Microsoft 發行了 Web Services Enhancements (WSE) 1.0 版,以在支持的產品中啟用安全、路由和附件，同時它還支持高級Web 服務。Web Services Enhancements 2.0已從簡單支持基本協議發展到支持核心功能与操作系統的集成，并增強了策略、信任和上下文令牌功能。
WSE 也是對 .NET Framework 支持的擴展，它用于創建和使用 Web 服務，而 WSE 2.0 采用新的編程模式。過去，Web 服務支持一直依賴 Internet Information Server (IIS) 作為其 HTTP 服務器主机﹔現在，WSE 2.0 支持通過 TCP/IP 或在進程內來發送消息。這樣，您可以通過對等、單向、异步等方式將消息從服務器發送到客戶端。
下面，我們將簡要介紹 WSE 2.0 的几個主要功能，并假設您已熟悉 WSE 1.0。
Rock Paper Scissors﹕一种安全的、分布式消息處理示例應用程序
為了展示 WSE 2.0 的各個方面，我想創建一個應用程序以展示一些新安全功能和消息處理功能。具体來說，我喜歡使用 TCP 消息處理支持來顯示對等通信，并使它在Windows 安全性領域工作。我想到的是一個簡單的分布式版本的舊 Rock Paper Scissors 游戲，現在可以用 WSE 2.0 進行安全分發。
Rock Paper Scissors 是一個兩人儿童游戲，傳統上包括讓每個孩子拍手三次，在第三次拍手時出示石頭、剪刀或布的形狀。根据下表中所示理由決定胜者﹕
石頭 布 剪刀 石頭 平局 布裹石頭。布方贏﹗ 石頭砸坏剪刀。石頭方贏﹗ 布 布裹石頭。布方贏﹗ 平局 剪刀剪開布。剪刀方贏﹗ 剪刀 石頭砸坏剪刀。石頭方贏﹗ 剪刀剪開布。剪刀方贏﹗ 平局
該游戲通常用于确定由誰先選擇參加沙地棒球賽的選手、誰吃最后的冰淇淋，甚至由誰擊打對方的手臂。
我們將 Rock Paper Scissors 搬出沙地，直接應用在具有 WSE 2.0 的安全、協作、團結的企業技術中。該游戲的消息處理結构如下面的圖 1 所示。
圖 1﹕Rock Paper Scissors 消息處理和安全模型
Rock Paper Scissors 有兩個主要組件﹕一個是名為 RPSService 的 ASP.NET Web 服務，另一個是由多個用戶運行的對等應用程序。RPSService 的作用是讓用戶注冊玩游戲或尋找對手來玩游戲。對等應用程序先是与 RPSService 通信以找到要与之通信的對方，然后在确定對手后直接与其對方進通信。
對等﹕對于消息處理，WSE 2.0 從基于傳統 HTTP 請求/響應（即 RPC 環境）轉換為采用可能同時具有對等消息處理、异步消息處理和消息隊列的環境。
Kerberos﹕整個應用程序是通過使用集成的 Windows Kerberos 支持創建的。使用 WSE 2.0，您可以用一种安全的方式連接网絡。我們將進行驗証、數字簽名和加密消息以确保具有最高的安全性，且這將完全基于 Windows 用戶帳戶。
便捷管理﹕不用編寫代碼來控制訪問，我們便可以通過策略配置文件來配置消息的安全性。通過策略文件，可以控制要實現的安全种類、要對消息的哪部分進行數字簽名或加密及其實現方式，還可基于消息時限性控制接受條件。目前，可以控制安全性的相應人員為﹕您的管理員。
Rock Paper Scissors﹕該應用程序的重要作用不在于應用程序本身，而是它与本例中不同實体通信時使用安全消息、策略和尋址的方式。您猜不到，我正想象我的老板說﹕“為了決定職員今年的獎金，我想讓你們每人運行一個小的應用程序 RockPaperScissors.exe...”
与 Windows 安全性集成的 Kerberos 令牌支持
我們要討論的 WSE 2.0 的第一部分是支持 Kerberos 安全令牌。WSE 1.0 支持用戶名令牌和 X.509 安全令牌。可以將這些令牌添加到安全令牌的消息集合，并用于創建數字簽名或執行加密。對于 WSE 2.0 來說，當在 Windows Server 2003 或帶有 Service Pack 1 的 Windows XP 上運行時，則已添加了 Kerberos 令牌支持。更重要的是，Kerberos 令牌支持能夠与集成的 Windows 安全性一起使用，這樣，不再需要將用戶名映射成 Windows 用戶，也不用另外設置用戶數据庫，可以基于 Windows 用戶控制對 Web 服務的訪問。
在為 RPSService 添加代碼之前，我要做的第一件事是在自己的項目中添加對 Microsoft.Web.Services 程序庫的引用。如果您的計算机上安裝的是 WSE 1.0，那么添加引用時注意選擇 2.0 版的程序庫很重要。幸運的是，程序集的版本號就列在程序集名稱之后，因此可以輕松地選擇正确的程序集。圖 2 顯示的是選定了 WSE 2.0 程序庫的 Add Reference（添加引用）對話框。請注意，1.0 版本的程序庫就在選定的程序庫之前。
圖 2﹕將引用添加到 WSE 2.0 程序集
下面的代碼演示如何通過編程的方式將 Kerberos 令牌添加到令牌消息集合。它是一方私下向另一方發送其動作時所使用的代碼。該代碼使用 WSE 2.0 的异步 TCP 消息功能（隨后將詳細說明），但用于添加令牌和加密的代碼類似于 WSE 1.0 中用于其他類型令牌的代碼。
using Microsoft.Web.Services.Security.Kerberos;
a�|
KerberosToken peerToken;
a�|
peerToken = new KerberosToken("host/" + OpponentUri.Host);
a�|
envelope.Context.Security.Tokens.Add(peerToken);
envelope.Context.Security.Elements.Add(new EncryptedData(peerToken));
請注意，令牌是通過傳遞連接主机的名稱創建的。用于創建該令牌的 Kerberos 標簽允許當前用戶与指示的主机進行通信。具体來說，該令牌將用于加密要發送的消息，以便只有該遠程主机才可以讀取這些消息。
与其他類型令牌不同，Kerberos 令牌使用當前的 Windows 用戶安全上下文創建該令牌。如果您查詢已創建的令牌，您將會找到一個 Principal 成員屬性，它指示創建該令牌的用戶。我們從接收消息（帶有 Kerberos 令牌）的代碼的主体中獲取用戶名。下面的 opponent 變量是一個 KerberosToken 對象，該對象是從傳入消息的 Tokens 集合中獲得的。可以像下面獲取名稱那樣來獲取關于令牌創建者的信息，但也可以調用 IsInRole() 方法來通過編程的方式确定 Active Directory 組成員。
this.opposingNameLabel.Text
= "Playing: " + opponent.Principal.Identity.Name;
注意﹕如果在 Windows XP 上運行 Web 服務，則使用 Kerberos 令牌試圖連接到 Web 服務時，您可能會遇到以下錯誤﹕
Microsoft.Web.Services.Security.SecurityFault: An invalid security token
was provided ---＞ System.Security.SecurityException: Unable to validate
incoming Kerberos ST. LsaLogonUser failed with the following message: A
required privilege is not held by the client. Substatus is 0.
出現該錯誤是由于調用名為 LogonUser 的安全 API 時，ASPNET 帳戶無法驗証 Kerberos 令牌。調用 LogonUser API 的用戶帳號要求具有“作為操作系統的一部分來操作”特權。在默認情況下，ASPNET 帳戶（即運行 ASP.NET 代碼的帳戶）不具有該特權。建議您在合适的服務器平台如 Windows Server 2003 上運行已設置 Kerberos 安全的 Web 服務。在 Windows Server 2003 上，調用 LogonUser 時不需要“作為操作系統的一部分來操作”特權。在 Windows XP 上，可以使用 Local Security Policy 管理應用程序來配置擁有“作為操作系統的一部分來操作”特權的帳戶，包括 ASPNET 帳戶，但應該注意這會造成 ASP.NET 應用程序的安全性不夠嚴密。
安全策略
雖然以上討論的代碼与 WSE 1.0 中的代碼非常相似，但它具有一個优點﹕將 Principal 對象与一個令牌關聯，可以用來查找某個具体安全令牌的特定屬性。這种方法存在的問題在于仍要編寫代碼來确定應屬于管理任務的訪問功能。為此，WSE 2.0 提供了創建策略文件支持。
【關閉】
