令牌生成者配置设置

使用此页面来指定令牌生成者的信息。仅在生成者端使用该信息以生成安全性令牌。
要在服务器级别查看此 WebSphere® Application Server 管理控制台页,请完成下列步骤:
  1. 单击服务器 > 应用程序服务器 > server_name
  2. 在“安全性”下,单击 Web Service:Web Service 安全性的缺省绑定
  3. 在“缺省生成者绑定”下,单击令牌生成者 > token_generator_name 或单击新建以创建新的令牌生成者。
  1. 单击应用程序 > 企业应用程序 > application_name
  2. 在“相关项”下,单击 EJB 模块或者单击 Web 模块 > URI_name
  3. 在“其他属性”下,可以访问以下绑定的令牌生成者信息:
    • 对于“请求生成者(发送方)绑定”,单击 Web Service:客户机安全绑定。在“请求生成者(发送方)绑定”下,单击编辑定制
    • 对于“响应生成者(发送方)绑定”,单击 Web Service:服务器安全绑定。在“响应生成者(发送方)绑定”下,单击编辑定制
  4. 单击新建以创建新的令牌生成者或单击现有令牌生成者的名称以指定其设置。
要在应用程序级别查看此 WebSphere Application Server 管理控制台页,请完成下列步骤:
  1. 单击应用程序 > 企业应用程序 > application_name
  2. 在“相关项”下,单击 EJB 模块或者单击 Web 模块 > URI_name
  3. 在“其他属性”下,单击 Web Service:客户机安全绑定
  4. 在“请求生成者(发送方)绑定”下,单击编辑定制
  5. 在“其他属性”下,单击令牌生成者 > 新建

在指定其他属性之前,在令牌生成者名称令牌生成者类名字段中指定值。

相关参考
令牌使用者集合令牌使用者名
令牌使用者配置设置令牌使用者名
令牌生成者集合令牌生成者名称

令牌生成者名称

指定令牌生成者配置的名称。

令牌生成者类名

指定令牌生成者实现类的名称。

此类必须实现 com.ibm.wsspi.wssecurity.token.TokenGeneratorComponent 接口。

证书路径

指定证书撤销列表(CRL),用于生成采用 PKCS#7 令牌类型与 CRL 合并在一起的安全性令牌。

当令牌生成者不是 PKCS#7 令牌类型的生成者时,必须选择。当令牌生成者是 PKCS#7 令牌类型的生成者时,如果您要在安全性令牌中打包 CRL,则选择专用签名信息并为集合证书库指定 CRL。

可以为以下级别上的下列绑定指定证书库配置:
绑定名 单元级别、服务器级别或应用程序级别 路径
缺省生成者绑定 单元级别
  1. 单击安全性 > Web Service
  2. 在“其他属性”下,单击集合证书库
缺省生成者绑定 服务器级别
  1. 单击服务器 > 应用程序服务器 > server_name
  2. 在“安全性”下,单击 Web Service:Web Service 安全性的缺省绑定
  3. 在“其他属性”下,单击集合证书库

使用集合证书库时,可以通过单击“其他属性”下的证书撤销列表配置相关的证书撤销列表。

添加现时标志

指出现时标志是否包含在令牌生成者的用户名令牌中。现时标志是一个唯一的密码数字,它嵌入在消息中,目的是帮助停止重复的未经授权用户名令牌攻击。
在应用程序级别上,如果您选择添加现时标志选项,则可以在“其他属性”下指定以下属性:
表 1. 其他现时标志属性
属性名 缺省值 说明
com.ibm.ws.wssecurity.config.token.
BasicAuth.Nonce.cacheTimeout
600 秒 为服务器上已高速缓存的现时标志值指定超时值(以秒计)。
com.ibm.ws.wssecurity.config.token.
BasicAuth.Nonce.clockSkew
0 秒 指定现时标志时间戳记到期前的时间(以秒计)。
com.ibm.ws.wssecurity.config.token.
BasicAuth.Nonce.maxAge
300 秒 指定 WebSphere Application Server 在检查消息适时性时要考虑的时钟偏差值(以秒计)。
在单元和服务器级别上,在管理控制台上可使用这些属性。但是,在应用程序级别上,您可以在“其他属性”下配置这些属性。

此选项显示在单元、服务器和应用程序级别上。仅当已生成令牌类型是用户名令牌时,此选项才有效。

添加时间戳记

指定是否将时间戳记插入到用户名令牌中。

此选项显示在单元、服务器和应用程序级别上。仅当已生成令牌类型是用户名令牌时,此选项才有效。

值类型局部名

为集成令牌指定值类型的局部名。
对于用户名令牌和 X.509 证书安全性令牌,WebSphere Application Server 提供了预定义值类型。指定以下局部名时,不需要指定值类型的 URI。
用户名令牌
http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#UsernameToken
X509 证书令牌
http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509
PKIPath 中的 X509 证书
http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509PKIPathv1
PKCS#7 格式的 X509 证书和 CRL 列表
http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#PKCS7
LTPA
要点: 对于 LTPA,值类型局部名是 LTPA。如果输入局部名 LTPA,则还必须在“值类型 URI”字段中指定 http://www.ibm.com/websphere/appserver/tokentype/5.0.2 URI 值。对于其他预定义值类型(用户名令牌、X509 证书令牌、PKIPath 中的 X509 证书以及 PKCS#7 中的 X509 证书和 CRL 的列表),局部名字段的值以 http:// 开头。例如,如果您正在为值类型指定用户名令牌,则在“值类型局部名”字段中输入 http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#UsernameToken,而不需要在“值类型 URI”字段中输入值。

当您为定制令牌指定定制值类型时,您可以指定值类型的限定名(QName)的局部名和 URI。例如,您可以为局部名指定 Custom,并为 URI 指定 http://www.ibm.com/custom

值类型 URI

为生成的令牌指定值类型的名称空间 URI。

当您为用户名令牌或 X.509 证书安全性令牌指定令牌生成者时,您不需要指定此选项。如果您要指定另一个令牌,则指定值类型的 QName 的 URI。

WebSphere Application Server 为 LTPA 令牌提供了下列预定义值类型 URI:http://www.ibm.com/websphere/appserver/tokentype/5.0.2


反馈