如何保证SOA安全

为了保证面向服务架构(SOA)的安全性，最简单也是最常见的解决方案是通过虚拟专用网络(VPN)发送服务请求。该方案提供的安全性足以满足简单和粗粒度的要求，兼容简单对象访问协议(SOAP)、REST和非Web服务协议，甚至足以满足很多外部集成场景的要求。然而，并非所有的安全场景都是简单的:对于复杂的需求和细粒度的SOA安全性，架构师必须大大加强规划和设计。要为SOA安全制定全面的策略和架构，架构师必须考虑安全需求、业务场景和应用程序基础架构的所有方面，并组合多种产品、标准和自定义组件，以形成灵活、健壮的SOA安全解决方案。

至少有10种产品可以在SOA安全架构中发挥作用，它们的功能在几个重要方面有重叠。SOA和Web服务安全规范具有模块化结构，这意味着架构师必须仔细规划将来使用哪些规范以及何时使用它们。对安全性有不同需求的业务场景可能需要结合不同的规范和产品。更复杂的是，许多标准和规范还没有完全成熟。因此，对于许多规范，业界没有太多的最佳实践经验。架构师可能会面临其他一些挑战，包括不同的SOA基础设施、多种SOA消息交换模型、跨多个环境统一安全性的需要，以及当一个服务调用另一个服务时跨层声明身份的需要。更不用说那些常见的问题，比如组织摩擦，成本，架构治理。

由于这些问题，很少有企业能够预先投资构建一个全面的、集成的SOA安全解决方案来满足未来的所有需求。这意味着架构师面临的最终挑战是逐步改进全面的解决方案。为了帮助获得这种循序渐进的解决方案，本文介绍了一系列完整的四个解决方案模型，展示了如何将不同的产品集成到SOA安全解决方案中以满足今天的需求，以及今天的解决方案如何为满足明天的需求留下后路。

场景一:简单VPN在短时间内提供基础解决方案。

先说第一款。一些SOA用户会遇到这种情况:目前，他们需要快速找到一个可接受的，尽管不理想的SOA安全解决方案。在这种情况下，SOA请求和响应只使用传输层安全机制来确保安全性。如果是SOAP和REST，一般是通过双向安全套接字层(SSL)协议实现。在VPN连接的情况下，通过公共互联网传输的请求是保密和安全的。简单的VPN方案通常使用隐式授权，任何通过VPN进入的请求都可以访问可用的服务。虽然一个简单的VPN可以支持识别每个用户身份的任务，但由于管理每个用户的证书需要巨大的管理开销，这种情况在实践中很少发生。简单的VPN通常被配置为服务消费者平台和服务平台之间的直接传输层连接——服务平台可以是应用服务器或简单的Web服务环境。根据Frest研究公司的调查，三分之二的SOA用户表示，单独使用简单的VPN也是保证SOA安全的重要手段。

节目成熟度:★★★★☆。

实现难度:★★★★☆☆

第二种场景:基于应用服务器的解决方案满足审计和合规的要求。

第二种模式基于应用服务器模式，第三种模式是单一中介模式，这两种模式都可以处理对单个用户进行身份验证和授权的任务。基于应用服务器的解决方案基于服务实现平台中的SOA安全功能，服务实现平台包括应用服务器、集成服务器、打包应用软件和软件即服务(SaaS)。由于服务平台可以根据实际终端用户保持安全环境，因此该方案便于实现高级授权策略。它还允许审核日志记录实际最终用户的服务请求活动，这对于隐私和其他法规要求的详细审核和合规性非常重要。虽然这种方案的优点是不需要现金支出来购买新的SOA专用产品，但是如果用户有多个平台，所需的配置和集成工作可能导致工时成本等于或超过购买和配置SOA专用产品的成本。

基于应用服务器的SOA安全往往基于简单的VPN连接。该场景的扩展应用可能包括使用单点登录或身份管理环境中的SOA或应用服务器安全插件，在应用服务器上的SOA服务和由身份管理产品控制的其他应用资产之间提供一致的安全性。

节目成熟度:★★★★☆。

实现难度:★★★★☆☆

第三个场景:单个中介集成了安全处理。

第三种模式是单一中介方案，将所有的SOA安全功能集中在用户的服务实现平台前面的策略实现点上。这简化了SOA安全性，并且所提供的单一解决方案(包括中介和管理工具)可以提供跨所有SOA服务的安全性，至少对于中介所支持的消息格式和协议是如此。但是，如果简单采用这种方案，服务平台实际上关闭了用户级的SOA安全功能，而由中介来处理所有的SOA安全。中介可能由几种不同的产品提供，包括SOA设备、SOA管理解决方案、企业服务总线(ESB)、面向集成的业务流程管理套件(IC-BPMS)或专门的SOA安全产品。

单个中介方案也可以基于简单的VPN连接。中介负责所有的SOA安全处理；因此，不要求服务平台支持任何特定的SOA安全性；这样，该解决方案可以支持广泛的服务平台。

节目成熟度:★★★★☆。

实施难度:★★★★☆

第四个场景:代理、分层和联合方法提供了完整的SOA安全性。

属于第四种模式的SOA安全解决方案深度全面集成，可以跨多层服务调用，保证每个服务平台都可以访问用户的身份；该方案还支持高级安全场景，如安全联盟和令牌交换。如今，很少有公司接触到这种解决方案，更不用说实现了。然而，随着SOA安全解决方案、标准和产品的不断成熟，以及隐私和金融法规的日益严格，先进的SOA安全解决方案将变得更加可行(包括成本和技术)。此外，有些场景可能肯定需要这种解决方案。代理、分层和联合SOA安全解决方案将使用多个标准，集成多个产品，并且很可能需要定制集成来集成所有部分。

为了逐步完善SOA安全策略，IT部门在设计时应尽力整合简单SOA安全模型和更复杂模型之间的连贯性和一致性。虽然企业可能习惯于在安全方面做出妥协，以避免高级代理、分层和联合安全策略的成本，但随着SOA安全的成熟和网络安全需求的增加，高级安全策略将逐渐变得更容易实现，也更有必要。

节目成熟度:★★★★☆☆

实施难度:★★★★☆

链式连接

SOA安全元素

与传统解决方案一样，SOA安全部署最有效的地方不是网关。IT人员需要根据当前情况进行部署，根据企业SOA的环境进行评估决策。IT用户可以学习企业解决网络访问管理(WAM)问题的方法，以改善保护SOA的交互状态，包括以下要点:

SOA安全网关:网关为进入企业的XML流量提供代理，并使用安全策略来确保某种形式的请求和验证。

SOA平台:在为SOA应用程序提供管理的同时，该平台还在身份验证和授权方面提供了一些基本的安全保护。

SOA容器:最终，每个应用程序将直接建立自己的安全功能来保护数据安全。