文档介绍：SOA 安全
SOA 安全
安全对于许多的 IT 部门来说都是一个重要的问题之一,但是 SOA 安全问题完全是在
另一个新的纬度上了。对于 SOA 为一个机构所带来的许多的好处,例如具有在许多不同的
提供者和供应商的情况下混合和匹配服务,或者以一种独立于平台的形式来授权访问数
据,有许多的实现细节在处理服务类型架构的时候就将被很早的注意到。安全就是这样的
一个领域,如果没有在它上面付出应有的努力,那么它就会成为使得任何 SOA 的举动失
败。
如果你有一个运行在 SOA 环境下的应用程序,固定在网络层的安全也许是最为直接和
非入侵的方式来提高安全的,尽管它不需要修改底层的应用程序。为了完成能够使 SOA 安
全目的,我们找到了和安全相关的 WS-*标准。他们是严格的设计来用于 SOA 有效载荷载在
服务之间的传送的。
通过这些我们总结了确保你的 SOA 安全方式。你也许看到了,一些技术需要更加冗长
的实现过程,而其他的一些也许更加直接,但是不管你决定采用什么方式,你的 SOA 都不
能忽略这个问题。
确保 SOA 安全最佳做法
安全对于许多的 IT 部门来说都是一个重要的问题之一,但是 SOA 安全问题完全是在
另一个新的纬度上了。当服务的混合和匹配可以开启一系列的商务处理的可能性的时候,
如果底层的服务没有采取足够严格的策略来处理它们可能会涉及到的许多的交互,那么它
也可以开启一个潘多拉盒,成为灾难之源。
TT SOA 技术专题之“SOA 安全” Page 2 of 23
锁定你的 SOA 确保服务安全
SOA 的灵活性会威胁你的安全吗?
SOA 安全标准
Web Services Framework(WSF)中的安全标准已经取得了显著的进展,越来越多的产
品都支持 WS-*安全架构的基础——Web Services Security(WS-S)。自从安全问题被越来
越多的关注,原先在 Web 服务和 SOA 部署阶段采用的安全标准被寄予了更多的厚望。
SOA 和 Web 服务安全问题占据首要位置
十亿 ID,SAML 在 Web 服务标准竞争中占据优势
Burton: WS-*说明书不足以解决 SOA 安全问题
XML 安全
无论是电子安全还是物理安全,维持控制在安全管理中都很关键。大型组织在选择部
署 XML、Web 服务和面向服务的架构(SOA)后,随之而来的是需要在企业网络中控制信息
的传送。尽管上面这些技术都被仔细考虑过,但我们还是忽略了用户生成的 XML。
Concordia 和 XML 安全协同工作能力
即将到来的入侵:XML 会占据企业网络吗?
TT SOA 技术专题之“SOA 安全” Page 3 of 23
锁定你的 SOA 确保服务安全
对于 SOA 为一个机构所带来的许多的好处,例如具有在许多不同的提供者和供应商的
情况下混合和匹配服务,或者以一种独立于平台的形式来授权访问数据,有许多的实现细
节在处理服务类型架构的时候就将被很早的注意到。安全就是这样的一个领域,如果没有
在它上面付出应有的努力,那么它就会成为使得任何 SOA 的举动失败。
安全对于许多的 IT 部门来说都是一个重要的问题之一,但是 SOA 安全问题完全是在
另一个新的纬度上了。当服务的混合和匹配可以开启一系列的商务处理的可能性的时候,
如果底层的服务没有采取足够严格的策略来处理它们可能会涉及到的许多的交互,那么它
也可以开启一个潘多拉盒,成为灾难之源。
从另外一个方面来看,具有独立于平台的数据访问也就带来了开放,但是只有开放也
就会带来攻击的问题。如果没有进行必须的防备,那么你和你的商业合作伙伴的专用通道
将会轻易的被欺诈用户窃取到。
通过 XML 标准或在网络层次上提供的,安全可以放在 SOA 概念栈,也就是 WS-*/SOAP
规范的许多不同层次上。
如果你有一个运行在 SOA 环境下的应用程序,固定在网络层的安全也许是最为直接和
非入侵的方式来提高安全的,尽管它不需要修改底层的应用程序。
许多的 SOA 网络安全策略和许多的基于 Web 的应用程序是采用相同的策略的,他们采
用的方式都可以归结为创建一个虚拟局域网(virtual work)来排除服务器和
客户端的交互,使用数字证书来建立 SSL(secure socket layer)保护或者 HTTPS,或者通
过在软件或者硬件上部署防火墙基础架构来检测通过