(1)SOA模型
基于服务进行企业应用系统集成
研究开始于1996年
随着XML标准制定和网络服务技术发展SOA已逐步走向成熟国际知名软件Software公司IBM、Oracle、BEA及Microsoft对SOA在企业范围内部署实施开始了广泛研究根据IBM定义SOA模型可以划分为已存在
资源、组件层、服务层、业务流程和展现层5个层次以及贯穿整个体系企业服务总线ESB和服务质量控制、安全及监控管理[1]如图1所示在SOA模型各层次中
企业已有资源首先被封装为业务组件继而使用这些组件或它们复合建立起具有标准接口可重用服务服务通过标准BPEL语言[2、3]进行编排形成业务流程层并最终在企业信息门户等平台中进行集中展示其中企业服务总线在各个层次上实现了信息交换、服务管理和调度而这些区别层次中存在着服务质量控制以及安全管理和监控SOA是
个范式其最终目标是增强企业应用开发和部署灵活性SOA灵活性实现依赖于具有标准化接口服务和业务流程编制通过这些SOA实现了对企业已有成用系统最大程度复用和广泛异构系统兼容性同时SOA实施也在安全性上带来了区别于以往单个应用系统要求2002年IBM和微软联合制定了SOA安全白皮书认为安全性是影响企业SOA部署重要原因[4]区别于单个应用系统安全需求SOA对基于服务应用系统灵活编排要求业务流程系统中必须具备相应安全机制以保证在多个分布式系统间交瓦安全(2)业务流程
安全需求SOA模型中定义了多个抽象层次每个层次在从下层获得业务功能同时也必须从下层应用中同时抽象出用户身份上下文环境因此SOA中业务流程安全性问题主要在于:用户在执行项服务过程中从最初业务流程请求到最后处理这个请求系统的间经历多个层次这些分布式系统就带来了重要安全问题由于业务流程需要在多个中间环节上进行处理
因此SOA中不能仪保护心用中问点到点安全而必须实现对流程化应用端到端安令支持[5]在这个方面SOA标准化组织OASIS制定了系列安全标准包括用于解决端到端信息安全交互WS-Securityt[6]、基于XMI签名、加密XMISignE[7]和XML-Encryption[8]这些标准共同解决了端到端应用秘密性、消息完整性及不可否认性安全需求RBAC是目前使用最广泛
授权管理思路方法但业务流程执行语言BPEL中没有定义基于角色访问控制模型;此外在企业范围内建立适合流程系统角色模型往往是个耗时工作业务流程是基于业务场景分析得到其中涉及业务活动参和者、访问对象及访问思路方法等信息因此如何从BPEL流程描述中通过角色工程得到角色和代理层次模型是业务流程安伞研究基础业务流程往往涉及区别层次
多个应用系统和单个应用中用户登录后其权限不变情况区别流程系统要求用户在访问各系统时满足时效性、最小权限和责权分离原则[9]这就要求流程能够根据用户访问上下文环境对其权限进行动态分配而目前BPEL中缺少服务组合条件下动态权限管理概念而这是业务流程安全执行重要保障企业联盟内部跨域
流程系统访问控制技术也是目前研究热点随着企业联合、重组虚拟企业产生都要求企业具有灵活访问控制机制在保障安全性同时满足伙伴企业信息需求0ASIS虽然制定了访问控制信息表示标准XACML[10]用于整编安全标识(Token)和用户id信息以进行域内交换SAML[11]用于保证安全标识发布、更新、撤销和交换安全性W孓Trust[2]用于不存在互信组织间服务互访WS-Federation[3]等系列标准但由于各企业域对于自身安全属性有着区别理解部署了区别安全机制如:区别域中角色定义和访问控制思路方法町能各不相同因此这些标准仍然难以保证区别信任域的间流程访问安全性 ="xspace-totlerecord">3="xspace-totlepages">1/3="xspace-current">123>
最新评论