Arquitetura de Alto Nível para Web Services Security
A política do Web Services Security é especificada na extensão IBM® dos descritores de implementação de serviços da Web ao usar o modelo de programação JAX-RPC e nos conjuntos de política ao usar o modelo de programação JAX-WS. Um aplicativo cliente JAX-WS independente pode especificar a política do Web Services Security programaticamente. Os dados de ligação que suportam a política do Web Services Security são armazenados na extensão IBM dos descritores de implementação de serviços da Web para modelos de programação JAX-RPC e JAX-WS. O tempo de execução do Web Services Security impinge asserções de segurança que são especificadas no documento sobre políticas ou no programa de aplicativo, nessa ordem.
O WebSphere Application Server usa o modelo de implementação de serviços da Web do Java Platform, Enterprise Edition (Java EE) Versão 1.4 ou posterior para implementar o Web Services Security. Uma das vantagens do modelo de implementação é que é possível definir os requisitos do Web Services Security fora da lógica de negócios do aplicativo. Com a separação de funções, o desenvolvedor de aplicativos pode focalizar a lógica de negócios e o especialista em segurança pode especificar o requisito de segurança.
A figura a seguir mostra o modelo de arquitetura de alto nível que é usado para proteger serviços da Web no WebSphere Application Server:

O WSS API também pode ser usado para proteger a mensagem, como ilustrado posteriormente nesta seção:

- Gerador de Pedido
- Essa configuração do lado do cliente define os requisitos do Web Services Security para a solicitação de mensagem SOAP de saída. Estes requisitos podem envolver a geração de um pedido de mensagem SOAP que utiliza uma assinatura digital, incorpora criptografia e anexa tokens de segurança. No WebSphere Application Server Versões 5.0.2, 5.1 e 5.1.1, o gerador de pedidos era conhecido como emissor de pedido.
- Consumidor de Pedido
- Essa configuração do lado do servidor define os requisitos do Web Services Security para a solicitação de mensagem SOAP recebida. Estes requisitos podem envolver a verificação de que as partes de integridade requeridas estão assinadas digitalmente; a verificação da assinatura digital; a verificação de que as partes confidenciais requeridas foram criptografadas pelo gerador de pedido; a decriptografia das partes confidenciais requeridas; a validação de tokens de segurança e a verificação de que o contexto de segurança está configurado com a identidade apropriada. No WebSphere Application Server Versões 5.0.2, 5.1 e 5.1.1, o consumidor de pedido era conhecido como receptor de pedidos.
- Gerador de Resposta
- Essa configuração do lado do servidor define os requisitos do Web Services Security para a resposta da mensagem SOAP de saída. Esses requisitos podem envolver a geração da resposta de mensagem SOAP com o Web Services Security; incluindo assinatura digital; e criptografia e anexação dos tokens de segurança, se necessário. No WebSphere Application Server Versões 5.0.2, 5.1 e 5.1.1, o gerador de resposta era conhecido como emissor de resposta.
- Consumidor de Resposta
- Essa configuração do lado do cliente define os requisitos do Web Services Security para a resposta SOAP recebida. Os requisitos podem envolver a verificação de que as partes de integridade estão assinadas e a assinatura está verificada; a verificação de que as partes confidenciais requeridas estão criptografadas e que as partes estão decriptografadas e a validação dos tokens de segurança. No WebSphere Application Server Versões 5.0.2, 5.1 e 5.1.1, o consumidor de respostas era conhecido como receptor de resposta.
O WebSphere Application Server não inclui a negociação da política de segurança nem a troca entre o cliente e o servidor. Essa negociação de política de segurança, conforme definida pelas especificações WS-Policy, WS-PolicyAssertion e WS-SecurityPolicy não é suportada no WebSphere Application Server.
- Ferramentas de montagem da IBM
- Use as ferramentas do conjunto IBM para editar o descritor de implementação e a ligação do Web Services Security. Use as ferramentas para montar os módulos da Web e do Enterprise JavaBeans (EJB). Para obter informações adicionais, leia sobre ferramentas de montagem.
- WebSphere Application Server Administrative Console
- Use essa ferramenta para editar a ligação do Web Services Security de um aplicativo implementado.