四種可行的SOA安全解決方案
SOA安全的最簡單和最常用的方法是在虛擬專用網上傳送服務請求。這為簡單的、粗顆粒的請求提供了充分的安全。它兼容SOAP、REST和非Web服務協議，甚至對于許多外部的集成情況都是非常充分的。不過，并非所有的安全情況都是簡單的。對于更復雜的需求和精細的SOA安全，設計師必須進行大量的規劃和設計。
SOA安全的最簡單和最常用的方法是在虛擬專用網上傳送服務請求。這為簡單的、粗顆粒的請求提供了充分的安全。它兼容SOAP、REST和非Web服務協議，甚至對于許多外部的集成情況都是非常充分的。不過，并非所有的安全情況都是簡單的。對于更復雜的需求和精細的SOA安全，設計師必須進行大量的規劃和設計。為了制定一個全面的戰略和SOA安全架構，設計師必須考慮安全要求、業務狀況和應用程序基礎設施的廣泛的多樣性，把多種產品、標準和客戶化制作的組件結合到一個靈活的和強大的SOA安全解決方案。
至少有10種產品種類能夠在SOA安全戰略中發揮作用并且這些產品存在功能重疊的地方。SOA的構件結構和Web服務安全技術規范意味著設計師必須認真規劃他們將使用哪一種技術規范和什么時候使用這個技術規范。擁有不同安全要求的業務情況也許需要不同的技術規范和產品的組合。標準和技術規范仍在成熟之中，這進一步增加了復雜性。因此，這個行業還缺少許多技術規范的最佳做法。設計師也許面臨額外的挑戰，包括分散的SOA基礎設施、多種SOA消息交換方式、把多個環境的安全統一起來的需求以及在一個服務呼叫另一個服務時在多個層次上傳送身份識別的需求。這還沒有提到一些常見的問題，如機構之間的摩擦、成本和架構治理的困難等等。
由于這些復雜性，幾乎沒有企業承受得起建立一個完整的和全面的SOA安全解決方案的前期投資。這些SOA安全解決方案將解決所有未來的需求。這意味著設計師的最終挑戰是要隨著時間的推移逐步總結出一個全面的解決方案。為了幫助執行這個逐步增強的方法，這里有四個廣泛的解決方案方式。這些方式表明如何把不同的產品結合為一個SOA安全解決方案以滿足目前的需求以及表明目前的解決方案如何為未來的需求開辟一個道路。
方案1：簡單的虛擬專用網在短時間內提供一個基本的解決方案
作為一個共同的起點，一些SOA用戶有一些直接的方案，要求他們迅速找到一個可接受的、即使是不理想的SOA安全解決方案。在這些情況下，SOA請求和回應僅使用傳輸級安全進行保護。采用SOAP和REST協議，這個工作一般是通過雙向SSL(安全套接層)完成的。采用虛擬專用網連接，甚至在公共互聯網上的請求也是保密的和安全的。簡單的虛擬專用網方法通常使用明確的身份識別：任何通過虛擬專用傳送的請求都允許訪問可用的服務。雖然一條簡單的VPN線路支持單個用戶的身份識別，但是，這種應用是很少的，因為管理每一個用戶的證書管理成本太高。一條簡單的虛擬專用網線路通常配置為這項服務的用戶平臺與這個服務平臺之間的一條直接的傳送級連接。這個服務平臺也許是一臺應用服務器或者是一個簡單的Web服務環境。在Forrester進行的一項調查中，三分之二的SOA用戶說僅僅使用一條簡單的虛擬專用網線路是他們SOA安全武器庫中的一個重要選擇。
方案2：根據應用服務器完成審計和遵守法規的要求
這個連續的統一體的中間分為兩種方法，一種是中間的方法，另一種是基于應用服務器的方法。這兩種方法中的每一個方法都能夠處理身份識別和單個用戶的授權。這種基于應用服務器的方法是在服務實施平臺中的SOA安全功能的基礎上建立起來的。通過允許服務平臺根據實際的最終用戶保持安全環境，這種方法使實施高級的身份識別戰略更加方便。這種方法還允許審計登記記錄實際的最終用戶服務請求活動。這對于詳細的審計和遵守隱私和其它規定是非常重要的。雖然這有不要求對新的SOA特殊產品進行現金投資的優勢，但是，如果一個企業有多個平臺，配置和集成工作也許會使這個解決方案的工作時間成本相當于或者甚至超過購買和配置SOA專業產品的成本。
基于應用服務器的SOA安全通常使用一種簡單的虛擬專用網連接作為基礎。這種方案的一種可能的擴展也許包括使用一種SOA插件或者來自單一登錄或者身份識別管理環境的應用服務器安全插件以便提供一臺應用服務器和由身份識別管理產品控制的其它應用資產之間的一致的安全性。
方案3：單個的直接的整合安全流程
這個連續的統一體中間的另一邊是單個的直接的方法。這種方法把SOA安全功能重點放在位于服務實施平臺前面的強制執行政策點上。這種方法簡化了SOA安全，提供了一個單一的解決方案(包括中間的和管理的工具)。這些工具能夠提供所有的SOA服務的安全(至少對于消息格式和中間軟件支持的協議是如此)。然而，在單純地實施這種方法的過程中，服務平臺實際上將關閉SOA安全功能以支持可信賴的所有的SOA安全的中間軟件。這種中間軟件也許由幾種不同種類的產品提供，包括SOA設備、SOA管理解決方案、企業服務總線、以集成為中心的業務流程管理套裝軟件或者專業的SOA安全產品。
一個單個的中間軟件的方法也許還使用一個簡單的虛擬專用網連接作為基礎。這種中間軟件處理所有的SOA安全流程。因此，不要求服務平臺擁有任何具體的SOA安全支持。這將允許這個解決方案支持廣泛的服務平臺。
方案4：由經紀人安排的、分層次的、統一的提供全面的SOA安全
在這個連續的統一體的遠端，SOA安全解決方案深入地集成到服務電話的多個層次中，以保證每一個服務平臺都能夠訪問用戶的身份，支持聯合和令牌交換等高級的安全方案。目前，甚至沒有幾家公司接近這種類型的解決方案。然而，隨著SOA安全解決方案、標準和產品的成熟，以及隨著隱私和金融法規越來越嚴格，高級的SOA解決方案將更可行(在財務上和在技術上都更可行性)，甚至會出現一些強制執行的方案。由經紀人安排的、分層次的、統一的SOA安全解決方案將使用多種標準，集成多種產品并且很可能需要客戶化的集成以便把所有這些功能結合起來。
為了說明你的SOA安全戰略的發展，你要盡可能在設計中讓比較簡單的SOA安全方式與更復雜的方式統一起來。雖然你的機構已經適應了在安全上做出讓步以避開由經紀人安排的、分層次的、統一的安全戰略的成本，但是，隨著SOA安全的成熟以及網絡安全需求的增長，更高級的安全戰略將更容易獲得和更強制地執行。
【編輯推薦】
