#### Attribute des Agenten für den Sicherheitstoken-Dienst

Ein Sicherheitstoken-Dienst ist ein Webdienst für die Ausgabe und Verwaltung von Sicherheitstokens. Dies bedeutet, dass er Sicherheitsaussagen bzw. -behauptungen häufig, wenn auch nicht notwendigerweise, in verschlüsselten Sets erstellt. Diese Behauptungen beruhen auf dem Erhalt von Belegen, die direkt überprüft werden können, oder von Sicherheitstokens von Autoritäten, die als vertrauenswürdig eingestuft werden. Um die Vertrauenswürdigkeit zu bestätigen, kann ein Dienst sein Recht zur Bestätigung einer Menge von Behauptungen beweisen, indem er ein Sicherheitstoken oder ein Set von Sicherheitstokens vorweist, die von einem STS ausgestellt wurden. Alternativ könnte er ein Sicherheitstoken mit seiner eigenen Vertrauenswürdigkeitsaussage ausgeben (beachten Sie, dass dies bei einigen Sicherheitstoken-Formaten einfach nur eine erneute Ausgabe oder eine Co-Signatur sein kann). Dies bildet die Grundlage des Trust-Brokering.

##### Allgemein

Folgende allgemeine Attribute definieren die grundlegenden Eigenschaften für den Sicherheitstoken-Dienst:

##### Gruppe

Mit dem Gruppenmechanismus können Sie eine Sammlung ähnlicher Agententypen definieren. Die Gruppe muss definiert sein, bevor der betreffende Agent in die Sammlung aufgenommen wird.

##### Password

Definiert das Passwort für den Agenten des Sicherheitstoken-Diensts.

##### Passwortbestätigung

Bestätigen Sie das Passwort.

##### Status

Legt fest, ob der Agent im System aktiv oder inaktiv sein soll. Standardmäßig ist dieses Attribut auf "Aktiv" gesetzt, was bedeutet, dass der Agent an der Sicherung ausgehender Webdienstanforderungen von Webdienst-Clients und der Validierung von Webdienstantworten von einem Webdienstanbieter beteiligt ist.

##### Universalbezeichner

Listet die grundlegenden LDAP-Eigenschaften auf, die den Agenten für den Sicherheitstoken-Dienst eindeutig definieren.

##### Sicherheit

Folgende Attribute definieren die Sicherheitsattribute für den Sicherheitstoken-Dienst:

##### Sicherheitsmechanismus

Legt den Sicherheitsnachweistyp fest, der zur Sicherung der STS-Anforderung verwendet wird. Folgende Sicherheitsnachweistypen stehen zur Auswahl:

- Anonymous (Anonym) – Der anonyme Sicherheitsmechanismus enthält keine Sicherheitsnachweise.

- KerberosToken – Es werden Kerberos-Sicherheitstoken verwendet.

- LibertyDiscoverySecurity – Verwendet Liberty-basierte Sicherheitstoken.

- SAML-HolderOfKey – Verwendet den SAML 1.1-Behauptungstyp "Holder-Of-Key".

- SAML-SenderVouches – Verwendet den SAML 1.1-Behauptungstyp "Sender Vouches".

- SAML2–HolderOfKey – Verwendet den SAML 2.0-Behauptungstoken-Typ "Holder-Of-Key".

- SAML2–SenderVouches – Verwendet den SAML 2.0-Behauptungstoken-Typ " Sender Vouches".

- STSSecurity – Verwendet das aus dem Sicherheitstoken-Dienst für einen bestimmten Webdienstanbieter generierte Sicherheitstoken.

- UserNameToken – Verwendet ein Benutzernamens-Token mit Digest-Passwort.

- UserNameToken-Plain – Verwendet ein Benutzernamens-Token mit einem Klartextpasswort zur Sicherung der Webdienst-Anforderungen.

- X509Token – Verwendet das X509-Zertifikat.

##### STS-Konfiguration

Dieses Attribut ist aktiviert, wenn der Sicherheitstoken-Dienstagent den Sicherheitstoken-Dienst (Security Token Service, STS) als Sicherheitsmechanismus verwendet. Diese Konfiguration beschreibt eine Liste von STS-Agentenprofilen, die zur Kommunikation mit den und Sicherung der Anforderungen an den STS-Dienst verwendet werden.

##### Sicherheits-Header in Nachricht beibehalten

Wenn dieses Attribut aktiviert ist, legt es fest, dass die SOAP-Sicherheits-Header vom Sicherheitstoken-Dienst zur weiteren Verarbeitung beibehalten werden.

##### Berechtigungsnachweis für Benutzertoken

Das Attribut stellt die gemeinsamen Grundschlüssel (Shared Secrets) für Benutzername/Passwort dar, die vom Agenten für den Sicherheitstoken-Dienst zur Generierung eines Benutzernamen-Sicherheitstokens verwendet wird.

##### Signierung und Verschlüsselung

Folgende Attribute definieren die Signierungs- und Verschlüsselungskonfiguration für den Sicherheitstoken-Dienst:

##### Ist Anforderung signiert

Wenn dieses Attribut aktiviert ist, signiert der Agent für den Sicherheitstoken-Dienst die Anforderung mithilfe eines angegebenen Tokentyps.

##### Ist Anforderungs-Header verschlüsselt

Wenn dieses Attribut aktiviert ist, wird der Sicherheits-Header des Agenten für den Sicherheitstoken-Dienst verschlüsselt.

##### Ist Anforderung verschlüsselt

Wenn diese Option aktiviert ist, wird die Anforderung des Sicherheitstoken-Diensts verschlüsselt.

##### Ist die Antwortsignatur verifiziert

Wenn dieses Attribut aktiviert ist, ist die Signatur des Sicherheitstoken-Diensts verifiziert.

##### Ist Antwort entschlüsselt

Wenn dieses Attribut aktiviert ist, wird die Antwort des Sicherheitstoken-Diensts entschlüsselt.

##### Schlüsselspeicher

Folgende Attribute konfigurieren den Schlüsselspeicher, der zum Speichern und Abrufen des Zertifikats verwendet werden soll:

##### Alias des öffentlichen Schlüssels des Webdienstanbieters

Dieses Attribut definiert den Alias des öffentlichen Zertifikatschlüssels, der verwendet wird, um die Webdienstanforderung zu verschlüsseln oder die Signatur der Webdienstantwort zu verifizieren.

##### Alias des privaten Schlüssels

Dieses Attribut definiert den Alias des privaten Zertifikatschlüssels, der verwendet wird, um die Webdienstanforderung zu signieren oder die Webdienstantwort zu entschlüsseln.

##### Schlüsselspeichernutzung

Diese Konfiguration definiert, ob der Standardschlüsselspeicher oder ein benutzerdefinierter Schlüsselspeicher verwendet werden soll. Folgende Werte müssen für einen benutzerdefinierten Schlüsselspeicher definiert werden:

- Speicherort des Schlüsselspeichers

- Passwort des Schlüsselspeichers

- Passwort des Schlüssels

##### Endpunkte

Folgende Attribute definieren Webdienst-Endpunkte:

##### Endpunkt des Security Token Service

In diesem Feld ist ein Wert im folgenden Format zulässig:

`%protocol://%host:%port%uri/sts`

Diese Syntax ermöglicht das dynamische Ersetzen der URL für den Sicherheitstoken-Dienst-Endpunkt, basierend auf den sitzungsspezifischen Parametern.

##### Endpunkt von Security Token Service MEX

In diesem Feld ist ein Wert im folgenden Format zulässig:

`%protocol://%host:%port%uri/sts/mex`

Diese Syntax ermöglicht das dynamische Ersetzen der URL für den Sicherheitstoken-Dienst-MEX-Endpunkt, basierend auf den sitzungsspezifischen Parametern.

##### Kerberos-Konfiguration

Kerberos ist ein von der Webdienstsicherheit unterstütztes Sicherheitsprofil zur Sicherung der Webdienstkommunikation zwischen einem Webdienstclient und einem Webdienstanbieter. In einem typischen Szenario authentifiziert sich ein Benutzer beim Desktop und ruft einen Webdienst und den Webdienstclient auf. Hierbei ist ein Kerberos-Ticket zur Sicherung der Anforderung an den Webdienstanbieter durch Identifizierung seines Principals als Kerberos-Token erforderlich. Normalerweise wird die Kerberos-basierte Webdienstsicherheit im selben Kontext der Kerberos-Domäne (Bereich) und nicht über Grenzen hinweg wie beispielsweise die SAML-basierte Webdienstsicherheit verwendet. Kerberos ist jedoch einer der leistungsstärksten Authentifizierungsmechanismen, insbesondere in Umgebungen mit Windows-Domänencontroller.

##### Kerberos-Domain-Server

Gibt den Hostnamen des Kerberos-Verteilungscenters (Domänencontroller) an. Hier ist der vollständig qualifizierte Domänenname (FQDN) des Domänencontrollers erforderlich.

##### Kerberos-Domain

Dieses Attribut gibt den Domänennamen des Kerberos-Verteilungscenters (Kerberos Distribution Center, KDC) an. Je nach Konfiguration ist der Domänenname des Domänencontrollers nicht identisch mit dem Domänennamen von OpenSSO.

##### Kerberos-Dienstprincipal

Gibt den beim KDC registrierten Principal des Sicherheitstoken-Diensts an.

Verwenden Sie die folgende Syntax:

`HTTP/hostname.domainname@dc_domain_name`

`hostname` und `domainame` stehen für den Hostnamen und den Domänennamen der OpenSSO-Instanz. `dc_domain_name` is the Kerberos domain in which the Windows Kerberos server (domain controller) resides. Der Kerberos-Server unterscheidet sich möglicherweise vom Domänennamen der OpenSSO-Instanz.

##### Cache-Verzeichnis für Kerberos-Ticket

Gibt das Cache-Verzeichnis des Kerberos TGT (Ticket Granting Ticket) an. Wenn der Benutzer sich beim Desktop authentifiziert oder eine Initialisierung mit `kinit` (dem zum Abrufen des TGT vom KDC verwendeten Befehl) durchführt, wird das TGT wie in diesem Attribut definiert im lokalen Cache gespeichert.