Page History

KeyInfo は署名の中のオプション要素です。署名を検証するのに必要な公開鍵情報を含みます。POX または SAML (WS-Security モードはオフ) で Enveloped 署名をする場合にのみ適用されます。 KeyInfo要素の中に含めるオプションを選択してください。次のオプションが利用可能です。

• X509 証明書: base64 エンコードの証明書を含む X509Data/X509Certificate 要素を含めます。  このオプションはデフォルトで推奨されています。
• X509 IssuerSerial: 識別名/シリアル番号のペアを含む X509Data/X509IssuerSerial 要素を含めます。
• X509 SKI: base64 エンコードのサブジェクト鍵識別子を含む X509Data/X509SKI 要素を含めます。このオプションをオンにするには、証明書は X.509 バージョン 3 である必要があります。
• X509SubjectName: X.509 サブジェクト名を含む X509Data/X509SubjectName 要素を含めます。
• パブリック KeyValue: 64base エンコードの公開鍵を含む KeyValue/RSAKeyValue 要素を含めます。
• STR X509 証明書:  64base エンコードの証明書を含む awsse:SecurityTokenReference/wsse:KeyIdentifier 要素を含めます。
• STR X509 SKI:   64base エンコードのサブジェクト鍵識別子を含む wsse:SecurityTokenReference/wsse:KeyIdentifier 要素を含めます。

このモードをオンにすると、 SOAtest は OASIS WS-Security に準じて SOAP メッセージに署名します。 OASIS 標準のバージョンは [Emulation Options Settings] で設定します。 デフォルトでは、 [Target Elements Settings] で設定されたすべての SOAP ボディのコンテンツに自動で署名されます。このモードがオフのとき、 SOAtest はターゲット要素に Enveloped 署名をします。

[セキュリティ ヘッダーのレイアウト] ドロップダウン メニューから設定を選択して、WS-Security ヘッダーにアイテムを追加するときに、どのレイアウト ルールを適用するかを指定します。次のいずれかを選択できます。

• Lax: アイテムが WSS: SOAP Message Security に準拠する順番でセキュリティ ヘッダーに追加されます。
• LaxTimestampFirst: Lax と同様ですが、セキュリティ ヘッダーの最初のアイテムは wsse:Timestamp である必要があります。
• LaxTimestampLast: Lax と同様ですが、セキュリティ ヘッダーの最後のアイテムは wsse:Timestamp である必要があります。
• Strict: アイテムは、一般的な原則「使用前の宣言」に基づく、後述の番号付けされたレイアウト ルールに従ってセキュリティ ヘッダーに追加されます。

STR Dereference Transform (STRDT) アルゴリズムを使ってセキュリティ トークン参照 (STR) を参照することで署名に自動的にセキュリティ トークンを含めるには、[STR Dereference Transform (STRDT) を使用してセキュリティ トークンに署名する] を有効にします。デフォルトでは、署名は KeyInfo 要素の署名で自動生成された STR を参照します。別の STR (たとえばセキュリティ ヘッダーからの STR) を参照する場合は、ターゲット要素の設定で STR を含めてください。

OASIS SAML トークン プロファイルに基づいて SOAP メッセージに署名する場合、または SAML アサーションに Enveloped 署名をする場合にこのオプションをオンにします。

WS-Security モードがオフの場合: Enveloped SAML 署名 は、 [Target Elements Settings] で選択した SAML アサーションに形成されます。 Holder-of-Key 方式の確立メソッドを使用する SAML アサーションは一般的に Enveloped 署名を持つべきです。

WS-Security モードがオンの場合: SOAP エンベロープは OASIS SAML トークン プロファイルに基づいて署名されます。 署名が成功するには、適切なエミュレーション オプションを選択する必要があります。

• SAML 1.1 の場合、WSS4J 1.5 以降または OASIS 1.1 以降を選択してください。
• SAML 2 の場合、WSS4J 1.6 または OASIS 1.1.1 を選択してください。

リクエスターのキーストアを参照するには、このオプションを有効にします。このオプションは Holder-of-Key 方式の確立メソッドを使用する SAML アサーションにのみ適用されます。Sender-Vouches 方式の確立で典型的なように、アサーションが Enveloped 署名を持たない場合には、このオプションを無効にしてください。

WS-Security モードがオフの場合、キーストアは SAML アサーションに Enveloped 署名をする前に、ユーザーの public KeyInfo をアサーションの subject confirmation へ追加するために使用されます。アサーションがユーザーのキーを保持し、アサーション発行者によって署名されている場合、 Holder-of-Key シナリオでこれは適用可能です。

WS-Security モードがオンの場合、SOAP メッセージの署名が成功するには、次の 2 つの要件を満たす必要があります。

• 1. Holder-of-Key アサーションは、このキーストアに参照されるユーザー証明書を保持する。 
  2. SOAP ヘッダー内のアサーションは、すでに Enveloped 署名がされている。

Holder-of-Key 方式の確立 を容易にするために、2 つの XML Singner ツールを連結できます。ひとつ目の XML Singner ツールは、ユーザーの public KeyInfo をアサーションの subject confirmation に任意で追加します。そしてアサーションに Enveloped 署名をします (WSS モードはオフ)。ふたつ目の XML Singner ツールは、 OASIS SAML トークン プロファイルに基づいた SAML アサーションを含む SOAP エンベロープに署名をします (WSS モードはオン) 。