四種解決方案模式保證SOA安全
要確保面向服務架構(SOA)的安全，最簡單也是最常見的方案就是通過虛擬專用網(VPN)來傳送服務請求。這種方案提供的安全性足以滿足簡單、粗粒度的要求，而且與簡單對象訪問協議(SOAP)、代表性狀態傳輸(REST)及非Web服務協議兼容，甚至足以滿足許多外部集成場景的要求。不過并非所有的安全場景都很簡單: 對比較復雜的要求和細粒度的SOA安全而言，架構師們必須大大加強規劃和設計。要為SOA安全制定一套綜合的策略和架構，架構師就必須考慮方方面面的安全要求、業務場景和應用基礎架構，把多個產品、標準和自定義組件結合起來，形成一套靈活、穩健的SOA安全解決方案。
至少有10類產品可以在SOA安全架構中發揮作用，它們在幾個重要方面存在功能重疊。SOA和Web服務安全規范具有模塊化的結構，這意味著架構師們必須針對將來使用哪些規范、何時使用這些規范作好認真規劃。對安全有不同要求的業務場景可能需要結合不同的規范和產品。進一步增添復雜性的是，諸多標準和規范還沒有完全成熟。所以對許多規范來說，業界在最佳實踐方面還沒有太多的經驗可談。架構師們可能面臨另外幾個挑戰，包括不同的SOA基礎架構、多個SOA消息交換模式、需要跨多個環境聯合安全，以及一個服務調用另一個服務時，需要跨各層宣布身份。更不用說那些常見問題了，比如組織摩擦、成本和架構治理方面的難題。
正是由于這些難題，很少有企業能夠事先進行投入，構建一套全面、綜合的SOA安全解決方案來滿足將來的所有要求。這意味著架構師面臨的最終挑戰是，逐漸完善綜合的解決方案。為了幫助獲得這種循序漸進的方案，本文介紹了一系列完整的四種解決方案模式，表明了如何把不同的產品整合到SOA安全解決方案以滿足今天的要求，以及今天的解決方案如何為滿足明天的要求留有一條后路。
第一種場景: 簡單的VPN在短期內提供基本的解決方案。
先從第一種模式說起，有些SOA用戶會遇到這種場景: 眼下他們需要迅速找到一款可以接受、盡管并非最理想的SOA安全解決方案。在這種情況下，SOA請求和響應只使用傳輸層安全機制來確保安全。若是SOAP和REST，通常通過雙向的安全套接層(SSL)協議來實現。若是VPN連接，那么通過公共互聯網傳達的請求也是機密、安全的。簡單的VPN方案常常使用隱式授權(implicit authorization)，通過VPN進來的任何請求都可以訪問可用服務。雖然簡單的VPN能支持識別每個用戶身份的任務，但由于管理每個用戶的證書需要龐大的管理開銷，所以這種情況實際很少出現。簡單的VPN常常被配置成服務使用者平臺和服務平臺之間的直接傳輸層連接——服務平臺可能是應用服務器，或者是簡單的Web服務環境。據弗雷斯特調研公司的一項調查顯示，三分之二的SOA用戶表示，單單使用簡單的VPN也是確保SOA安全的一個重要手段。
方案成熟度: ★★★★☆
實施難易: ★★★☆☆
第二種場景: 基于應用服務器的方案滿足審計和合規方面的要求。
第二種模式基于應用服務器的方案與第三種模式單一中介方案，都能處理對單個用戶進行驗證和授權的任務。基于應用服務器的方案立足于服務實現平臺中的SOA安全功能，服務實現平臺包括應用服務器、集成服務器、套裝應用軟件和軟件即服務(SaaS)等平臺。由于讓服務平臺可以根據實際最終用戶來保留安全環境，這種方案便于實現高級的授權策略。它還讓審計日志可以記錄實際最終用戶的服務請求活動，這種功能對隱私及其他法規所需的詳細審計和合規來說很重要。盡管這種方案有這樣的優點: 不需要現金支出來購買新的SOA專門產品，但如果用戶有多個平臺，所需的配置及集成工作可能會導致在工時上所花的成本相當于或超過購買及配置SOA專門產品所需的成本。
基于應用服務器的SOA安全常常會使用簡單的VPN連接作為基礎。這種場景可能出現的一種延伸應用包括: 使用來自單次登錄或身份管理環境的SOA或應用服務器安全插件，為應用服務器上的SOA服務與身份管理產品控制的其他應用資產之間提供始終如一的安全性。
方案成熟度: ★★★★☆
實施難易: ★★★☆☆
第三種場景: 單一中介整合安全處理工作。
第三種模式是單一中介方案，這種方案把SOA安全功能全部集中到在用戶的服務實現平臺前的策略執行點。這就簡化了SOA安全，提供的單一解決方案(包括中介及管理工具)能夠跨所有SOA服務來提供安全，至少對該中介支持的消息格式和協議來說是這樣。不過要是單純采用這種方案，服務平臺實際上關閉了用戶級的SOA安全功能，而改由中介來處理所有SOA安全。中介可能由幾類不同產品來提供，包括SOA設備、SOA管理解決方案、企業服務總線(ESB)、面向集成的業務流程管理套件(IC-BPMS)或者是專門的SOA安全產品。
單一中介方案可能也會使用簡單的VPN連接作為基礎。中介負責所有SOA安全處理工作; 因而，并不要求服務平臺支持任何特定的SOA安全; 這樣，該解決方案就可以支持一系列廣泛的服務平臺。
方案成熟度: ★★★★☆
實施難易: ★★★★☆
第四種場景: 代理、分層、聯合的方法提供完整的SOA安全。
屬于第四種模式的SOA安全解決方案深入全面地集成，可以跨多層服務調用，確保了每個服務平臺都可以訪問用戶的身份; 該方案還支持高級的安全場景，比如安全聯合和令牌交換。如今，很少有公司接觸這種解決方案，更不用說實現了。不過，隨著SOA安全解決方案、標準和產品的不斷成熟，加上隱私和金融法規變得更嚴格，高級的SOA安全解決方案會變得更切實可行(包括成本上和技術上)。而且，有些場景可能確實明確需要這種解決方案。代理、分層、聯合的SOA安全解決方案會使用多種標準、集成多個產品，而且極有可能需要自定義集成，以便把各部分整合起來。
為了逐步完善SOA安全策略，IT部門在設計時，應盡可能在簡單的SOA安全模式與較復雜的模式之間融入連貫性、一致性。雖然企業可能習慣于在安全方面做出妥協，以避免高級的代理、分層、聯合安全策略所需的成本，但隨著SOA安全日趨成熟、對網絡安全的要求與日俱增，高級的安全策略會逐漸變得更容易實現、更必不可少。
方案成熟度: ★★★☆☆
實施難易: ★★★★☆
鏈 接
SOA安全要素
SOA安全部署最有效的地方并非像傳統解決方案那樣在于網關。IT人員需要結合現行的情況進行部署，并要根據企業SOA的環境來評估決定。IT用戶可以借鑒企業解決網絡訪問管理(WAM)問題來提高互動狀態的方法來保護SOA，包括如下重點:
SOA安全網關: 網關為進入企業的XML流量提供了一個代理，并運用安全策略來確保某種形式的請求與驗證。
SOA平臺: 在為SOA應用提供管理的同時，平臺在驗證和授權方面也提供了一些基本的安全保護。
SOA容器: 最終每種應用都將直接建立自己的安全功能來保護數據安全。
【編輯推薦】
