このセクションの内容:

認証、暗号化、アクセス制御に関して、万全なセキュリティ対策を取ることを支援するために、SOAtest は業界標準の WS-Security 仕様を完全にサポートする広範なセキュリティツールとオプションを備えています。

WS-Security テストスイートを使ったこの演習では、暗号化/復号化、デジタル署名、および SOAP ヘッダーの追加について説明します。以下は、SOAtest がサポートする主要なセキュリティツールとオプションです。

XML Encryption ツール: XML Encryption ツールを使用すると、Triple DES、AES 128、AES 192、 AES 256 を使って、メッセージの全部または一部を暗号化/復号化することができます。WS-Security モードでは、バイナリセキュリティトークン、X509IssuerSerial、およびキー識別子がサポートされます。
XML Signer ツール: XML Signer ツールを使用すると、ニーズに合わせてメッセージの全部または一部をデジタル署名することができます。時には、文書の一部にデジタル署名し、残りの部分は暗号化することが重要な場合もあります。
XML Signature Verifier ツール: XML Signature Verifier ツールを使用すると、キーストアファイルに保管された公開鍵と秘密鍵を使ってデジタル署名された文書を検証することができます。
キーストア: SOAtest でキーストアを使用すると、キーストアファイルに保管された公開鍵と秘密鍵を使ってデジタル署名された文書を暗号化/復号化することができます。JKS、PKCS12、BKS、PEM、および UBER 形式のキーストアを使用できます。
ユーザー名トークン、SAML トークン、X509 トークン、カスタムヘッダー: SOAtest は、カスタム SOAP ヘッダーの送信と、ユーザー名トークンおよび SAML トークンのテンプレートをインクルードします。

この演習が完了すると、 SOAtestTutorial.tst ファイルの "WS-Security" に似たテストスイートが完成するはずです。

Unlimited Strength Java Cryptography Extension

重要: XML Signature Verifier、XML Signer、XML Encryption ツールを使ってセキュリティテストを実行するためには、あるいはキーストアを使用している場合は、Unlimited Strength Java Cryptography Extension をダウンロードしてインストールする必要があります。詳細については「JCE 前提条件」を参照してください。

メッセージレイヤーセキュリティと SOAP ヘッダー

この演習では、書店 Web サービスを使用します。この書店サービスでは、WS-Security の仕様に従って、SOAP ヘッダー要素内でユーザー名とパスワードをサブミットする必要があります。SOAtest には、カスタムヘッダーを追加する機能が用意されているほか、ユーザー名トークンと SAML トークンを作成するための定義済みテンプレートも用意されています。以下の演習ではユーザー名トークンを使用します。

前の演習で作成したプロジェクトを右クリックし、ショートカットメニューから [新規追加] > [テスト (.tst) スイート] を選択します。
ファイル名を入力し、[次へ] をクリックします。
[空] を選択して [終了] をクリックします。空のテストスイートフォルダーが作成されます。
追加された新しい テストスイート: テストスイート ノードをダブルクリックします。
右側の設定パネルで、[名前] フィールドに WS-Security と入力します。
[保存] ボタンをクリックして WS-Security テストスイートを保存します。
機能テストの演習で追加した Excel: Books データソースをコピーし、このテストスイートに貼り付けます。
テストスイート: WS-Security ノードを選択し、[テストスイートの追加] ボタンをクリックします。
[空] を選択して [終了] をクリックします。空のテストスイートフォルダーが作成されます。
テストスイートをダブルクリックしてエディターを開き、テストスイートの名前を Username Tokens にします。
[保存] ボタンをクリックして Username Tokens テストスイートを保存します。
テストスイート: Username Tokens ノードを選択し、[テストまたは出力の追加] ボタンをクリックします。
[テストの追加] ウィザードで、左側ペインから標準テストを選択し、右側ペインから SOAP Client を選択して [終了] をクリックします。テストスイートに SOAP Client ツールが追加されます。
テストスイート: Username Tokens ノードの下の テスト 1: SOAP Client をダブルクリックします。
以下の操作を行って、SOAP Client ツールを設定します。
1. [名前] フィールドに SOAP Client - getItemByTitle operation と入力します。
2. [WSDL] タブを開き、[WSDL URI] フィールドに以下を入力します。
  http://localhost:8080/parabank/services/store-wss-01?wsdl
3. [リクエスト] タブを開き、[操作] ドロップダウンメニューから getItemByTitle を選択します。
4. titleKeyword 要素を確認し、[パラメータライズ] の値として Keywords を選択します。
ツールバーの [保存] ボタンをクリックして変更を保存します。
ツールバーの [テスト] ボタンをクリックしてテストを実行します。必要なセキュリティヘッダーがないため、テストが失敗することが分かります。

必要な SOAP ヘッダーを追加するために、以下の操作を行います。

テスト 1: SOAP Client - getItemByTitle operation ノードをダブルクリックします。
ツールの設定パネルで [SOAP ヘッダー] タブを開き、[追加] ボタンをクリックします。[新規 SOAP ヘッダーの追加] ダイアログが表示されます。
WS-Security を選択して [OK] をクリックします。
SOAP ヘッダーのテーブルに追加された新しいエントリをダブルクリックします。ダイアログが表示されます。
[タイムスタンプ] タブで [タイムスタンプの送信] チェックボックスをオフにします。
[ユーザー名トークン] タブを開き、以下の設定を行います。
1. [wsse:Username] フィールドに soatest と入力します。
2. [wsse:Password] フィールドに soatest と入力します。
[OK] をクリックします。
ツールバーの [保存] ボタンをクリックして変更を保存します。
ツールバーの [テスト] ボタンをクリックしてテストを実行します。今回はテストが成功します。
Traffic Viewer ノードをダブルクリックし、リクエストで送信された SOAP ヘッダーを参照し、指定した書籍についての情報をサービスが返したことを検証します。
今後サーバーレスポンスでのあらゆる変更を警告する回帰コントロールを作成するために、テスト 1: SOAP Client - getItemByTitleOperation を右クリックし、ショートカットメニューから [回帰コントロールの作成/更新] を選択します。
[レスポンス検証] ウィザードで、[回帰コントロールの作成] > [複数のコントロールを作成] を選択し、[終了] をクリックします。

さらに数回テストを実行した場合、テストは失敗します。なぜなら、price 要素が変わったからです。これまでの演習のステップに従って、動的に変化する price の値を無視してくだい。

XML Encryption ツールの使用

この演習では、前の演習で使用したサービスに似た書店サービスを使用します。この書店サービスは以下の点が異なります。

リクエストボディは、examples\keystores ディレクトリにあるキーストア soatest.pfx を使って暗号化されなければなりません。
レスポンスも暗号化され、同じキーストアを使って復号化することができます。

まず、キーストアをセットアップする必要があります。

テストスイート: WS-Security ノードを選択し、ツールバーの [プロパティの追加] ボタンをクリックします。
[グローバルプロパティのタイプを選択] ダイアログで、[グローバルキーストア] を選択し、[終了] をクリックします。
キーストアの設定パネルで以下の操作を行って、キーストアを設定します。
1. [名前] フィールドに PKCS12 Keystore と入力します。
2. [秘密鍵に同じキーストアを使用] チェックボックスを必ずオンにします。
3. [ファイルシステム] ボタンをクリックし、キーストア soatest.pfx の場所まで移動します。
  - Windows:C:\Program Files\Parasoft\SOAtest\[SOAtest version number]\examples\keystores
  - その他: [SOAtest installation directory]\examples\keystores
4. [キーストアパスワード] フィールドに security と入力します。
5. [キーストアタイプ] ドロップダウンメニューから PKCS12 を選択します。
6. [ロード] ボタンをクリックします。
  
  キーストア中の利用可能な証明書エイリアスのリストが [証明書エイリアス] に表示されます。
7. [証明書エイリアス] フィールドで soatest を選択します。
8. キーストアの設定パネルの [秘密鍵] タブを開き、[ロード] をクリックします。
9. [秘密鍵エイリアス] に soatest を選択し、[秘密鍵パスワード] に security と入力します。
ツールバーの [保存] ボタンをクリックします。

ここまでの操作で、XML Encryption ツールを使ったテストをセットアップする準備ができました。より分かりやすくセキュリティテストを編成するために、暗号化テストのためのフォルダーを新規に作成します。

テストスイート: WS-Security ノードを選択し、[テストスイートの追加] ボタンをクリックします。
[空] を選択して [終了] をクリックします。空のテストスイートフォルダーが作成されます。
右側パネルの [名前] フィールドに Encryption/Decryption と入力します。
ツールバーの [保存] ボタンをクリックします。
テストスイート: Encryption/Decryption ノードを選択し、[テストまたは出力の追加] ボタンをクリックします。
左側ペインから [標準テスト] を選択し、右側ペインから SOAP Client を選択して [終了] をクリックします。テストスイートに SOAP Client ツールが追加されます。
以下の操作を行って、SOAP Client ツールを設定します。
1. [名前] フィールドに SOAP Client - getItemByID operation と入力します。
2. [WSDL] タブを開き、[WSDL URI] フィールドに以下を入力します。 http://localhost:8080/parabank/services/store-wss-03?wsdl
3. [リクエスト] タブをクリックします。
4. [操作] ドロップダウンメニューから getItemById を選択します。
5. id 要素について、その [パラメータライズ] の値として ID を選択します。
ツールバーの [保存] ボタンをクリックします。
テスト 1: SOAP Client - getItemByID operation を右クリックし、ショートカットメニューから [出力の追加] を選択します。 [出力の追加] ウィザードが表示されます。
左側ペインからリクエスト > SOAP エンベロープを選択し、右側ペインから XML Encryption を選択して [終了] をクリックします。Encryption Tool が SOAP Client に連結されます。
以下の操作を行って、リクエスト SOAP エンベロープ -> XML Encryption ツールを設定します。
1. [暗号化] ラジオボタンが選択されていることを確認します。
2. [WS-Security] チェックボックスがオンであることを確認します。
3. [シンメトリック（ブロック暗号化）] ドロップダウンメニューから AES 256 を選択します。
4. WS-Security ページを開き、[フォーム] ボックスで X509BinarySecurityToken が選択されていることを確認します。
5. ターゲット要素ページを開き、[SOAP ボディ/ドキュメント全体] チェックボックスがオンであることを確認します。この設定は XML ボディ要素を暗号化します。
  
  これで、リクエストがサービスに送られるときに、XML Request が暗号化されるように設定されました。
6. ツールバーの [保存] ボタンをクリックして変更を保存します。

ここで、SOAP Client テストの XML Response に XML Encryption ツールを追加して、XML レスポンスを復号化できるようにすることができます。

テスト 1: SOAP Client - getItemByID operation を右クリックし、ショートカットメニューから [出力の追加] を選択します。 [出力の追加] ウィザードが表示されます。
左側ペインからレスポンス > SOAP エンベロープを選択し、右側ペインから XML Encryption を選択して [終了] をクリックします。Encryption Tool が SOAP Client に連結されます。
以下の操作を行って、レスポンス SOAP エンベロープ -> XML Encryption ツールを設定します。
1. [復号化] ラジオボタンを選択します。
2. [キーストア] ドロップダウンメニューから PKCS12 Keystore を選択します。
ツールバーの [保存] ボタンをクリックして変更を保存します。
ツールバーの [テスト] ボタンをクリックしてテストを実行します。
Traffic Viewer ノードをダブルクリックして、暗号化されたデータを参照します。
テスト 1: SOAP Client - getItemByID operation ノードを右クリックし、[回帰コントロールの作成/更新] を選択します。
表示されたダイアログで、[回帰コントロールの作成] > [複数のコントロールを作成] を選択し、[終了] をクリックします。

回帰コントロールが作成され、レスポンス SOAP エンベロープ -> XML Encryption に自動的に連結されます。復号化されたレスポンスが回帰コントロールに表示されることが分かります。

最後に、XML レスポンスからの動的な値を無視して、回帰コントロールが毎回失敗しないようにします。

XML Document -> Diff ノードをダブルクリックし、GUI 右側のパネルで以下の設定を行います。
1. [Diff モード] を XML に設定します。
[Diff モード] として [フォームXML] を選択します。[フォーム XML] タブが選択されると、リテラル XML ビューの値を上書きするかどうかを問い合わせるメッセージボックスが表示されます。[はい] をクリックします。
1. price 要素を右クリックし、ショートカットメニューから [無視する XPath を設定] を選択します。[無視する XPath を設定] ダイアログが表示されます。[OK] をクリックして、price 要素のテキスト内容への変更を無視します。
2. CipherValue 要素について、前のステップを繰り返します。
3. DataReference 要素を右クリックし、[無視する XPath を設定] を選択します。[無視する XPath を設定] ダイアログが表示されます。[属性] チェックボックスをオンにして、DataReference 要素の属性への変更を無視します。[OK] をクリックします。
4. [リテラル XML] ボタンを選択してリテラル XML ビューに切り替えます。
5. フォーム XML ビューの値を上書きするかどうかを問い合わせるメッセージボックスが表示されたら、[はい] をクリックします。
ツールバーの [保存] ボタンをクリックして変更を保存します。
ツールバーの [テスト] ボタンをクリックしてテストを実行します。

XML Signer ツールの使用

以下の演習では、書店サービスを使用します。この書店サービスは、キーストア soatest.pfx の証明書を使ってリクエストボディが署名されることを要求します。このサービスからのレスポンスも署名され、同じキーストアを使って検証することができます。この演習では、前の演習と同じキーストア設定を使用します。

テストスイート: WS-Security ノードを選択し、[テストスイートの追加] ボタンをクリックします。
[空] を選択して [終了] をクリックします。空のテストスイートフォルダーが作成されます。
右側パネルの [名前] フィールドに Sign/Verify と入力し、ツールバーの [保存] ボタンをクリックします。
テストスイート: Sign/Verify ノードを選択し、[テストまたは出力の追加] ボタンをクリックします。
左側ペインから標準テストを選択し、右側ペインから SOAP Client を選択して [終了] をクリックします。テストスイートに SOAP Client ツールが追加されます。
以下の操作を行って、SOAP Client ツールを設定します。
1. [名前] フィールドに SOAP Client - addItemtoCart operation と入力します。
2. [WSDL] タブを開き、[WSDL URI] フィールドに以下を入力します。
  http://localhost:8080/parabank/services/store-wss-02?wsdl
3. [リクエスト] タブをクリックします。
4. [操作] ドロップダウンメニューから addItemtoCart を選択します。
5. itemId パラメーターについて、その [パラメータライズ] の値として ID を選択します。
6. quantity パラメーターについて、その [固定] の値として 1 を選択します。
7. cartId パラメーターのチェックボックスはオフのままにします。そうすると、新しい cartId が自動的に生成されます。
[保存] をクリックして、変更したテストを保存します。
テスト 1: SOAP Client - addItemtoCart operation ノードを右クリックし、ショートカットメニューから [出力の追加] を選択します。[出力の追加] ウィザードが表示されます。
左側ペインでリクエスト > SOAP エンベロープを選択し、右側ペインで XML Signer を選択して [終了] をクリックします。XML Signer ツールが SOAP Client に連結されます。
以下の操作を行って、XML Signer ツールを設定します。
1. [キーストア] ドロップダウンメニューから PKCS12 Keystore を選択します。
2. [アルゴリズム] ドロップダウンメニューから RSAwithSHA1 (PKCS1) - http://www.w3.org/2000/09/xmldsig#rsa-sha1 を選択します。
3. WS-Security ページを開き、[フォーム] ボックスから X509IssuerSerial を選択します。
4. ターゲット要素ページを開き、[SOAP ボディ/ドキュメント全体] チェックボックスがオンであることを確認します。これで、サービスにリクエストが送られたときに XML リクエストが署名されるように設定されました。
5. [保存] をクリックして、変更したテストを保存します。

ここで、SOAP Client テストの XML Response に XML Verifier ツールを追加して、XML レスポンスの署名検証を行うことができます。

テスト 1: SOAP Client - addItemtoCart operation ノードを右クリックし、ショートカットメニューから [出力の追加] を選択します。[出力の追加] ウィザードが表示されます。
左側ペインからレスポンス > SOAP エンベロープを選択し、右側ペインから XML Signature Verifier を選択して [終了] をクリックします。XML Signature Verifier ツールがテスト 1: SOAP Client - addItemtoCart operation ノードに連結されます。
以下の操作を行って、XML Signature Verifier ツールを設定します。
1. [キーストアの使用] チェックボックスをオンにし、ドロップダウンメニューから PKCS12 Keystore を選択します。
2. [WS-Security モード] チェックボックスがオンであることを確認します。
ツールバーの [保存] ボタンをクリックして変更を保存します。
ツールバーの [テスト] ボタンをクリックしてテストを実行します。
Traffic Viewer ノードをダブルクリックして、署名されたデータを参照します。テストが成功することから、署名されたリクエストをサーバーが承認し、サーバーの署名されたレスポンスが正しく検証されたことが分かります。

XML 暗号化と署名の組み合わせ

以下の演習では、書店サービスを使ってさらに複雑なテストを作成します。これは、前の 2 つの演習で実施したセキュリティ要件を組み合わせたものです。この書店サービスは、キーストア soatest.pfx を使ってリクエストボディが署名および暗号化されることを要求します。このサービスからのレスポンスも署名および暗号化され、同じキーストアを使って復号化および検証することができます。

テストスイート: WS-Security ノードを選択し、[テストスイートの追加] ボタンをクリックします。
[空] を選択して [終了] をクリックします。空のテストスイートフォルダーが作成されます。
GUI 右側の [名前] フィールドに Encryption and Signature Combined と入力し、ツールバーの [保存] ボタンをクリックします。
テストスイート: Encryption and Signature Combined ノードを選択し、[テストまたは出力の追加] ボタンをクリックします。
[テストの追加] ウィザードで、左側ペインから標準テストを選択し、右側ペインから SOAP Client を選択して [終了] をクリックします。テストスイートに SOAP Client ツールが追加されます。テストスイートに SOAP Client ツールが追加されます。
以下の操作を行って、SOAP Client ツールを設定します。
1. [名前] フィールドに SOAP Client - getItemByTitle operation と入力します。
2. [WSDL] タブを開き、[WSDL URI] フィールドに以下を入力します。
  http://localhost:8080/parabank/services/store-wss-04?wsdl
3. [リクエスト] タブをクリックします。
4. [操作] ドロップダウンメニューから getItemByTitle を選択します。
5. titleKeyword パラメーターのチェックボックスをオンにし、[固定] を選択して Linux と入力します。
テスト 1: SOAP Client - getItemByTitle operation を右クリックし、ショートカットメニューから [出力の追加] を選択します。[出力の追加] ウィザードが表示されます。
左側ペインからリクエスト > SOAP エンベロープを選択し、右側ペインから XML Signer を選択して [終了] をクリックします。XML Signer ツールが SOAP Client に連結されます。
以下の操作を行って、XML Signer ツールを設定します。
1. [キーストア] ドロップダウンメニューから PKCS12 Keystore を選択します。
2. [アルゴリズム] ドロップダウンメニューから RSAwithSHA1 を選択します。
3. WS-Security ページを開き、ドロップダウンメニューから X509BinarySecurityToken を選択します。
4. ターゲット要素ページを開き、[SOAP ボディ/ドキュメント全体] チェックボックスがオンであることを確認します。これで、サービスにリクエストが送られたときに XML リクエストが署名されるように設定されました。

ここで、XML Encryption ツールを XML Signer ツールの XML Response に追加して、署名されたドキュメントを暗号化することができます。

リクエスト SOAP エンベロープ > XML Signer ノードを右クリックし、ショートカットメニューから [出力の追加] を選択します。[出力の追加] ウィザードが表示されます。
XML Encryption を選択して [終了] をクリックします。XML Encryption ツールが XML Signer ツールの XML Response に連結されます。
以下の操作を行って、XML Encryption ツールを設定します。
1. [暗号化] ラジオボタンが選択されていることを確認します。
2. [キーストア] ドロップダウンメニューから PKCS12 Keystore を選択します。
3. [シンメトリック] ドロップダウンメニューから AES 256 を選択します。
4. WS-Security ページを開き、[フォーム] ボックスから X509BinarySecurityToken を選択します。
5. ターゲット要素ページを開き、[SOAP ボディ/ドキュメント全体] チェックボックスがオンであることを確認します。これで、サービスにリクエストが送られたときに XML リクエストが署名されるように設定されました。
6. [保存] をクリックして、変更したテストを保存します。
ツールバーの [テスト] ボタンをクリックしてテストを実行します。
Traffic Viewer ノードをダブルクリックしてサーバーレスポンスを確認します。

WS-SecurityPolicy がある WS-Security テストの自動生成

SOAtest では、ランタイムセキュリティポリシーを適用するためにテストを自動作成することができます。この機能は、正しい設定を使って正しいテストを自動生成するのに役立ち、サービスを直ちに呼び出すことができます。さらに、プロジェクトテストレベルでポリシーを管理することで、ポジティブとネガティブの両方でサービスを適切にテストするために、さまざまなポリシーをより簡単に作成および管理することができます。

SOAtest は、WS-PolicyAttachment 規格を使用している場合、WSDL 中の WS-SecurityPolicy アサーションを認識します。WS-SecurityPolicy アサーションがある WSDL から自動的にテストを生成するには、以下の操作を行います。

テストスイート: WS-Security ノードを選択し、ツールバーの [プロパティの追加] ボタンをクリックします。
[グローバルプロパティのタイプを選択] ダイアログで、WS-Policy Banks を選択して [終了] をクリックします。WS-Policy Banks ノードがテストケースエクスプローラーに追加されます。
GUI 右側の WSDL Policies の設定パネルで、[WSDL URL] フィールドに http://localhost:8080/parabank/services/store-wss-04?wsdl と入力し、 [WSDL からリフレッシュ] ボタンをクリックします。[グローバルポリシー] にデータが投入されます。

WSDL 中の WS-SecurityPolicy アサーションに対応する WS-SecurityPolicy 構成を含むポリシーノードが表示されています。

同じ WSDL を使って生成されたテストに、WSDL ポリシーに一致する WS-Policy プロパティがあることが分かります。(ポリシーがそのように解釈するために) リクエストに対して XML Signer と XML Encryption ツールを自動的に構成したい場合、[WSDL に定義されたポリシーに従う] チェックボックスをオンにして [ポリシー構成の更新] をクリックします。

キーストアがすでにテストスイートに追加されているため、このテストはすぐに実行できます。キーストアをまだ追加していない場合はキーストアの設定が必要です。キーストアの追加に関する情報については、「Using the XML Encryption Tool」を参照してください。

Page tree

WS-Security