Interstage Application Server セキュリティシステム運用ガイド

5.1.1 UDDI登録APIのユーザ認証

UDDIレジストリに対してWebサービス情報を登録、更新、削除する場合、ユーザ認証が必要です。ユーザ認証は UDDI登録API(Publish API)のget_authToken APIにより行います。

ユーザ認証は以下の流れになります。

1. UDDIレジストリにWebサービス情報を登録するUDDI利用者は、まずUDDIレジストリに対して、get_authTokenメッセージを送ります。get_authTokenにはユーザIDとパスワード情報が含まれています。
2. UDDIレジストリサービスでは、get_authTokenメッセージで受け取ったユーザIDとパスワードにより、Interstage シングル・サインオンに対してユーザ認証を依頼します。
3. ユーザ認証に成功した場合、UDDIレジストリは認証トークン(authToken)を発行し、これをget_authTokenに対するレスポンスとしてクライアントに返します。
4. UDDI利用者は、save_businessやdelete_serviceといったWebサービス情報を登録、更新、削除するUDDI登録APIを利用する場合、UDDIレジストリから発行された認証トークンを付加します。
   これにより、UDDI登録APIを受け取ったUDDIレジストリは認証トークンによりユーザ認証を行い、認証された場合のみ処理を行います。
5. UDDIレジストリに対する処理を終了する場合、UDDI利用者はdiscard_authTokenリクエストメッセージを送ります。discard_authTokenリクエストには認証トークンが含まれており、このリクエストを受け取ったUDDIレジストリは、受け取った認証トークンを破棄します。

UDDI登録APIによるユーザ認証では、UDDIクライアントアプリケーションとUDDIレジストリサービス間で、ユーザID, パスワード、認証トークン情報が送信されますので、 認証トークンやパスワードなどが容易に解読される可能性があります。SSLを使った運用を行うことにより、送受信されるメッセージが暗号化され、安心して運用することができます。

UDDIレジストリに対して、Webサービスの検索や獲得を行うUDDI検索API(Inquiry API)では上記のようなユーザ認証は行いません。
UDDI検索APIに対してもユーザ認証によるアクセス制限を行いたい場合には、HTTP Basic認証が利用できます。詳細につきましては、“HTTP Basic認証によるユーザ認証”をご覧ください。
また、拡張属性機能にも上記のようなAPIによる認証の仕組みはありません。拡張属性APIに対してユーザ認証を行いたい場合にも、HTTP Basic認証によるユーザ認証が利用できます。