使用 Liberty 标记配置文件确保 Web 服务的安全

NetBeans Enterprise Pack 5.5 捆绑了所有必需的运行环境，从而使您可以开发基于身份验证的安全 Web 服务客户端和提供程序。这些运行环境包括：

• Sun Java System Application Server Platform Edition 9 Update 1
• Sun Java System Access Manager 7.1 和 Sun Java System Policy Agent 2.2 for Web Services

本教程向您说明了如何在企业或组织中确保基于身份验证的 Web 服务提供程序 (Web Service Provider, WSP) 的安全。在 Web 服务客户端与 Web 服务提供程序之间的 Web 服务交互中，身份验证具有如下特点：

• 对访问 Web 服务提供程序的 Web 服务客户端进行身份验证
• 对访问 Web 服务客户端以便能与 Web 服务提供程序对话的最终用户进行身份验证

Netbeans Enterprise Pack 为以下两类标记配置文件提供支持：

• 基本安全配置文件 (WSI) 标记只在 Web 服务客户端与 Web 服务提供程序之间的交互中使用。在此，传递给 Web 服务提供程序的唯一身份验证信息是 Web 服务客户端的身份验证信息。
• 当需要获取最终用户的身份验证时，才会使用 Liberty 安全标记配置文件。此处的最终用户是指使用 WSC 从 WSP 中请求服务的用户。IDE 将自动为 WSP 验证最终用户，并将 WSP Java EE Web 服务的安全环境设置为最终用户的安全环境。

本教程介绍了 IDE 是如何使用 Liberty 标记配置文件将调用方的身份验证发送到日历服务的。

返回页首

配置教程环境

1. 启动 IDE。
2. 要验证是否在 IDE 中配置了 Sun Java System Application Server，请单击“运行环境”标签，然后展开“服务器”节点。
3. 如果“服务器”节点不包含 "Sun Java System Application Server 9" 节点，请按照添加应用服务器中的步骤进行操作。
4. 在“运行环境”窗口中，展开“服务器”节点，右键单击 "Sun Java System Application Server 9" 节点，然后从弹出式菜单中选择“启动”。
   一直等到“输出”窗口中显示以下消息：
   “应用服务器启动完成。”
   当服务器处于运行状态时，IDE 将在 "Sun Java System Application Server 9" 节点的旁边显示一个绿色箭头标记。
   注意：如果“启动”选项不可用，则说明服务器已在运行。

返回页首

创建教程项目

两个教程项目为：CalendarServer 和 CalendarClient。日历应用程序是对创建日历事件的简单实现。它包含了日历事件的静态图并可根据需要返回它们。

创建 CalendarServer 项目：

1. 从 IDE 的主菜单中，选择“文件”>“新建项目”。
2. 在“类别”列表中，展开“样例”节点，然后选择 "Identity Blueprint" 节点。
3. 在“项目”列表中，选择“日历服务”。
4. 单击“下一步”。
5. 接受缺省项目名称 (CalendarServer)，您可以选择更改项目的位置。
6. 单击“完成”。
   将显示一个进度对话框，然后会在“项目”窗口中显示 "CalendarServer" 项目节点。

创建 CalendarClient 项目：

1. 从 IDE 的主菜单中，选择“文件”>“新建项目”。
2. 在“类别”列表中，展开“样例”节点，然后选择 "Identity Blueprint" 节点。
3. 在“项目”列表中，选择“日历客户端”。
4. 单击“下一步”。
5. 接受缺省项目名称 (CalendarClient) 和项目位置值。
6. 单击“完成”。
   将显示一个进度对话框，然后会在“项目”窗口中显示 "CalendarClient" 项目节点。

返回页首

使用 Liberty 安全机制确保 Web 服务的安全

在部署项目之前，必须使用一个 Liberty 安全机制来确保 Web 服务的安全。在本方案中，我们将使用 Liberty Bearer Token 安全配置文件。

配置 Web 服务提供程序：

1. 在“项目”窗口中，展开 "CalendarServer" 项目节点和“Web 服务”节点。
2. 在“Web 服务”节点下面，右键单击 "CalendarService" 节点，然后从弹出式菜单中选择“编辑 Web 服务属性”。
   在打开 Web 服务属性编辑器的同时，“安全”标签将处于选中状态，从而使您可以在其中配置 Web 服务提供程序的安全功能。
3. 选中“启用消息级别安全功能”复选框。
4. 在“安全机制”下面，从“请求”下拉列表中选择 "LibertyBearerToken"。
   
   

   

5. 单击“确定”。

配置 Web 服务客户端：

1. 在“项目”窗口中，展开 "CalendarClient" 节点和“Web 服务引用”节点。
2. 在“Web 服务引用”节点下面，右键单击 "CalendarService" 节点，然后从弹出式菜单中选择“编辑 Web 服务属性”。
   在打开 Web 服务属性编辑器的同时，“安全”标签将处于选中状态，从而使您可以在其中配置 Web 服务客户端的安全功能。
3. 选中“启用消息级别安全功能”复选框。
4. 在“安全机制”下面，从“请求”下拉列表中选择 "LibertyDiscoverySecurity"。
5. 选中“验证响应”复选框以验证响应。
6. 在“现有证书设置”下面，将“使用缺省密钥库”复选框保留为选中状态。
   
   

   

7. 单击“确定”。

返回页首

部署并运行项目

1. 在“项目”窗口中，右键单击 "CalendarServer" 项目节点，然后选择“部署项目”。
   IDE 将执行以下操作：
   
   • 启动应用服务器（如果尚未启动）。
   • 生成 CalendarServer 项目。
     您可以在“输出”窗口中看到生成结果。
   • 将 server.war 部署到应用服务器上。
2. 在“项目”窗口中，右键单击 "CalendarClient" 项目节点，然后选择“运行项目”。
   IDE 将执行以下操作：
   
   • 生成 CalendarClient 项目。
     您可以在“输出”窗口中看到生成结果。
   • 将 client.war 部署到应用服务器上。
   • 在浏览器中打开应用程序。
3. 在“用户名”和“口令”字段中键入 jsmith。
   
   

   

4. 单击“登录”。
   将打开应用程序的欢迎页。
5. 从下拉列表中选择 "jsmith"，然后在日期字段中输入日期，或者接受缺省值。
   
   

   

6. 单击 "Get events"。
   请注意，这样就发布了 jsmith 的日历。
   
   

   

返回页首

浏览客户端应用程序部署描述符

1. 在“项目”窗口中，展开 "CalendarClient" 项目节点，然后展开“配置文件”节点。
2. 右键单击 "sun-web.xml" 节点，然后选择“编辑”。
   请注意第 3 行：
   
   

   <sun-web-app error-url="" httpservlet-security-provider="AMHttpProvider">

   
   然后从第 15 行开始查看：
   
   

   <message-security-binding auth-layer="SOAP" provider-id="AMClientProvider">
   	<message-security>
   		<message/>
   		<request-protection auth-source="content"/>
   		<response-protection auth-source="content"/>
   	</message-security>
   </message-security-binding>
   

   
   请注意，这些提供程序确保了 Web 服务使用 Liberty 标记配置文件来保证与 CalendarServer 的安全对话。
   下图说明了通过身份验证提供程序 (Identity Provider, IDP) 和搜索服务 (Discovery Service, Disco) 完成的从 Web 服务客户端 (Web Service Client, WSC) 到 Web 服务提供程序 (Web Service Provider, WSP) 的请求工作流。请记住，此 WSC 访问中涉及一个最终用户，并且该用户的身份验证是在此安全环境中最终传送给 Web 服务提供程序的身份验证。
   
   

   

   上图中提到的 HTTPProvider 是在 Sun 部署描述符中配置的 AMHttpProvider。类似地，SOAPProvider 是在 Sun 部署描述符中配置的 AMClientProvider。WSP 首先是作为 IDE 中的部署部分在搜索服务中进行注册的。然后，当 WSC 尝试向 WSP 发送请求时，先使用访问管理器对访问 WSC 的最终用户进行成功验证以便与搜索服务进行交互。接下来，工作流会继续获取 WSP 凭证，并将请求发送给 WSP。收到请求后，WSP 中配置的 Liberty SOAPProvider 执行标记验证，并将主题设置为 WSC 端的验证用户的主题。此时，将继续执行 WSP 的业务逻辑。

返回页首

浏览日志文件

本部分中的说明是可选的。对于需要查看日志文件中的更改的用户，这些说明将会很适用。

1. 在继续执行下一步之前，请启用最详细的日志记录级别。
   请按照更改应用服务器上的安全级别中的说明进行操作。
2. 在“项目”窗口中，右键单击 "CalendarClient" 项目节点，然后从弹出式菜单中选择“运行项目”。
3. 在以下目录中，打开应用服务器日志文件 (server.log)：application-server-installation-directory\domains\domain1\logs。
   如果在安装过程中接受了缺省值，则该目录应为 C:\Sun\AppServer\domains\domain1\logs。
4. 查找 ServerAuthContext.validateRequest 和 ClientAuthContext.secureRequest 以查看日志文件中的更改。
   下面的链接提供了日志文件修改部分的样例。
   
   • ServerAuthContext.validateRequest
   • ClientAuthContext.secureRequest

返回页首

其他配置任务

本部分提供了您可能需要执行的其他配置任务的相关信息。

返回页首

疑难解答

本部分将为您可能遇到的问题提供有关解决方法的信息。

Caught an exception java.rmi.ServerException: JAXRPCSERVLET28: Missing port information

返回页首

参考资料

• 自由联盟计划身份验证 Web 服务框架规范 (PDF)
• Sun Java System Application Server Platform Edition 9 文档
• 有关使用 Liberty 安全标记配置文件以确保 Web 服务安全的任何其他问题的解答，请参见 NetBeans wiki 中的 NetBeans 用户常见问题解答。
• 使用 SAML 或 UserNameToken 配置文件确保 Web 服务的安全

返回页首

小结

在本教程中，您使用了 NetBeans Enterprise Pack 5.5 来确保基于身份验证的 Web 服务提供程序 (Web Service Provider, WSP) 的安全。您对日历 Web 服务使用了基于 Liberty 安全配置文件的验证，并且还了解了如何确保基于身份验证的 Web 服务提供程序 (Web Service Provider, WSP) 的安全，以及如何验证通过 Web 服务客户端 (Web Service Client, WSC) 访问 Web 服务的用户。本教程向您说明了 NetBeans 提供的安全验证的简单易用性，因为您只需使用 Web 服务客户端和提供程序安全配置向导！

返回页首