Use essa página para definir as configurações do manipulador de retorno de chamada para o JAX-WS, que determinam como os tokens de segurança são adquiridos a partir dos cabeçalhos de mensagem.
É possível configurar definições do manipulador de retorno de chamada quando se está editando uma ligação geral no nível do servidor ou no nível da célula. Também pode configurar ligações específicas do aplicativo para tokens e partes de mensagem necessárias pelo conjunto de política.
Evitar Problemas: Antes de especificar
valores para as propriedades Keystore e Chave
nesta página, você deve saber que as informações de keystore/alias fornecidas para o
gerador e as informações de keystore/alias fornecidas para o consumidor são usadas para
propósitos diferentes.
A principal diferença se aplica ao alias de um manipulador de retorno de chamada X.509.
gotcha- Gerador
- Quando usado em associação com um gerador de criptografia, o alias
fornecido para o gerador é usado para recuperar a chave pública para
criptografar a mensagem. Uma senha não é necessária. O alias inserido em um manipulador
de retorno de chamada associado a um gerador de criptografia deve estar
acessível sem uma senha. Isso significa que o alias não deve ter informações
de chave privada associadas a ele no keystore. Quando usado em associação com um gerador de assinatura, o alias fornecido para o gerador é usado para recuperar a chave privada para assinar a mensagem. Uma senha é necessária.
![[Updated in October 2013]](../images/delta.gif)
Evitar Problemas: Como um alias usado para assinar uma mensagem requer uma senha, e um alias
usado para criptografar uma mensagem requer que não haja senha, não é possível usar o mesmo alias para um
gerador de assinatura e um gerador de criptografia.gotcha![[Updated in October 2013]](../images/deltaend.gif)
- Consumidor
- Quando usado em associação com um consumidor de criptografia, o alias
fornecido para o consumidor é usado para recuperar a chave privada para
decriptografar a mensagem. Uma senha é necessária.
Quando usado em associação com um consumidor de assinatura, o alias fornecido para o consumidor é usado exclusivamente para recuperar a chave pública que é usada para resolver um certificado X.509 que não passou no cabeçalho de segurança SOAP como um BinarySecurityToken. Uma senha não é necessária.
O alias inserido em um manipulador de retorno de chamada associado a um consumidor de assinatura deve estar acessível sem uma senha. Isso significa que o alias não deve ter informações de chave privada associadas a ela no keystore.
Quando o certificado X.509 não passar no cabeçalho de segurança SOAP como um BinarySecurityToken, uma SecurityTokenReference aparecerá no elemento KeyInfo dentro do elemento Signature no cabeçalho de segurança SOAP que será usada para resolver o certificado X.509. Os métodos que podem ser usados são Identificador de chaves, Nome do emissor e série do emissor X.509 e Impressão Digital. O consumidor aceitará qualquer um desses três métodos para resolver um certificado X.509 fora da mensagem quando um keystore/alias for configurado para um consumidor de token X.509 associado a um consumidor de assinatura. O consumidor de token X.509 não resolve dinamicamente certificados que aparecem fora da mensagem para entradas em um keystore. Os certificados que serão usados devem ser conhecidos no momento da configuração e codificados permanentemente no manipulador de retorno de chamada do consumidor de token X.509.
Quando um certificado X.509 tiver de ser resolvido fora da mensagem, será possível resolver diversos certificados ao usar ligações gerais, mas somente um ao usar ligações específicas do aplicativo. Somente um certificado poderá ser resolvido fora da mensagem quando as ligações específicas do aplicativo forem usadas, pois, em ligações específicas do aplicativo, há somente um consumidor de token X.509 disponível para uso. Como há somente um consumidor de token X.509 para uso, há somente um alias a ser usado, portanto, somente um certificado pode ser resolvido. Por exemplo, se o consumidor de token X.509 for configurado para o certificado A, e se o cliente A enviar o keyIdentifier para o certificado A, o certificado poderá ser recuperado. No entanto, se o cliente B enviar o keyIdentifier para o certificado B, o certificado não poderá ser recuperado e a mensagem será rejeitada.
Quando as ligações gerais são usadas, diversos consumidores de token X.509 podem ser criados, com cada um contendo diferentes certificados configurados neles (keystore/alias). Todos os consumidores de token X.509 associados aos certificados que deseja resolver serão designados às informações chave de Assinatura da configuração da parte assinada nas ligações.
Quando um certificado X.509 é enviado no cabeçalho de segurança SOAP como BinarySecurityToken, se houver um keystore/alias configurado no consumidor de token X.509 associado a um consumidor de assinatura, o certificado que é configurado no consumidor será comparado com relação ao certificado que passou na mensagem. Se eles não corresponderem, a mensagem será rejeitada. Esse comportamento é diferente do JAX-RPC. O certificado associado ao alias configurado no consumidor de token X.509 não é usado para avaliar a confiança no certificado de entrada. Apenas o armazenamento confiável e o armazenamento de certificados são usados para esse propósito.
Se desejar que o certificado configurado no consumidor de token X.509 associado a um consumidor de assinatura esteja disponível para a resolução KeyInfo, mas não rejeitar os certificados X.509 que passaram na mensagem que não corresponde, será possível incluir a seguinte propriedade customizada no manipulador de retorno de chamada do consumidor de token X.509:com.ibm.wsspi.wssecurity.consumer.callbackHandlerKeystoreLimitsAccess=false Evitar Problemas: Como um alias usado para decriptografar uma mensagem requer uma senha, e um alias
usado para verificar uma assinatura requer que não haja senha, não é possível usar o mesmo alias para um
consumidor de assinatura e um consumidor de criptografia.gotcha
- Clique em . O painel de ligações indica qual ligação está configurada como a ligação padrão, por exemplo, a ligação de amostra do provedor.
- Para editar essa ligação padrão, clique em .
- Clique no nome da ligação padrão conforme determinado na primeira etapa. Por exemplo, Amostra do Provedor.
- Clique na política WS-Security na tabela Políticas.
- Clique no link Autenticação e Proteção na seção de ligações da política de segurança da Mensagem Principal.
- Clique no link name_of_token na seção Tokens de proteção ou na seção Tokens de autenticação.
- Clique no link Manipulador de retorno de chamada.
- Clique em .
- Selecione um aplicativo que contenha serviços da web. O aplicativo deve conter um provedor de serviços ou um cliente de serviço.
- Clique no link Conjuntos de política e ligações do provedor de serviços ou em Conjuntos de política e ligações do cliente de serviço na seção Propriedades de Serviços da Web.
- Selecione uma ligação. Você deve ter conectado um conjunto de política e designado uma ligação específica do aplicativo.
- Clique na política WS-Security na tabela Políticas.
- Clique no link Autenticação e Proteção na seção de ligações da política de segurança da Mensagem Principal.
- Clique no link name_of_token na seção Tokens de proteção ou na seção Tokens de autenticação.
- Clique no link Manipulador de retorno de chamada.
Esta página do console administrativo se aplica somente aos aplicativos Java API for XML Web Services (JAX-WS).
O Manipulador de Retorno de Chamada exibe os campos de forma diferente para cada token que é configurado. Dependendo se você está configurando um token gerador ou consumidor para proteção ou se está configurando tokens de entrada ou saída para autenticação, as seções e campos do painel exibem alguns ou todos os campos explicados neste tópico, conforme informado na descrição de cada campo.
![[z/OS]](../ngzos.gif)
JCERACFKS