如果IT部門使用SOA，安全要求會變化嗎？

5、如果IT部門使用SOA，安全要求會變化嗎？

安飛士公司的IT主管在開始實施SOA時，以為安全只是次要問題; 現在安全成了他們非解決不可的最緊要問題之一。

使用SOA有助于與業務合作伙伴建立新渠道，而安飛士必須確保像司機的駕駛證和信用卡信息這些敏感數據在數據庫內部及傳輸途中都經過加密。

Kumar說: “你會有隊列，會有數據庫，也會有渠道，所以我們力求每個過程都是安全的。你構建的是更加分布式的環境。從安全角度來看，管理起來更難了。這種環境里面有更多組件，而不是像在比較集中的大型機環境下，你只要關注一個地方。”

身份管理是IT管理人員在SOA方面必須克服的重大挑戰之一。

Hurwitz說: “要是在SOA環境下，同一業務服務可能會有10種不同的使用方式。你要確保已落實了安全體系，表明誰在什么情況下可以訪問哪些資源等等，這樣情況變復雜了。在某些方面，風險也更大了，因為你在重復使用許多服務; 你一定要確保在這上面有合理的安全級別。”

Saugatuck Technology公司的West在去年發布的研究報告中寫道，傳統的應用安全機制“在SOA下毫無成效、使用不便”，因為針對不同應用，身份和訪問權限(包括密碼和特權)也大不相同。

事實證明，單次登錄在大企業環境下還不具有擴展性; 要是運用到橫跨多個業務合作伙伴的SOA環境下，單次登錄會因隱私和競爭問題而變得更為復雜。

相對來說問題不大的是聯合身份管理方案，它的工作方式是，信任安全聲明來源，并使用安全聲明標記語言(SAML)。West寫道，對訪問控制信息的請求可以編入到瀏覽器請求或者加入到Web服務事務中。他說: “這樣一來，身份管理服務器可為應用所響應的用戶生成有關身份和權限的聲明。應用、服務或者‘封裝起來的’服務接口就不需要訪問目錄或者信任單個用戶，因為它只要知道及信任安全聲明和聲明來源即可。”

West認為在眾多業務合作伙伴、客戶和非員工之間傳輸數據時，SOA有著自己特有的漏洞，需要在企業內外多個方面加強管理。

　Mengerink顯得比較樂觀，他說，部署SOA之后，安全實際上變得容易了。不過這僅僅是相對于PayPal在保護網上支付時面臨的巨大任務。他強調，PayPal的SOA是完全為了開發人員而提供的。

他說: “我們在網上的受攻擊面實在太大了。現在‘你只要在我們網站上進行注冊、輸入名字，我們就知道你是誰，會給你一個特殊令牌，然后允許你與我們進行對話’，這就建立了一條非常狹窄的聯系通道，外人無法窺視，因而安全大大提高。不然誰都可以上www.PayPal.com網站開始攻擊。”