Zusicherungen für den HTTPS-Transport in der WS-Security-Richtlinie
Sie können Zusicherungen in der WS-Security-Richtlinie (Web Services Security) verwenden, die in der WSDL-Datei definiert ist, um sicherzustellen, dass SOAP-Nachrichten durch den sicheren HTTPS-Transport geschützt werden. Wenn HTTPS mit Sicherheitstoken wie Benutzernamenstoken mit Kennwörtern in Klartext verwendet, kann dieses Webprotokoll helfen, Vertraulichkeit sicherzustellen.
Die Zusicherungen für den HTTPS-Transport in der WS-Security-Richtlinie richten nicht den HTTPS-Transport zwischen dem Anforderer und Provider ein. Sie stellen nur sicher, dass der HTTPS-Transport verwendet wird, wenn die Web-Service-Anwendung mit der definierten Richtlinie aufgerufen wird. Informationen zum Aktivieren der Transportsicherheit für Web-Services finden Sie unter Web-Services auf Transportebene sichern.
Vergewissern Sie sich, dass HTTPS zwischen dem Web-Service-Client und dem Web-Service-Provider konfiguriert ist. Führen Sie die folgenden zusätzlichen Schritte aus, um Ihre SOAP-Nachrichten mit dem HTTPS-Sicherheitstransport zu schützen.
- WS-Security muss durch Hinzufügen des Features wsSecurity-1.1 explizit aktiviert werden. Stellen Sie sicher, dass Sie auch die Features appSecurity-2.0, servlet-3.0 (bzw. servlet-3.1) und jaxws-2.2 sowie alle übrigen erforderlichen Liberty-Features zur Datei server.xml von Liberty hinzufügen.
- Die WS-Security-Richtlinie, die Ihrer Web-Service-Anwendung zugeordnet ist, muss eine Zusicherung des Typs
TransportBinding enthalten und mit der HTTPS-Konfiguration übereinstimmen. Das folgende Beispiel
zeigt eine Beispielzusicherung des Typs TransportBinding:
<wsp:Policy xmlns:wsp="..." xmlns:sp="..."> <sp:TransportBinding> <wsp:Policy> <sp:TransportToken> <wsp:Policy> <sp:HttpsToken /> </wsp:Policy> </sp:TransportToken> <sp:AlgorithmSuite> <wsp:Policy> <sp:Basic256 /> </wsp:Policy> </sp:AlgorithmSuite> <sp:Layout> <wsp:Policy> <sp:Strict /> </wsp:Policy> </sp:Layout> <sp:IncludeTimestamp /> </wsp:Policy> </sp:TransportBinding> </wsp:Policy>
Durch Ausführung dieser Zusatzschritte nach der HTTPS-Konfiguration müssen SOAP-Nachrichten von einem Web-Service-Client über HTTPS an einen Web-Service-Provider gesendet werden.