基于Ａｘｉｓ的Ｗｅｂ服务身份验证策略管理.docVIP

基于Ａｘｉｓ的Ｗｅｂ服务身份验证策略管理 　　摘 要：Web服务身份验证策略是Web服务安全的重要组成部分。针对当前Web服务身份验证策略管理、部署中策略交互协调的问题，提出根据客户端安全级别进行Web服务身份验证策略管理，同时提出方法以动态协调当前服务策略。验证策略查询服务作为策略选择的核心部分，为客户端和服务器端提供策略查询以实现动态调用相应的策略。根据这一方法，基于J2EE的相关技术，实现在Axis上的验证策略管理。并且支持动态策略的部署，增加了系统的灵活性和扩展性。 　　关键词：Web服务；身份验证；策略选择；Axis 　　中图分类号：TP393文献标识码：B 　　文章编号：1004-373X(2008)24-122-05 　　 　　Management of Web Service Identity Policy Based on Axis 　　REN Kui,WANG Pu,LI Yafen 　　(College of Electronic Information Control Engineering,Beijing University of Technology,Beijing,100022,China) 　　Abstract： The security identity policy of Web service is an important part of Web service security.This paper makes a point of the disadvantage of correspondence in the management and deployment of Web services′security identity policy at present.It advances to apply different policies of Web service according to the secure level of the client and the method to correspond the policy deployment dynamically.As the core of the design,the identity policy query service helps the server and client to query and deploy dynamically the relevant policy.According to the method,the paper realizes the identity policy management on the axis based on J2EE technology.And it helps to support the policy dynamic deployment to improve flexibility and expansibility. 　　Keywords：Web service;identity;policy choise;Axis 　　 　　1 引 言 　　 　　随着Web服务技术的日趋成熟，越来越多的Web服务标准和产品相应发展起来，随之而来的是Web服务的安全也日趋严峻。以用户为中心的服务授权［1］已经采用。但是其中身份验证策略作为Web服务的一项重要安全任务，受到广泛关注。文献［2,3］中指出Web服务策略的重要作用，以及应用方法。在W3C管理发布的标准WS-Security［4］中，WS-Security框架支持的身份验证令牌包括用户名令牌、X.509证书令牌、Koreros票据令牌、SAML令牌等。因此在进行身份验证时，Web服务的客户端开发者与服务器端开发者需要事先协商令牌的类型与信息，从而制定相应策略。 　　基于区分不同安全级别的考虑，本文认为对于不同的客户端，服务器端应考虑采用不同的验证策略。文献［5,6］提出基于事件的方法来实现验证方法的不同。本文认为，在进行客户端一些基本信息识别后，服务器端完全可以根据部署策略钓用相应的处理对客户端验证。因此据此首先对客户端基本信息进行验证，从而进行策略的查询选取，进而实现对客户端身份的验证。 　　在实现过程中，本文选取的Web服务容器是现在广泛使用的开源产品Axis。在安全方面Axis对 Web服务的支持，需要进行相关扩展。因此基于Axis的体系结构［7］，并结合J2EE应用系统的相关技术，设计并实现基于Axis的身份验证策略管理。为了说明策略部署选择，将首先介绍Axis的相关情况，然后以此为基点，阐述Axis下Web服务身份验证策略管理的实现方法。