對于一些組織機構和IT管理者而言，利用分布式計算，如SOA和集成式Web服務，意味著對設計的復雜性和安全性要求更高。
隨著計算進一步趨向分布式，以及新型威脅和有組織的互聯網犯罪的增多，開放式標準在制定和更好地利用有效的安全措施等方面起著重大的作用。除此之外，如何在管理層次以及安全對策、程序和相關工作中利用這些標準，來提高內部員工的安全意識、促進業務伙伴訪問企業服務、監測網絡所面臨的威脅也是至關重要的。
本文探討了SOA面臨的安全挑戰，安全標準制定取得的進展，以及安全標準在擴展時可能遇到的問題。
SOA使安全決策難度大
面向服務的體系結構從本質上說是一種由元數據和XML(可擴展的標記語言)一類的標準數據結構協議生成的應用程序。SOA所面臨的安全問題與應用其他任何分布式系統時所遇到的安全問題是相同的，即如何確保機密性、完整性和可用性。
SOA雖然在某些方面使安全簡化，但是在其他方面卻使安全問題變得復雜。業界人士認為，由于在基礎設施中使用了XML一類的數據結構通用協議、IP通信協議和通用操作系統，因此SOA有助于簡化某些安全決策; 但在模塊程序中，由于許多移動部件作為最終應用要集成在一起，因此使安全決策變得復雜。
啟動開放性安全標準
分布式系統安全業務的開放性標準，如SAML(安全斷言標記語言)、XACML(可擴展訪問控制標記語言)和Web服務安全標準，已被OASIS(結構化信息標準促進組織)所采用。業界認為，新的SOA和分布式系統標準能夠有效提升安全性。
可用性和可復用性要求采用更新、更靈活的標準，即用于聯合等同的SAML、精確訪問控制的XACML、性能先進的SOA應用的WS安全標準。據稱，SAML現在包括若干基于實時應用環境的新文檔，并將融進更多的新文檔。目前，推廣應用SAML的成功者為數不少。某些政府也正在推廣應用，其用戶多達數千萬。
Web服務安全標準的制定工作已經基本完成�？梢灶A計的是，如果用戶進行相對簡單的通用數據存取，他們將可以順利完成這一過程。如果Web服務安全標準復雜或者實施起來比較困難，那么用戶可能就會遇到某些互操作性的問題。不過，等同聯合的交替模塊(包括Web服務聯合和開放ID)能夠解決這些問題。
改編新標準引爭議
OASIS技術委員會正在編寫一套擴展式Web服務安全對策樣本。這套對策比較復雜，并且還沒有在實際中應用過。
OASIS數字簽名業務擴展(DSS-X)技術委員會正在制定標準的XML框架，用來管理機構之間的身份信息和系統資源及其分配。業界人士認為， XML標準框架有利于管理身份信息和系統資源。不過現在的問題是必須推出和測試能互操作的產品，并部署和測試實時應用環境。
盡管為SOA指定的各種安全標準的制定還存在著種種障礙，但是把這些標準融入SOA以及將其大量應用于工業進程的工作正在進行中。
互操作性問題
Web服務常常作為應用互操作性的理想解決方案，而且對于與平臺、銷售商和編程語言無關的綜合應用也是非常有效的，它們不受互操作性問題的影響。因此，大多數互操作性問題并非來自于成熟穩定的Web服務規范，而是來自各種Web服務規范的擴展和Web服務安全標準的一系列擴展。隨著這些標準的擴展，銷售商必須選擇所要支持的規范草案，開發商有時需要協商解決不同規范之間的不兼容問題。
SOA傾向于模塊化設計
業界認為，SOA即使只作為實現模塊設計的手段，其優點也非常突出。用SOA設計的模塊就是將應用程序的不同功能單元(稱為服務)通過這些服務之間定義良好的接口和契約聯系起來。接口是采用中立的方式進行定義的，這使得構建在各種這樣系統中的服務可以采用一種統一和通用的方式進行交互。這是一種松散藕合的接口方式，其易損性比內部數據結構之間基于代碼的交互作用低得多。其優點與面向對象的設計非常相似，甚至更勝一籌。
SOA內部模塊化并不會引發安全問題，因為它不會將新的功能暴露給其他系統或外部機構。但是，代碼庫的重復使用和開放可存取性卻存在著危險性，即通過與用戶和供應鏈上的合作伙伴所建立的業務接口，可能暴露新的服務功能。當這種情況發生時，預定的服務供給可能中斷，給企圖擴展權限和進行服務攻擊不懷好意者留下路徑。
任何一種安全標準或所支持的標準總數，都不足以評估SOA或Web服務平臺的效能。因此，對安全標準的支持并不就意味著安全。在許多情況下，安全標準只是定義了讓各種服務模式能彼此互操作的框架，實際上它并不等于任何一種特殊服務模式都能良好運行。
即使完全按照Web服務安全實施辦法，服務仍可能因為使用弱密碼、受簡單的密約管理，或者數據庫未加密而出現不安全的情況。應當說安全是一種實際應用狀態，而不僅僅是一系列所支持的標準。
SOA通過分布式系統的開放性標準以及模塊化設計來提供安全的Web服務。
文章來源于領測軟件測試網 http://www.kjueaiud.com/
