Combinaison des modèles de sécurité

Les environnements de programmation de WebSphere Application Server version 6 ou ultérieure peuvent comprendre des protocoles et des canaux différents. Chacune de ces applications répond à des besoins différents au sein de votre entreprise.

Par exemple, vous pouvez accéder à :
  • une application Web par transport HTTP (un servlet, un fichier JSP (JavaServer Pages), du HTML, etc.),
  • une application d'entreprise par RMI (Remote Method Invocation) via le protocole RMI/IIOP (Internet Inter-ORB),
  • une application de services Web par SOAP via HTTP, SOAP via JMS (Java™ Message Service), ou SOAP via le protocole RMI/IIOP.

En outre, les services Web sont souvent mis en oeuvre en tant que servlets avec un fichier Enterprise JavaBeans (EJB). Ainsi, vous pouvez associer le modèle de sécurité des services Web au modèle de sécurité Java EE (Java Platform, Enterprise Edition) pour les composants Web et EJB. La sécurité des services Web complète la sécurité Java EE fondée sur les rôles et la phase d'exécution de WebSphere Application Server version 6 ou ultérieure.

La sécurité des services Web peut également tirer parti des fonctions de sécurité Java EE et de l'environnement d'exécution de la sécurité de WebSphere Application Server version 6 ou ultérieure. Par exemple, la sécurité des services Web peut utiliser les fonctions de sécurité suivantes pour assurer le déploiement d'un environnement de sécurité de bout en bout :
  • Utilisation du système d'exploitation local, du protocole LDAP (Lightweight Directory Access Protocol) et de registres d'utilisateurs personnalisés pour authentifier le jeton du nom d'utilisateur
  • Propagation du jeton de sécurité LDAP (Lightweight Third Party Authentication) dans le message SOAP
  • Utilisation de la vérification d'identité
  • Utilisation d'un intercepteur TAI (Trust Association Interceptor)
  • Activation de la propagation des attributs de sécurité
  • Utilisation du mécanisme d'autorisation fondé sur les rôles Java EE
  • Utilisation d'un fournisseur d'autorisation JAAC (Java Authorization Contract for Containers), tel que Tivoli Access Manager

Dans le schéma ci-dessous, des protocoles de sécurité différents sont utilisés pour envoyer des informations d'authentification au serveur d'applications. Pour un service Web, vous pouvez utiliser l'authentification de base HTTP avec SSL (Secure Sockets Layer) ou le jeton du nom d'utilisateur WS-Security avec une procédure de signature et de chiffrement. Dans le schéma ci-dessous, lorsque l'identité bob de la sécurité des Services Web est authentifiée et définie comme l'identité de l'appelant de la requête de message SOAP, le conteneur Java EE Enterprise JavaBeans lance la procédure d'autorisation en utilisant bob avant que l'appel ne soit transmis à l'implémentation des services, c'est-à-dire au bean enterprise, en l'occurrence.

Protocoles de sécurité utilisés pour envoyer les informations d'authentification au serveur d'applications

Vous pouvez sécuriser un service Web en utilisant la sécurité de la couche de transport. Par exemple, lorsque vous utilisez SOAP sur HTTP, le protocole HTTP peut être utilisé pour sécuriser le service Web. Toutefois, la sécurité de la couche de transport fournit uniquement une sécurité de point à point. Cette couche de sécurité peut être adaptée à certains scénarios. Toutefois, lorsque le message SOAP doit passer par des serveurs intermédiaires (segments multiples) avant d'être traité par le noeud final cible, vous pouvez utiliser SOAP sur JMS (Java Message Service). Les scénarios d'utilisation et les conditions de sécurité requises déterminent la procédure de sécurisation des services Web. Les conditions requises varient en fonction de l'environnement d'exploitation et des besoins de l'entreprise. Toutefois, l'un des principaux avantages de la sécurité des services Web réside dans le fait qu'elle est indépendante de la couche de transport ; les mêmes contraintes de sécurité des services Web peuvent être utilisées pour SOAP sur HTTP, SOAP sur JMS ou SOAP sur RMI/IIOP.


Icône indiquant le type de rubrique Rubrique de concept



Icône d'horodatage Dernière mise à jour: last_date
http://www14.software.ibm.com/webapp/wsbroker/redirect?version=cord&product=was-nd-mp&topic=cwbs_secmodelmix
Nom du fichier : cwbs_secmodelmix.html