができました。基本的に、Amazon S3 や OAuth が良い例として提案されています。

私の質問:

1. Spring フレームワークは、これらの戦略をそのまま提供しますか?
2. はいの場合: これらの戦略を実装するのは Spring セキュリティですか?
3. いいえの場合: これらの戦略 (OAuth ...) を Spring で実装するにはどうすればよいですか?

ご提案いただきありがとうございます。

えー

私はWCFを初めて使用し、メッセージセキュリティを実行できるかどうかを知りたいと思っていました。メッセージセキュリティでは、サービスにのみx.509証明書を使用し、クライアントセキュリティではWindowsクレデンシャルを実行しますが、これは受け入れられますか？ウェブを検索しようとしましたが、このアプローチについての議論が存在しないか、グーグル検索に間違った言い回しを入れました。助けていただければ幸いです。ありがとうございました。

基本的に、私は私のバインディングにこれを持っているでしょう：

そして私の行動について：

そのため、WCFでは、受信側のCXFで期待されているように、WS-Securityクレデンシャルをプレーンテキストで送信することはできません。実際には何も暗号化しない別のSecurityAlgorithmSuiteでうまくいくように見えますが、「PlainTextSecurityAlgorithmSuite」のさまざまなプロパティによってどの値が返されるかについては、どこから始めればよいのかわかりません。誰かがこれをしましたか？これで問題が解決すると思うのは正しいですか？前もって感謝します。

1. JAX-WS を使用して Web サービスを実装しました。サービス クライアントも JAX-WS を使用して実装しました。クライアントは、WS-Security ユーザー名トークン プロファイル認証を使用してサービスと通信できます。
2. このサービスを JBoss 4.2.3 にデプロイし、カスタム認証を Java EE コンテナー認証に置き換えたいと考えています。
3. JBossWS に関するいくつかのドキュメントを読み、web.xml、jboss-web.xml、jboss-wsse-server.xml、login-config.xml を変更/追加して設定を行いました。しかし、JBoss は常に 401 応答をクライアントに送信していました (クライアントの SOAP 要求には、正しいユーザー名トークン プロファイル ヘッダーが含まれていました)。

どんな助けでも大歓迎です。

1. JBoss 設定を介してそのような要件を実装することは可能ですか?
2. または、WSSE ユーザー名トークン プロファイルを使用した認証用に JBoss を構成するための簡単な例/手順を示してください。
3. または、現在の JBoss 構成の問題をどのようにデバッグできますか。

WS-Securityを使用する必要があるWebServiceクライアントに問題があります。私のクライアントはで書かれていaxis2ます。暗号化を有効にしない場合（もちろんサーバーエミュレーターを使用）に機能します。以下に追加して暗号化を有効にしましたaxis.xml：

さて、引数を使ってEclipseからクライアントを呼び出すと：

私が得た：

client.propertiesオブジェクトとして開くことができFileます。このファイルをさまざまなディレクトリに配置するか、フルパスを使用するように名前を変更しようとしました（Windowsでの作業中は、スラッシュとバックスラッシュの両方を使用）が、何も役に立ちません。

client.propertiesファイルは次のようになります。

なぜこのエラーが発生したのか考えてみてください。

WS-UsernameToken 仕様を使用して SOAP リクエストを認証しようとしていますが、ターゲット デバイスが常にアクセスを拒否しています。私の非稼働リクエストは次のようになります。(ハッシュしようとしているパスワードは ですsystem。)

私が探しているのは、同様のリクエストの例ですが、実際に機能する認証トークンを使用しています。たとえば、これらのトークンを使用する gSOAP アプリケーションがあり、リクエストを生成してここに結果を投稿できる場合は、非常に感謝しています。

パブリック Web サーバーでホストされている .NET Web サービスを使用する Blackberry 用のアプリケーションを開発しています。

JSON をデータ交換形式として使用しています。

これまでアプリケーションをテストしてきましたが、すべて正常に動作していますが、解決すべき大きな問題が 1 つあります。それは、.NET Web サービスが公開されていることです。サービス URL: http://www.whatever.com/myservice.asmxにアクセスすると、パラメータに値を割り当ててサービスを呼び出すことができます。

明らかに、それらを公開したくはなく、安全であることを望んでいます。

ここstackoverflowでいくつかの質問を読んでいますが、良い答えが見つかりません.

私が持っているすべてのWebサービスに「パスワード」パラメーターを追加し、サーバーにパスワードを送信して、スパマーではなくBlackberryがサービスを消費しようとしていることを確認できるようにすることを考えていました。そのパスワードは、Blackberry が行う各 JSON 要求で文字列として送信されます。

もう 1 つ重要なことは、私たちは GoDaddy のシンプルな Web ホスティング ソリューションを使用しているため、ホスティングは共有されており、コンピューターを完全に制御することはできないということです。

これは正しいアプローチですか？

WS-Security を使用する Web サービスのクエリに問題があります。rampardWS-Security を実装するモジュールを使用して、axis2 によって作成されたコードを使用します。良いクエリを作成して応答を得たと思いますが、その応答にはクライアントが理解できない何かがあります。例外は次のようになります。

私のrampard設定axis2.xml：

このような例外が発生しないように、クライアント側でできることはありますか?

証明書と秘密鍵を使用してJava（JBoss）Webサービスを呼び出すためにメッセージに署名しようとしましたが、サーバーは署名されたメッセージの受け入れを拒否します。私が送信したのと同じメッセージをエコーバックするだけです。

証明書を使用して送信メッセージに正常に署名しました。Webサービスの作成者から提供された例のメッセージと比較すると、メッセージの構造は問題ないように見えます。

以下に示すように宣言されたカスタムバインディングを使用します

結果のメッセージは次のようになります

Webサービスで機能する例のメッセージ：

アイデアが足りなくなり、Webサービスの作成者は、私のメッセージが受け入れられない理由について、これまで何の情報も提供していません。

誰かアイデアがありますか？

よろしく、サイモン