【IT168 技术】　　我们在本文中介绍的案例研究包括以下人员和角色：

• Sandy Osbourne-Archer，首席技术架构师
• Edmund Smythe-Barrett，企业架构师
• Steve Optman，IT 运营经理
• Axel Setrust，安全架构师
• Budi Manmon，管理架构师

　　帐户开立项目的挑战

　　JKHLE 已经部署了一个成熟的管理环境来管理现有的应用程序。帐户开立项目中新引入的共享服务、流程和组合应用程序带来了新的管理挑战。本文讨论与保护和管理应用程序服务以及与用于帐户开立项目案例研究的支持基础设施相关的挑战和解决方案。

　　IT 运营经理 Steve Optman 与首席技术架构师 Sandy Osbourne-Archer 进行会谈，讨论帐户开立项目的安全性和管理挑战及目标。Steve 提出了对运营团队当前无法及时了解帐户开立项目设计情况的担忧。Steve 重点强调了从一开始就参与到流程中的重要性，这样可以避免他的运营团队因延迟参与投入运行之前的一些部署而遇到的问题。Sandy 赞同并承诺在开发周期中尽早让运营团队参与进来。

　　Sandy 概述了运营团队在部署本项目时需要满足的三个关键安全性和管理目标：

• 发现资源和服务

　　需要提供一种自动化方法来发现服务注册中心中定义的应用程序组件、中间件和服务。需要将从发现过程中捕获的数据提供给现有的更改控制流程。

• 在通用管理控制台中监视服务

　　需要以一种与现有管理环境和通用管理控制台一致的方式监视帐户开立流程应用程序服务和支持基础设施。

• 安全性和遵从性审核功能

　　需要端到端的安全性以及能够提供审核记录，以确保满足遵从性要求。

　　Sandy 建议 Steve 及其运营团队直接与企业架构师 Edmund Smythe-Barrett 合作。

　　Edmund 负责帐户开立项目应用程序和支持基础设施的体系结构和设计。

　　帐户开立项目的要求

　　Steve 安排与 Edmund、安全分析人员 Axel Setrust和管理架构师 Budi Manmon 会面，检查帐户开立项目体系结构并概述关键安全性和管理设计点(请参见图 1)。

　　图 1 SOA 安全性和管理部署体系结构的注意事项

　　简而言之，反向代理部署在隔离区 (DMZ) 中。

　　此处的门户用于提供表示层和使用 ESB 或直接与流程服务器及后端应用程序进行交互。客户端可以是企业内部和外部的用户或服务使用者。

　　类似地，应用程序和服务既可以属于企业内部也可以属于企业外部。

　　在部署体系结构中的各个点上强制执行安全性。

　　在从帐户开立流程门户中使用时，Edmund 引用了客户概要服务(请参见图 2)。Edmund 解释说，此事务在应用程序体系结构和支持基础设施中具有代表意义。简而言之，在客户从门户中输入概要信息之后，客户概要服务(中介)就会与由 CICS® 后端系统承载的帐户记录应用程序进行交互，用于存储客户概要信息供进一步处理。

　　图 2 帐户开立流程门户——客户概要服务

　　Steve 介绍了帐户开立项目 SOA 的采用将如何创造竞争优势。Steve 强调说，为降低成本和确保遵从性，高效的安全性和管理解决方案非常重要。

　　他解释说，成本降低包括更高效地管理 JKHLE 环境的大量资源，从而使运营团队能够以同样的资源提供更多管理支持。

　　Steve 看到 JKHLE 面临着无法准确掌控业务和技术资产的挑战。需要实施足够的管理才能有效地管理所有资产。缺乏足够的管理会导致不必要的风险，以及无法有效地满足遵从性和审核要求。此外，往往还会出现重大操作中断。

　　Steve 解释说，IBM® Service Management 跨业务和技术资产提供了集成的可见性、控制和自动化，可帮助您克服业务和技术集成方面的障碍，以及妨碍创新的因素。IBM Service Management 产品组合包括与 ITIL® 保持一致的工作流、基于标准的配置管理数据库、与基础设施保持一致的自动化任务、非常好的实践以及实现支持。

　　注意：您可以在以下位置找到有关 IBM Service Management 的更多信息：

　　http://www.ibm.com/itsm

　　运营团队计划利用 IBM Service Management 解决方案和产品来支持帐户开立项目和其他活动。帐户开立项目的安全性和管理解决方案将重点关注图 3 中所示的 IBM Service Management Operational Management 和 Service Management。

　　图 3 IBM Service Management 上下文中帐户开立项目重点关注的内容

　　SOA Management 的要求

　　运营团队了解到 JKHLE 业务流程将越来越多地依赖于构成跨越多个体系结构层(包括服务使用者、业务流程、服务、服务组件和操作系统)的多层组合应用程序的共享服务。Steve 和 Budi 知道，此管理解决方案需要包括用于管理和监视 SOA 组合应用程序和用于支持跨多个体系结构层的基础设施的软件和解决方案。

　　Steve 概述了在整个管理生命周期中需要执行的关键任务。图 4 重点介绍了这些任务的关键输入、用户角色和这些任务的构件输出。虽然这些任务是采用自顶向下的方法显示的，但是这些任务中许多都具有迭代性。

　　Budi 重点介绍了部署体系结构的关键 SOA 管理要求(请参见图 1)。

　　REQ-01：标识要管理的服务和资源

　　标识需要通过帐户开立流程门户管理的服务和资源。JKHLE 已经部署了许多现有的系统和资源。一项关键管理要求是了解如何标识或发现应管理哪些服务和支持资源。

　　REQ-02：自动发现资源

　　提供了一种自动化方法可以发现服务注册中心中定义的应用程序组件、中间件和服务。从发现过程中捕获的数据将提供给现有的更改控制流程。

　　REQ-03：将服务作为资源对其进行管理和监视

　　为达到业务定义的服务质量，每个服务终端都需要作为一项资源来管理，包括调用服务(使用者)和将应用程序功能公开为服务(提供者)。解决方案必须能够提供实时可用性和性能指标，以及定义的服务水平协议。

　　管理基础设施需要提供一种监视和故障排除方法，若能在故障发生之前发出警报则更好。监视包括实际用户通信量，以确保 SLA 一致性和监视综合事务。综合事务用于确保环境以一致的方式处理一组受控交互，这一点作为根本原因分析的基准是非常有用的。

　　Budi 重点介绍了几个有代表性的监视示例：

　　监视客户概要服务事务以确保其响应时间不超过 5 秒。

　　监视客户概要服务(服务使用者和提供者，应用服务器和后端系统)所用的基础设施的可用性。

　　REQ-04：在集成控制台中监视端到端视图

　　在孤立的应用程序体系结构中，资源通常是由不同的操作人员或专家在多个不同的管理控制台中管理的。帐户开立流程门户代表了需要转变管理方法的 SOA 组合应用程序。需要通过以下方式监视和管理基础设施：既涵盖组合应用程序的端到端视图，又提供有关各资源的性能和可用性标准的详细信息。

　　SOA 安全性的要求

　　Axel 负责安全基础设施。Axel 得出了两项与安全性相关的观测结果：

　　因为部署体系结构中的每个组件都强制实施了安全性的某一方面，所以可能存在多种标识、身份验证、授权和审核机制。集成安全机制将成为一项挑战。

　　特定的产品有多个管理岛，这往往会导致错误、不一致和缺乏协作。管理可能会以资源为中心，策略管理可能会独立于业务单元、应用程序或产品。

　　安全性管理在需要跨多个组件实施一致策略的 SOA 环境中会是一项挑战。

　　Axel 重点介绍了 SOA 部署体系结构的关键安全性要求(请参见图 1)。

　　REQ-05：标识提供

　　在 JKHLE 环境中，开立了一个新帐户之后，标识将提供给多个中间件和后端系统。解决方案需要提供和管理标识，从中央系统到外部系统。

　　REQ-06：标识传播

　　当用户与门户进行交互时，用户标识需要在整个事务中进行传播，无需多次登录即可传播到后端系统。在某些情况下，现有的系统将拥有并不完全相同的用户 ID，或者外部用户将使用不同的协议绑定与门户进行交互。在这些情况下，保护业务数据和为标识、数据等建立业务信任关系是非常重要的。请求可能来自外部实体，因此安全域可能是交叉的。

　　需要在整个事务中传播标识，无论体系结构中有多少个跃点。

　　REQ-07：身份验证

　　当用户或系统与门户进行交互时，需要对标识进行身份验证。在对用户进行身份验证之前，需要设置一个代理来首先对用户标识进行质询。在代理上派生的标识需要到处传播，以便可以强制执行更多安全检查(如授权和审核)。此解决方案需要提供身份验证服务，能够通过单点登录功能从门户登录到多个后端系统。

　　REQ-08：授权

　　安全解决方案需要确保用户能够访问基于用户或系统标识确定的许可信息。许多组件可能都需要授权，其中包括粗粒度的基于服务的授权到细粒度的数据级访问控制。

　　REQ-09：审核

　　JKHLE 必须确保采用了适当的控制来满足法规遵从性要求。需要沿着事务路径将审核信息从每个组件中收集起来。审核信息将被记录，并可用于实时、法律审查和报告，从而能够满足法规遵从性要求。

　　REQ-10：传输和消息级安全性

　　需要保证信息和业务数据在传输以及存储过程中的安全。需要提供机密性保护来确保消息数据不可访问且无法被其他人修改，从而确保消息的完整性。数据保护策略往往会指明需要在传输和消息级别采用哪种类型的保护。

　　注意：有关解决方案的详细信息，请参阅“传输和消息级别安全性”。