Propagation des jetons de sécurité

Dans cet exemple, les jetons de sécurité sont propagés en utilisant la sécurité des services Web, l'infrastructure de sécurité de WebSphere Application Server et la sécurité Java™ EE (Java Platform, Enterprise Edition).

Important : Il existe une différence importante entre les applications version 5.x, version 6 et ultérieure. Les informations dans cette rubrique concernent uniquement les applications Version 5.x utilisées avec WebSphere Application Server Version 6.0.x et versions ultérieures. Les informations ne s'appliquent pas aux applications version 6.0.x et versions ultérieures.

Exemple de scénario

Dans cet exemple, le client 1 appelle les services Web 1. Les services Web 1 appellent alors le fichier EJB (Enterprise JavaBeans) 2. Ce dernier appelle à son tour les services Web 3 qui appellent les Services Web 4.

Figure 1. Propagation des jetons de sécuritéPropagation des jetons de sécurité
L'illustration précédente présente les jetons de sécurité propagés en utilisant la sécurité des services Web, l'infrastructure de du serveur WebSphere Application Server, et la sécurité Java Platform, Enterprise Edition (Java EE). Les Services Web 1 sont configurés pour accepter <wsse:UsernameToken> uniquement et utiliser la méthode d'authentification BasicAuth. Cependant, les Services Web 4 sont configurés pour accepter soit <wsse:UsernameToken> en utilisant la méthode d'authentification BasicAuth, soit LPTA (Lightweight Third Party Authentication) sous la forme <wsse:BinarySecurityToken>. Les étapes suivantes décrivent le scénario présenté dans la figure précédente :
  1. Le client 1 envoie un message SOAP aux services Web 1 avec les valeurs user1 et password dans l'élément <wsse:UsernameToken>.
  2. Les valeurs user1 et password sont authentifiées par le module d'exécution de sécurité des Services Web et définies dans le contexte de sécurité en cours en tant que sujet JAAS (Java Authentication and Authorization Service).
  3. Les Services Web 1 appellent le fichier EJB 2 par le biais du protocole RMI-IIOP (Remote Method Invocation via Internet Inter-ORB Protocol).
  4. L'identité user1 est propagée à l'appel en aval.
  5. Le conteneur d'EJB du fichier EJB 2 vérifie l'autorisation de user1.
  6. Le fichier EJB 2 appelle les Services Web 3 qui sont configurés pour accepter les jetons LTPA.
  7. Le rôle d'exécution (RunAs) du fichier EJB 2 a la valeur user2.
  8. L'implémentation LTPA CallbackHandler extrait le jeton LTPA à partir du sujet JAAS en cours dans le contexte de sécurité et l'exécution dela sécurité des Services Web insère le jeton sous la forme <wsse: BinarySecurityToken> dans l'en-tête SOAP.
  9. L'exécution de la sécurité des Services Web dans les Services Web 3 appelle la configuration de connexion JAAS pour valider le jeton LTPA et le configurer dans le contexte de sécurité en cours sous la forme du sujet JAAS.
  10. Les services Web 3 sont configurés pour envoyer la sécurité LTPA aux services web 4. Dans ce cas, considérez que le rôle d'exécution (RunAs) n'est pas configuré pour les Services Web 3. Le jeton LTPA de user2 est propagé aux Services Web 4.
  11. Le client 2 utilise l'élément <wsse:UsernameToken> pour propager les données d'authentification de base aux services Web 4.

La sécurité des services Web complète l'exécution de la sécurité de WebSphere Application Server et la sécurité Java EE à base de rôles. Cet exemple indique comment propager les jetons de sécurité à plusieurs ressources, telles que des services Web et des fichiers EJB.


Icône indiquant le type de rubrique Rubrique de concept



Icône d'horodatage Dernière mise à jour: last_date
http://www14.software.ibm.com/webapp/wsbroker/redirect?version=cord&product=was-nd-mp&topic=cwbs_usagescen
Nom du fichier : cwbs_usagescen.html