WS-Security

　セキュリティトークンを利用してメッセージの完全性の保証、機密性の確立と評価、メッセージ送信元の認証を行う方法を規定する。

WS-SecureConversation（WS-SC）

　組織間で認証を繰り返さずに複数のメッセージ交換を行える、安全なコンテキストを構築するためのビルディングブロック。

WS-SecurityPolicy（WS-SP）

　Webサービスに関連付けられる一般的なセキュリティポリシーセットを定義する。特定のSOAPエンドポイントに関連付けられたポリシーの表明として、サポートされているセキュリティ交換パターンの表明を可能にするために使われる。

WS-Trust（WS-T）

　情報を交換しようとする当事者間で信頼関係を確立し、管理または評価するための規約を提供する。セキュリティトークンの取得と信頼関係の仲介に使われる。

WS-SecureExchange（WS-SX）

　SOAPメッセージの形式とメッセージ内のトークンを規定する定義済みのセキュリティポリシーにより、複数のSOAPメッセージの信頼できる交換を可能にする。

　これらを含むWebサービスの基盤は将来的に、概念やWSDLドキュメント、XML Schemaレンダリングを標準化するモジュール型の仕様群（必要なものだけを組み合わせて利用できる）で規定されるようになるだろう。それによって、SOAPメッセージの信頼できる仲介が行われ、セキュリティコンテキストが共有され、セキュリティポリシーが表明されて、その遵守がチェックされるようになる見通しだ。

　OASISで実施中の関連する重要な取り組みとして、Web Services Reliable Exchange（WS-RX）プロジェクトや、Web Services Transaction（WS-TX）プロジェクト、Webサービスセキュリティ（WSS）技術委員会の活動などがある。これらの取り組みは、セキュリティポリシーを表明する機能や、進行中の対話（情報の交換）を長時間にわたって維持する機能を開発することが主な狙いだ。

　以上に挙げた仕様や機能の開発には明確な目的がある。ポリシーや通信、情報交換に関連するセキュリティを確立、維持、評価するために開発者が利用できるサービスの標準的ビルディングブロックを定義することだ。それらを十分にマスターするには、かなりの時間と手間と労力がかかるが、そのメリットが大きいことから、IBM、マイクロソフト、アドビ、BEAシステムズ、CA、ノベル、オラクル、SAP、ベリサインなどのベンダーは、これらの仕様をサポートしている。どんなWebサービスに取り組んでいる開発者にとっても、そうするのが賢明だろう。OASISのセキュリティ技術委員会のページを入り口にして、学習を始めてみてはいかがだろうか。

本稿筆者のエド・ティテル氏はライターと講師を兼業しており、XMLと開発のほか、IT資格や情報セキュリティなどのテーマに関心を持っている。