Безопасность WebServices с помощью SAML (SSO) - Как?

Question

Проблема:

Я хочу реализовать набор WebServices, защищенного SAML. Мне нужно пройти аутентификацию пользователей, а также необходимо, чтобы разрешил на основании роли пользователя. Я нашел несколько вопросов, подобных этому, но ни один из них не удовлетворительных ответов.

Сценарий:

• Java Webapp доступны только с помощью Webservices;
• SOAP - метро;
• Клиенты используют некоторое приложение для настольных компьютеров, которое они разработают.

Ключевые особенности, что мне нужно:

• Свободное программное обеспечение;
• SAML 2.0;
• LDAP (или подобное решение) для управления информацией пользователей;
• Безопасность на уровне сообщений (SOAP).

Вопрос:

Я изучаю некоторые решения SAML (SSO) (например, Шибболет, opemAM, JOSSO ...);

• Могу ли я использовать любой из них без каких-либо проблем с ключевыми функциями?
• Или мне нужно реализовать свой собственный способ обработки токенов SAML?
• Как это сделать?

Спасибо!

Вот некоторые результаты, которые я нашел, и/или некоторые советы от ответов:

• Шибболет:

  • http://shibboleth.1660669.n2.nabble.com/Web-Service-End-to-End-Security-td5526934.html
    Shiboleth не делает сквозной, просто точка-точка.

  • http://www.predic8.com/shibboleth-web-services-sso-en.htm
    Требуется прокси-модуль для аутентификации перед SP.

• OpenAM:

  • https://wikis.forgerock.org/confluence/display/openam/Web+Services
    ли нет поставщика услуг (SP). Определите архитектуру на основе клиент-сервера, где клиент явно запрашивает токены, когда используют веб-методы для аутентификации.
    
    

• WSO2:

  • http://wso2.org/library/articles/2010/07/saml2-web-browser-based-sso-wso2-identity-server
    не обеспечивает SP, вам нужно реализовать его с помощью OpenSAML.

Тем не менее поиск, пожалуйста, внести свой вклад !!

Answer 1

Поскольку никто не ответил с допустимым вариантом. Я решаю обезопасить сервисы с помощью метро SAML и пытаюсь предоставить токены с помощью OpenAM.

Answer 2

Я архитектор WSO2. WSO2 создает WSO2 Identity Server, поддерживающий все необходимые функции. Вы можете развернуть сервер удостоверений WSO2 поверх существующего хранилища пользователей LDAP и заставить его действовать в качестве SAML2 IdP. Мы используем эту функцию Identity Server в нашей платформе как услуге [PASS] - https://stratoslive.wso2.com для однократного входа SAML2.

This является хорошей отправной точкой, и вы можете загрузить WSO2 Identity Server с here.

Answer 3

Для этого вы можете взглянуть на jasig CAS. Мы пока не используем SAML, но он должен работать, как описано here