本文的其余部分将详述上述步骤。本文的第一部分介绍如何设置系统和安装必需的应用程序。第二部分详述如何将 WS-Notification 应用程序配置为带有所选的策略集和绑定。最后是一个演练示例。

本文假定您将创建一个单一 WebSphere Application Server，并使用单一通知代理支持个别生产者和使用者 WS-Notification 应用程序相互之间的通信。

可以使用两种方法启用管理安全性：在概要创建期间，或者在概要创建后。

• 联合存储库
• 本地操作系统注册表
• 单独的轻量级目录访问协议 (LDAP) 注册表
• 单独的自定义注册表

如果您创建了一个禁用安全性的概要，请按照下面的步骤启用管理安全性。

本部分将先创建一个总线，然后将该服务器作为总线成员添加到该总线中。如果您有一个总线，且启用了总线安全性和配置了总线成员，则可以跳过此部分。

创建服务集成总线

服务集成总线是 WS-Notification 中的一种必需资源。前面已经提及，WS-Notification 支持发布/订阅消息模式。WS-Notification 应用程序发布的通知将被插入到服务集成总线中，连接到该总线的其他任何应用程序都可以修改、重新路由或使用这些通知。同样，由服务集成总线客户端（如 JMS）发送的发布也可被 WS-Notification 使用者接收。接下来，我们将创建一个总线：

新创建的总线 WSNBus 已启用了安全性。保护服务集成总线安全可为该总线提供一个授权策略，以防止未授权用户获得访问权。换句话说，只有经过授权的用户才可以通过访问该总线来放置或检索消息。因此，要让 WSN 服务访问该总线，必须提供必要的凭据（如用户名和密码）。

将服务器添加为总线成员

您需要将应用服务器添加为总线成员，这样您才可以创建消息引擎，并使用它管理消息传递资源。您可以配置该消息引擎以使用文件存储或数据存储。本文中我们使用文件存储。

创建 Version 7.0 WS-Notification 服务和服务点

如果已经使用动态主题命名空间创建了 Version 7.0 WS-Notification 服务和服务点，则可以跳过此部分。不过，建议按照以下说明创建独立的 WS-Notification 服务：

正如本 WS-Notification 系列的第 1 部分中所述，要使用 WS-Notification 服务，一般需要部署三个应用程序：WSN 发布者、WSN 订阅者和 WSN 使用者。（注意，在某些用例中，应用程序设计者可能会选择将订阅者和使用者角色合并到单个应用程序中。）在本文中，我们使用了以下三个应用程序：

• WSNPublisher.ear——发布 WS-Notification 消息
• WSNConsumer.ear——使用由 WSN 发布者发布的 WS-Notification 消息
• WSNSubscriber.ear——在 WS-Notification 服务通过 WS-Notification 服务点订阅特定主题

此步骤是可选的。这说明您可以将传输级安全性与消息级安全性一起使用。传输级 安全性加密客户端与服务之间的完整通信（在单个网络跃点上），而消息级安全性仅加密 SOAP 消息。传输级安全性提供了点对点安全性，由于我们需要端到端的安全性，因此 Web 服务存在一些不足之处，其中两个端点之间可能会存在多个中间节点。消息级 安全性提供了端到端的消息保护。在保护 WS-Notification 应用程序时，通过排除此部分即可只使用消息级 WS-Security。本文演示同时使用传输级和消息级安全性来确保 WS-Notification 应用程序的安全。

缺省情况下，服务点使用的 HTTP 上的 SOAP 端点同时接受 HTTP 和 HTTPS 请求。由于所有信息都是以明文形式发送，因此 HTTP 本身是一个不安全协议。要保证 HTTP 安全，您可以应用传输级安全性，以确保通过基础传输的 Web 服务消息的安全。

可通过以下方式选择 HTTPS：将您的 WS-Notification 服务的每个 WS-Notification 服务点上的端点 URL 前缀更改为 https://，然后修改端口以引用由该服务器使用的 HTTPS 端口（缺省端口为 9443）。要实现这一点，请按照下面的说明操作：

对 WS-Notification 服务点应用程序 WSN_WSNSecureService_WSNSecureServicePt 和您的 WSNConsumer 应用程序重复上述操作，以配置您的服务提供者使用安全传输 HTTPS。

保存更改后，通过导航到 Enterprise Applications => WSN_WSNSecureService_WSNSecureServicePt => [Web Services properties] Publish WSDL files 发布 WS-Notification 服务点的 WSDL 文件 (NotificationBroker.wsdl、PublisherRegistrationManager.wsdl 和 SubscriptionManager.wsdl)。您会注意到这三个 Web 服务端口的端点 URL 均以 https://your_host_name:9443 开头。请注意，该配置仅将该端点公开为 HTTPS，您仍可以访问非安全端口。如果您想强制该客户端仅使用 HTTPS，则需要在 WS-Notification 服务点和 WSNConsumer 上附加 HTTPS 策略类型，这超出了本文的讨论范围。

回页首

在创建 WS-Notification 服务后，可将适当的策略集和绑定附加到 WS-Notification 应用程序中。本文中使用的策略集是 Username WSSecurity default，该策略集带有基本的身份验证和消息级安全性。策略集绑定包含特定于平台的信息，如密钥存储库、身份验证或永久信息。无论何时将 WS-Security 策略集附加到应用程序，您都需要附加相应的绑定文件。以下步骤将详述如何为策略集 Username WSSecurity default 创建绑定文件，然后如何将该策略集和绑定附加到 WS-Notification 应用程序。

对于 JAX-WS 应用程序，您可以附加 WS-Security 策略集和绑定来保护消息的安全。

如上所述，您可以将绑定与策略集关联，因为该绑定包含有关密钥存储的信息、用于数字签名和加密的密钥，以及身份验证和永久信息。在 WebSphere Application Server V7.0 中，有两种类型的绑定：应用程序绑定和通用绑定。通用绑定是 WebSphere Application Server V7.0 的一项新功能。应用程序绑定 是特定应用程序的专用绑定，而通用绑定 可以由多个应用程序重复使用。本文使用通用绑定以供不同的应用程序重复使用该绑定。

共有两种类型的通用绑定：

• 通用提供者策略集绑定——适用于 Web 服务提供商
• 通用客户端策略集绑定——适用于 Web 服务客户端

创建通用绑定的一个简便方法是复制现有的客户端/提供者绑定，然后编辑新创建的绑定。本文使用缺省通用绑定 Sample client 和 Sample provider 仅作为模板演示。请注意，由于该示例绑定使用示例密钥和密钥存储，因此建议不要将示例通用绑定用于生产中，并且必须更改密钥和密钥存储。

创建通用客户端绑定的操作方法：

创建通用提供者绑定的操作方法：

• 复制提供者示例绑定。
  与复制客户端示例绑定类似，通过选择 Services => Policy sets => General provider policy set bindings 复制提供者示例绑定。在本文中，我们将新创建的提供者绑定称为 WSNProviderGeneralBinding。

配置新创建的绑定的操作方法：

在 WSNProviderGeneralBinding 中，您需要通过配置调用方设置指定身份验证方法，这需要指定用于身份验证的令牌和消息部分。

通过管理控制台附加策略集和绑定

如前所述，在您将策略集附加到应用程序时，还需要附加适当的绑定以便指定该配置。以下部分将详述如何附加策略集 Username WSSecurity default 和通用客户端/提供者绑定。

将 Username WSSecurity 缺省策略集和 WSNClientGeneralBinding 绑定附加到 JAX-WS 服务客户端的操作步骤：

将策略集“Username WSSecurity default”和提供者绑定附加到 JAX-WS 服务提供者的操作步骤：

在本文中，有两个 JAX-WS 服务提供者：WSNConsumer 和 WSN_WSNSecureService_WSNSecureServicePt。

1. 通过选择 Service integration => WS-Notification => Service => WSN_client_name => [Additional Properties] Outbound request policy set and binding 导航到 WS-Notification 出站请求策略集和绑定屏幕，其中 WSN_client_name 是本文中的 WSNSecureService。

2. 将 Username WSSecurity default 策略集和客户端绑定（例如“WSNClientGeneralBinding”）附加到 WSNSecureService WSN 客户端。

对于 WS-Notification 服务客户端，该策略集附件在端点（端口）或操作级不受支持。因此，不可选择端点或操作，并且显示为继承附加到该服务客户端的任何策略集或绑定。

您还可以通过 Service clients 页将该策略集和绑定附加到 WS-Notification 出站请求。方法是选择 Service => Service clients，然后选择 OutboundNotificationService 和 OutboundRemotePublisherService 服务来附加 Username WSSecurity default 策略集和 WSNClientGeneralBinding 客户端绑定。

回页首

本文的最后一部分介绍了一个示例方案，在此场景中，我们使用示例发布者、使用者和订阅者，在安全的 WebSphere Application Server v7.0 中发布和使用经过加密的通知消息。

如果您还没有如本文前面描述的那样配置系统，则可以使用下面的说明和脚本自动准备您的系统。如果已按照前面部分中的说明配置了您的系统，则只需要执行第 8 和第 9 步：

这些网页显示用于调用 WS-Notification 功能的输入字段和按钮，以及任何请求的结果和所发布及使用的消息。

本文中代理端口地址和使用者 URI 均使用 HTTPS 协议。

WS-Notification 代理的 WSDL 包含代理端口地址和代理服务名称。您可以通过管理控制台上的 Publish WSDL files 查看该 WSDL，也可以通过使用 ?wsdl 查询查看，例如：https://localhost:9443/WSNSecureServiceWSNSecureServicePtNB/Service?wsdl。

要验证是否加密了 SOAP 消息（消息级安全性的效果，与是否使用传输级安全性无关），您需要打开 Web 服务消息传输跟踪 (com.ibm.ws.websvcs.trace.MessageTrace=all) 来查看该 SOAP 消息。

在 trace.log 中，您可以通过搜索字符串“:Envelop”找到 SOAP 消息。清单 1 中显示了订阅请求 SOAP 消息。由于该消息正文太大，因此本文仅列出了部分 SOAP 消息，“…”表示被删除的加密字符，用粗体显示。由于使用 WS-Security 策略集，因此加密了该消息，使之显示一些随机加密字符，而不显示重要消息（如主题名称等）。

为了进行对比，以下是未使用消息级安全性的订阅消息。SOAP 消息中显示了用粗体显示的主题名称、使用者 URL 等。

在 WSNPublisher 的浏览器选项卡中，输入订阅时使用的 Broker port address 和 Broker service name的值，如图 22 所示。输入您将在 Message payload 字段中发布的消息正文，然后单击 Publish。此步骤将发布消息有效负载。检查 trace.log 中由 WSNPublisher 发布的 SOAP 消息，该消息应该是加密的。

导航到 WSN 使用者选项卡，以验证该使用者是否收到了您刚发布的消息。您将需要刷新浏览器，以确保显示最新的使用者状态，如图 23 所示：

检查 trace.log 文件中使用者接收到的 SOAP 消息，该消息应该是加密的。该使用者然后解密了该消息。本文中实施了 WSNConsumer，目的就是为了在 SystemOut.log 中显示该消息内容，如清单 3 中所示：

祝贺您！我们现在已经进行了整个方案的演练。

现在可以通过将您的 WS-Notification 服务与 WS-ReliableMessaging 策略集关联来提高 WS-Notification 消息的可靠性，本系列的后续部分中将讨论该内容。可以在集群环境中将您的 WS-Notification 服务点配置为带有永久主题空间，本系列的后续部分将介绍该内容。

本文解释了如何在安全的 WebSphere Application Server V7.0 中配置带有 WS-Security 的 WS-Notification 的 JAX-WS 新实现。

首先，文章详述了如何配置 WebSphere Application Server 的管理安全性。然后列出了创建和配置 JAX-WS-based WS-Notification 服务的关键步骤。接着，说明了如何创建相应的绑定，以及将策略集和绑定与 WS-Notification 应用程序关联。最后，通过一个演练方案介绍了如何利用 WS-Security 策略集和绑定保护示例 WS-Notification 应用程序。