Utilice esta página para configurar los valores del manejador de retorno de llamada para JAX-WS que determinan cómo se adquieren las señales de seguridad de las cabeceras de mensajes.
Puede configurar los valores del manejador de devolución de llamada al editar un enlace general a nivel de célula o a nivel de servidor. También puede configurar enlaces específicos de la aplicación para las señales y las partes del mensaje que el conjunto de políticas necesita.
Evite problemas: Antes de especificar ningún valor para las propiedades Almacén de claves y Clave en esta página, debe saber que la información del almacén de claves/alias que proporciona al generador y que la información del almacén de claves/alias que proporciona al consumidor se utilizan con fines distintos. La principal diferencia se aplica a los alias de un manejador de devolución de llamada X.509: gotcha- Generador
- Cuando se utiliza junto con un generador de cifrado, se utiliza el alias suministrado para el generador para recuperar la clave pública con el fin de cifrar el mensaje.
No es necesaria ninguna contraseña. El alias que se indica en un manejador de devolución de llamada asociado a un generador de cifrado debe estar accesible sin una contraseña. Esto significa que el alias no debe tener información de clave privada asociada en el almacén de claves. Cuando se utiliza junto con un generador de firmas, el alias proporcionado para el generador se utiliza para recuperar la clave privada para firmar el mensaje. Es necesaria una contraseña.
![[Updated in October 2013]](../images/delta.gif)
Evite problemas: Debido a que un alias utilizado para firmar un mensaje necesita una contraseña, y un
alias utilizado para cifrar un mensaje necesita que no exista ninguna contraseña, no
puede utilizar el mismo alias para ambos, un generador de firmas y un generador de
cifrado. gotcha![[Updated in October 2013]](../images/deltaend.gif)
- Consumidor
- Cuando se utiliza junto con un consumidor de cifrado, el alias suministrado para el consumidor se utiliza para recuperar la clave privada con el fin de descifrar el mensaje. Se necesita una contraseña.
Cuando se utiliza asociado a un consumidor de firma, el alias suministrado para el consumidor se utiliza estrictamente para recuperar la clave pública que se utiliza para resolver un certificado X.509 que no se pasa a la cabecera de seguridad SOAP como BinarySecurityToken. No es necesaria ninguna contraseña.
El alias que se indica en un manejador de devolución de llamada asociado a un consumidor de firma debe estar accesible sin una contraseña. Esto significa que el alias no debe tener información de clave privada asociada en el almacén de claves.
Cuando se detecta un certificado X.509 que no se pasa a la cabecera de seguridad SOAP como BinarySecurityToken, aparecerá SecurityTokenReference en el elemento KeyInfo dentro del elemento Firma en la cabecera de seguridad SOAP que se utilizará para resolver el certificado X.509. Los métodos que se pueden utilizar son Identificador de clave, Nombre de usuario y serie de usuario X509 y Certificado de huella. El consumidor aceptará cualquiera de estos tres métodos para resolver un certificado X.509 fuera del mensaje cuando se configura un almacén de claves/alias para un consumidor de señales X.509 asociado con un consumidor de firma. El consumidor de señales X.509 no resuelve dinámicamente los certificados que aparecen fuera del mensaje en entradas de un almacén de claves. Los certificados que se van a utilizar deben conocerse en el momento de la configuración y se deben codificar en el manejador de devolución de llamadas del consumidor de señales X.509.
Cuando un certificado X.509 se ha de resolver fuera del mensaje, puede resolver varios certificados cuando se utilizan enlaces generales, pero sólo uno cuando se utilizan enlaces específicos de la aplicación. Sólo se puede resolver un certificado fuera del mensaje cuando se utilizan enlaces específicos de la aplicación porque, en los enlaces específicos de la aplicación, sólo hay un consumidor de señales X.509 disponible para utilizarse. Dado que sólo hay un consumidor de señales X.509 para utilizar, sólo hay un alias para utilizarse, por lo tanto, sólo se puede resolver un certificado. Por ejemplo, si el consumidor de señal X.509 está configurado para el certificado A, si el cliente A envía keyIdentifier para un certificado A, el certificado se puede recuperar. No obstante, si el cliente B envía keyIdentifier para el certificado B, el certificado no se podrá recuperar y se rechazará el mensaje.
Cuando se utilizan los enlaces generales, se pueden crear varios consumidores de señales X.509 que tengan varios certificados configurados en cada uno de ellos (almacén de claves/alias). Todos los consumidores de señales X.509 asociados con los certificados que desea resolver se asignarían a la información de claves de firma de la configuración de la parte firmada en los enlaces.
Cuando se envía un certificado X.509 en la cabecera de seguridad SOAP como BinarySecurityToken, si hay configurado un almacén de claves/alias en el consumidor de señal X.509 asociado a un consumidor de firma, el certificado que se configure en el consumidor se comparará con el que se analice en el mensaje. Si no coinciden, se rechazará el mensaje. Este comportamiento es diferente de JAX-RPC. El certificado asociado al alias configurado en el consumidor de señales X.509 no se utiliza para evaluar la confianza en el certificado de entrada. Solamente se utilizan con este fin el almacén de confianza y los almacenes de certificados.
Si desea que el certificado configurado en el consumidor de señales X.509 asociado a un consumidor de firma esté disponible para la resolución de KeyInfo, pero que no rechace certificados X.509 que se pasan en el mensaje que no coinciden, puede añadir la siguiente propiedad personalizada al manejador de devolución de llamadas del consumidor de señales X.509:com.ibm.wsspi.wssecurity.consumer.callbackHandlerKeystoreLimitsAccess=false Evite problemas: Debido a que un alias utilizado para descifrar un mensaje necesita una contraseña, y
un alias utilizado para verificar una firma necesita que no exista ninguna
contraseña, no puede utilizar el mismo alias para ambos, un consumidor de firmas y
un consumidor de cifrado. gotcha
- Pulse . El panel de enlaces indica qué enlace se ha establecido como enlace predeterminado, por ejemplo, el enlace de ejemplo de Proveedor.
- Para editar este enlace predeterminado, pulse .
- Pulse el nombre del enlace predeterminado determinado en el primer paso. Por ejemplo, Ejemplo de proveedor.
- Pulse en la política WS-Security en la tabla Políticas.
- Pulse en el enlace Autenticación y protección en la sección Enlaces principales de la política de seguridad de mensajes.
- Pulse el enlace nombre_de_señal en la sección Señales de protección o en la sección Señales de autenticación.
- Pulse el enlace Manejador de devolución de llamada.
- Pulse .
- Seleccione una aplicación que contenga servicios web. La aplicación debe contener un proveedor o cliente de servicios.
- Pulse el enlace Conjuntos de políticas y enlaces del proveedor de servicios o Conjuntos de políticas y enlaces del cliente de servicio en la sección Propiedades de servicios web.
- Seleccione un enlace. Debe tener previamente conectado un conjunto de políticas y asignado un enlace específico de aplicación.
- Pulse en la política WS-Security en la tabla Políticas.
- Pulse en el enlace Autenticación y protección en la sección Enlaces principales de la política de seguridad de mensajes.
- Pulse el enlace nombre_de_señal en la sección Señales de protección o en la sección Señales de autenticación.
- Pulse el enlace Manejador de devolución de llamada.
Esta página de la consola administrativa se aplica sólo a las aplicaciones JAX-WS (Java API for XML Web Services).
El Manejador de retorno de llamada muestra campos de otra manera para los diferentes símbolos que se configuran. Según se configuren símbolos de generador o consumidor para la protección o símbolos de entrada o salida para la autenticación, las secciones y los campos de este panel muestran alguno o todos los campos que se describen en este tema, como se indica en la descripción de cada campo.
![[z/OS]](../ngzos.gif)
JCERACFKS