web-services - 请求中需要 Uname/Password 的 Web 服务的代理安全服务

Question

我们有一个供应商提供的解决方案，该解决方案需要用户名和密码才能利用作为 Web 服务公开的 API。它们将包含在调用的实际 xml 中。我们显然不喜欢那样。

有谁知道任何产品、系统等等，我们可以让调用系统使用基于 token 的安全性对其进行身份验证，然后注入(inject)用户名密码并将请求转发到产品可访问的安全区域，而不是外部调用者。当然，通过返回响应。

例如:

Answer 1

身份验证/代理服务有一个名称 - 安全 token 服务 (STS)。 oAuth 代币交换工作草案对 STS 及其目的进行了很好的总结:

A Security Token Service (STS) is a service capable of validatingsecurity tokens provided to it and issuing new security tokens inresponse, which enables clients to obtain appropriate accesscredentials for resources in heterogeneous environments or acrosssecurity domains.

Web Service clients have used WS-Trust [WS-Trust]as the protocol to interact with an STS for token exchange. WhileWS-Trust uses XML and SOAP, the trend in modern Web development hasbeen towards RESTful patterns and JSON. The OAuth 2.0 AuthorizationFramework [RFC6749] and OAuth 2.0 Bearer Tokens [RFC6750] have emergedas popular standards for authorizing third-party applications' accessto HTTP and RESTful resources.

The conventional OAuth 2.0 interactioninvolves the exchange of some representation of resource ownerauthorization for an access token, which has proven to be an extremelyuseful pattern in practice. However, its input and output aresomewhat too constrained as is to fully accommodate a security tokenexchange framework.

大多数 STS(包括 oAuth token 交换草案指定的类型)不处理异构 token ，因为您的用例需要超出 oAuth 到 SAML 或反之亦然。您的用例的解决方案很可能涉及自定义编码的 STS。我们已经为使用各种产品/堆栈/平台/等的客户实现了 STS，可将 oAuth/SAML 转换为任何东西(例如，带有像您这样的自定义凭证 header 的 SOAP)。
我们经常使用 Salesforce 作为平台，它提供了许多有助于此用例的管道。公平地说，类似的管道可用于相当多的平台和堆栈——从三大平台(AWS/GCP/Azure)到具有适当库的 Java/Python/Ruby/Node/Go，再到 Keycloak 等身份和访问管理产品。