Les Web Services. Rapport de TE. Étudiants Cyrielle Lablanche Florens Seine Sébastien Gastaud. Encadrant Hervé Chang

Transcription

1 Université de Nice-Sophia Antipolis Licence d Informatique 3 ème année Les Web Services Rapport de TE Étudiants Cyrielle Lablanche Florens Seine Sébastien Gastaud Encadrant Hervé Chang

2 Table des matières 1 Introduction Historique et Origine des Concepts Motivations Principes Organisation Architecture RPC Définition Principe de fonctionnement Interface Processus serveur Squelette calcul_server.c (cf Figure 1.2) Processus client Squelette calcul_client.c (cf Figure 1.3,1.4,1.5) Conclusion Annexes RPC XML Définition Le prédécesseur de XML sur le Web : HTML Exemple de code HTML De HTML à XML Règles d écriture au format XML Ce que XML va rendre possible Les espaces de nommage (namespaces) Les langages de présentation (style) : CSS et XSL XML Schema Les langages de lien et d adressage L avenir prévisible de XML Annexes XML SOAP Définition Avantages Appels de procédure SOAP et XML L enveloppe SOAP Représentation XML Modèle de données Traduction d une structure i

3 5.7.2 Traduction d une liste (ou tableau) Le modèle RPC Exemple UDDI Définition Données du registre UDDI (cf Figure 4.1) Pages blanches Pages jaunes Pages Vertes Enregistrement de types de services UDDI et SOAP (cd Figure 4.2) API (Messages SOAP) Interagir avec XML Implémentation Conclusion Annexes UDDI WSDL Définition Les définitions Les noms d espace Exemple WSDL (cf Figures 5.*) Annexes WSDL Web services et entreprises Définition Construction d un projet informatique Introduction Etapes EAI Définition L intégration d applications Fonctions de l EAI Les processus métiers Définition Dialogues Les processus e-business BPML (Business Process Modeling Language) Conclusion Sécurité et fiabilité des Web Services Quels mécanismes veut-on mettre en place pour assurer la sécurité des Web Services? Authentification Autorisation d accès Mécanisme d encryptage et de décryptage des données Signature digitale Sécurisation des services Web Sécurisation de l infrastructure Sécurisation des connexions Authentification et contrôle d accès Sécurisation de SOAP Standards XML de sécurité XML Signature ii

4 9.3.2 XKMS XML Key Management Specifications SAML Security Assertion Markup Language WS-Security Conclusion Apports Limites Evolution des Web Services Enrichissement personnel page iii de 48

5 Chapitre 1 Introduction Selon la définition du W3C (World Wide Web Consortium), un Web service (ou service Web) est une application appelable via Internet - par une autre application d un autre site Internet - permettant l échange de données (de manière textuelle) afin que l application appelante puisse intégrer le résultat de l échange à ses propres analyses. Les requêtes et les réponses sont soumises à des standards et normalisées à chacun de leurs échanges. 1.1 Historique et Origine des Concepts Les Web services sont nés de l effort de plusieurs organisations qui ont partagé un intérêt commun en développant et en maintenant "un marché électronique". Celles-ci souhaitaient pouvoir communiquer plus simplement et sans avoir à se concerter sur chacune de leur transaction pour pouvoir interpréter leurs différentes données. Elles souhaitaient supprimer l isolement de leur système informatique avec les autres C est ainsi que naquit en 1975 l EDI (Échange de Données Informatisées). L EDI peut être défini comme l échange, d ordinateur à ordinateur, de données concernant des transactions en utilisant des réseaux et des formats normalisés. Il s agit d un format standard permettant l échange d un certain type de données. D un développement assez semblable à la création du code Morse, EDI permettait à des personnes d une langue donnée d envoyer des messages via câble à des interlocuteurs similaires situés dans un autre lieu. L EDI permet l entente entre les différentes applications sur la modélisation des échanges et sur les protocoles de communication. L EDI a l avantage de ne pas avoir à retaper les données. Elle permet donc un gain de temps et d argent, en réduisant les erreurs de saisie. L EDI reste tout de même incomplète. Le système mis en place est difficile à implémenter. Les techniques employées sont complexes et coûteuses. Vers la fin des années 80, l évidence fut que l âge des systèmes informatiques isolés touchait à son terme tandis que différents ordinateurs, de tailles, de capacités et de formes variées, apparaissaient au sein d une même organisation. Les départements informatiques voulurent bien évidemment exploiter au mieux et au plus bénéfique la précieuse puissance d analyse qu ils avaient à disposition. Il fallut donc rendre les applications informatiques capables de déplacer leurs travaux, c est-à-dire de procéder à un véritable traitement distributif. Pour répondre à cette nouvelle situation, de nouvelles technologies apparurent telles que CORBA (Common Object Request Broker Architecture) ou la version qu en fit Microsoft, le Component Object Model (COM). CORBA, est une architecture logicielle, pour le développement de composants. Ces composants, qui sont assemblés pour la construction d applications complètes, ont la possibilité d être écrits dans des langages de programmation différents, d être exécutés dans 1

6 des processus dissociés, voire d être déployés sur des machines distinctes. Les composants CORBA utilisent une approche essentiellement orientée objet (du point de vue d un langage de programmation, toutes les méthodes sont virtuelles, il n y a pas de polymorphisme paramétrique, ni méthodes protégées ou privées, ni surcharge d opérateurs, ni fonctions de première classe). Chaque composant est décrit sous la forme d une interface écrite en langage IDL (Interface Description Language) qui est un langage permettant de définir l interface de composants logiciels (IDL permet donc de faire interagir des modules développés dans des langages distincts). Une correspondance a été introduite entre le langage IDL et plusieurs langages de programmation. Des pré-compilateurs spécifiques sont capables de générer automatiquement la structure de l interface IDL dans un langage précisé. Ils produisent aussi le code qui garantie le transfert et la réponse des appels de fonctions distantes (appelées skeleton et stub). Un module dont l interface est présentée en IDL pourra ainsi être implémenté en C++, alors que les modules Java qui l utiliserait, effectueraient des appels sur une interface Java générée à partir de la même présentation IDL. L architecture CORBA assure l acheminement des appels entre les processus. Les applications et les composants CORBA associent typage statique et dynamique, ainsi, chaque composant est présenté statiquement par une interface mais les composants qui utilisent celui-ci doivent vérifier dynamiquement que l interface est effectivement implantée. L inconvénient majeur de cette méthode est qu elle nécessite une reprogrammation continuelle des architectures suivant les organisations qui l utilisent. Ce qui implique une perte de temps, et d argent à chaque changement d application puisque tout doit être reprogrammé pour aller dans le sens de la nouvelle architecture. Les années 90 furent témoin non seulement de la recrudescence des ordinateurs personnels, mais aussi du décollage phénoménale d Internet avec une demande grandissante de standards susceptibles de travailler sur n importe quelle plateforme. A la fin des années 90, l e-speak d Hewlett Packard fit son apparition en même temps que XML. HP voulait ainsi concurrencer l e-business d IBM qui par leur campagne de publicité retentissante donnait la forte sensation d être les inventeurs du système d e-services utilisant les protocoles établis comme l HTTP et XML pour permettre de passer outre les différences entre les divers systèmes coexistants dans un même réseau. Sans le savoir, les services Web étaient nés. L e-speak passa pratiquement inaperçu, seuls quelques observateurs s en souvinrent. Microsoft et IBM avait déjà pensé à une alternative grâce à EDI. Ils tentèrent de coder des transactions EDI en XML pour permettre de facilité les relations interentreprises grâce au Web. EDI réussit à survivre grâce à ses notions de sécurité qui faisait énormément défaut aux services Web. Un nouveau standard était né : ebxml. A peu près à la même époque, un regroupement d organisations recherchant une façon de structurer et d échanger des documents XML créa un protocole appelé Simple Object Access Protocol (SOAP) qui permet la transmission de messages entre applications distantes, ce qui veut dire qu il autorise un objet d une application à invoquer des méthodes d objets physiquement situés sur une autre machine et pouvant être codé par une autre application. Le transfert se fait le plus générale grâce au protocole HTTP, mais peut tout aussi bien se faire par d autres protocoles, comme SMTP. Le protocole SOAP se compose d une partie qui joue le rôle d enveloppe contenant des informations sur le message lui-même afin de permettre son transfert et son traitement, et d une partie qui joue le rôle de modèle de données, caractérisant le format du message, c est-à-dire les informations à transférer. Le SOAP a été conçu à partir des concepts qui avaient produit, entre autres, des technologies comme CORBA et EDI, en lui ajoutant les composants XML et HTTP de telle façon que les applications puissent interagir entre elles, même à travers les firewalls des entreprises. Le SOAP a été largement accepté, probablement grâce à ce que son nom vante : sa simplicité. Le SOAP ne définit au final aucune sémantique, il ne fait que livrer une programmation dans une enveloppe protectrice, sans se préoccuper de son type. On peut donc l assimiler dans ce sens à un messager discret qui - se doutant peut-être que le contenu de son paquet est important - mènerait quoi qu il arrive à bien son devoir de livraison à la personne certifiée pour analyser ce qu on lui apporte. On peut affirmer que c est avec SOAP que le concept de services Web est page 2 de 48

7 définitivement apparu renforcé par la création de WSDL (Web Services Description Language) qui donne la description au format XML des Web Services. Aujourd hui, les services Web provoquent un intérêt certain auprès des architectes et des décideurs. Dès à présent, les Web Services sont sortis du champ des échanges interentreprises pour s adapter à celui du référencement et de la mise à disposition des ressources de l entreprise, empiétant en ce sens sur les technologies de type EAI. Cette utilisation à elle seule prouve la qualité du modèle et sa pérennité, notamment au niveau des couches les plus basses. Par contre, la normalisation complète d une architecture distribuée construite sur les Web Services n est pour l instant pas encore tout à fait établie. Par ailleurs, ce modèle n échappe pas à des problèmes de performance : les données sont transférées en ASCII dans une encapsulation XML elle-même intégrée dans une enveloppe SOAP puis HTTP... Le problème du choix de la bonne granularité du service, commun à toutes les architectures distribuées, se présente dans le cas des Web Services de manière plus aiguë encore. Même si ils n ont pas acquis la maturité nécessaire à leur industrialisation, les Web services se présentent plus que jamais comme la solution appropriée aux problématiques d échange de données et d intégration d applications. 1.2 Motivations Un Web service est un mécanisme qui tend à donner plus d interactions pour permettre à deux entités hétérogènes (entreprises, clients, applications, etc....) de dialoguer au travers du réseau Internet. Les logiciels écrits dans divers langages de programmation (C#, Visual Basic, Java, etc....), sur diverses plateformes (Linux, Windows, etc....) et avec diverses architectures peuvent employer des services Web pour échanger des données à travers des réseaux informatique. Chaque Web service doit pouvoir être découvert et invoqué dynamiquement par les applications. Les aspects purement pratiques n ont eux rien de fondamentalement novateurs. Au contraire, l architecture des services Web s est imposée (tout comme le langage XML) grâce à sa simplicité, à sa lisibilité et à ses fondations normalisées. L objectif principal des services Web est de faciliter le plus possible l accès aux applications entre entités et ainsi de simplifier les échanges de données. Cette interopérabilité est due à l utilisation de normes ouvertes. L OSI et le W3C sont les comités de coordination responsables de l architecture et de standardisation des services Web. Pour améliorer l interopérabilité entre les réalisations de service Web, l organisation WS-I a développé une série de profils pour faire évoluer les futures normes impliquées. L aspect le plus important des Web Services est qu ils reposent sur plusieurs standards qui permettent la structuration des architectures. Cette collection de normes et de protocoles est appelée Web Services Protocol Stack. Elle contient entre autre XML et SOAP pour le formatage des données, WSDL pour la description des services Web et UDDI pour la recherche des services Web nécessaire au bon fonctionnement des applications. Une des raisons principales pour lesquelles les services Web sont employés semble être qu ils se fondent sur le Internet et HTTP pour fonctionner. Pour comprendre ceci, il faut garder à l esprit que beaucoup d organisations se sont protégées en employant des firewalls qui filtrent et bloquent beaucoup de trafic d Internet pour des raisons de sécurité. Dans ce milieu, beaucoup de ports (voire quasiment tous) sont fermés au trafic entrant et sortant, et les administrateurs des réseaux n ont pas l envie de les ouvrir. Il en est un qui par contre est toujours ouvert, celui des navigateurs par lequel transite le protocole HTTP. De cette façon les applications peuvent continuer à interagir entre elle et ce sans modifier la configuration de sécurité des organisations. Si l on devait résumer les raisons de la création des services Web, les qualificatifs tels que la simplicité des échanges, l amélioration de la communication entre les applications en seraient les points principaux. En ajoutant à cela l interopérabilité des programmes indifféremment de leur page 3 de 48

8 langage et de leur plateforme, les services Web nous prouvent une nouvelle fois que leur technologie est très attrayante. Le véritable point fort du concept c est la normalisation des données au travers de standards connus et acceptés par tous. Fonctionnement globale d un échange de données grâce aux services Web : source : http :// 1. L application construit sa requête et la normalise grâce aux standards. 2. Le service Web traduit la requête, recherche l application nécessaire. 3. Les données sont traitées. 4. Le service Web normalise la réponse de la requête et envoie le résultat vers l application appelante. 5. Les données réponses sont reçues par l application. Elles peuvent directement être interprétées. page 4 de 48

9 Chapitre 2 Principes Les motivations de simplicité et d interopérabilité pour les services Web impliquent une structure bien huilée pour un fonctionnement facilité et efficace. Les protocoles des services Web reposent donc sur des organisations et des architectures prédéfinies. 2.1 Organisation La normalisation actuelle autour des Web Services est cependant une organisation complexe qui va bien au-delà de la simple invocation d une méthode d un objet distant. Différents travaux ont ainsi démarré pour permettre d établir une véritable infrastructure distribuée, capable de satisfaire l ensemble des besoins d une application distribuée, aussi bien en terme de normalisation des échanges qu en terme de services transverses. Cette organisation par comités de normalisation peut être schématisée selon le découpage matriciel suivant : Cette normalisation des services transverses se fait sur trois axes horizontaux : Couche de transport : Définition de la structure des messages utilisés par les applications pour se découvrir et dialoguer entre elles. Cette couche est à l heure actuelle la seule réellement normalisée et qui ne souffre d aucune contestation. Elle s appuie sur le protocole SOAP pour l échange des messages et sur le langage WSDL pour la définition du contrat de l interface. Couche de sémantique : Normalisation des données participant aux échanges selon des critères métier. Les initiatives de définition de la couche de sémantiques des messages sont nombreuses et n ont pour le moment pas conduit à une quelconque normalisation. Deux types d organisation sont actuellement ouverts, l une établie selon les différents corps de métier, l autre suivant une approche plus globale autour de consortium tel que OASIS (initiateur de ebxml) ou RosettaNet. Couche de gestion des processus : Standardisation de la gestion des processus métier qui s étendent sur plusieurs applications disponibles sur Internet. L orchestration de transactions B2B (Business to Business) complexes, fondée sur une architecture normalisée des messages est aussi une tentative qui n avance pas assez rapidement et sur des standards non murs. Cette normalisation des services transverses de fait aussi sur trois axes verticaux : 5

10 Service d annuaire : Standardisation des moyens d accès à un service à partir d une requête portant sur le contenu d un service ou sur un fournisseur. La première proposition d annuaire UDDI aurait du apporter une solution définitive. Le constat est qu il n en est rien et que la trame, trop globale, du projet ne suffit pas à régler cette problématique d échanges entre applications se connaissant. Une deuxième proposition d annuaire, WS- Inspection, vient concurrencer celle-ci. Moins ambitieuse puisque consistant en une simple exposition, par agrégation, des services d une application, elle est toutefois plus adaptée à cette seconde problématique. Service de sécurité : Normalisation des moyens permettant de couvrir les problématiques d authentification et de gestion des droits d accès. La gestion de la sécurité est actuellement le frein le plus important à la mise en place d architectures distribuées à base de Web Services. Plusieurs organisations sont ouvertes mais aucune n est réellement acceptée. Il semblerait que la norme XACML (extensible Access Control Markup Language) puisse supplanter SAML (Security Assertion Markup Language) et s imposer à terme comme standard de sécurité. Service de transaction : Normalisation des moyens permettant de garantir l intégrité des transactions longues impliquant plusieurs Web Services. Le problème reste le même que pour la sécurité. Les standards ne sont pas tout à fait établis. La lutte pour l obtention d une norme est beaucoup plus ouverte que pour celle de la sécurité, même si BTP (Business Transaction Protocol ) semble plus soutenu actuellement. Modélisation de la normalisation transverse que les différents axes : source : http :// 2.2 Architecture Pour comprendre le fonctionnement d une architecture de services Web, il faut commencer par revoir certains principes. Si l on reprend la définition de Mark Colan, Web Service and XML Chief Advocate chez IBM, les Web Services sont des "applications modulaires basées sur Internet qui exécutent des tâches précises et qui respectent un format spécifique". Ce sont donc des unités logiques applicatives qui sont accessibles grâce au protocole Internet. Une définition conceptuelle du terme service Web mettrait en avant les qualités d une fonctionnalité commerciale présentée par une entité hétérogène quelconque sur Internet afin de fournir un moyen d user de ce service à distance. Pour l aspect opérationnel, les services Web ne sont que des applications modulaires qui peuvent être présentées, publiées, situées et invoquées dans un réseau et ce automatiquement. Ainsi, les applications peuvent faire appel à des fonctionnalités situées sur d autres machines dans d autres applications. Au final, on peut affirmer que le but initial d un service Web est de rendre possible l utilisation d un composant applicatif de façon distribuée. page 6 de 48

11 L apport majeur de ce modèle d échange de données est d introduire ces services comme des "boîtes noires". En effet, les requêtes-réponses d un service Web sont administrées dans le contenu de messages dont on sait la forme grâce à des interfaces clairement présentées et sur lesquelles l implémentation interne du traitement et le langage employé ne jouent pas au niveau de l architecture. Grâce à cela on obtient un haut niveau de modularité et d interopérabilité. Ce modèle de message permet donc d oublier la structure, le langage ou encore la plate-forme qui va porter le service : il suffit juste que le message suive une architecture donnée pour qu il puisse être analysé. Il s agit maintenant d identifier chaque acteur de ses Web services et de comprendre comment ils interagissent les uns avec les autres. Les trois éléments les plus importants des services Web sont les fournisseurs de service, les annuaires de services et les consommateurs de service. Le fournisseur (ou serveur) crée le service Web et publie toutes ces caractéristiques dans l annuaire de service. L annuaire rend disponible les interfaces d accès aux service et donnant le contrat et l architecture employée pour permettre les interactions. Le consommateur (ou client) quant à lui, accède à l annuaire pour rechercher les service Web dont il a besoin et avec lui les normalisation à obtenir. Il peut ainsi envoyer ses requêtes au service désiré et obtenir les réponses qu il pourra analysé. Cette architecture fonctionne de la manière suivante : source : http :// 1. Le client envoie une requête à l annuaire de Service pour trouver le service Web dont il a besoin. 2. L annuaire cherche pour le client, trouve le service Web approprié et renvoie une réponse au client en lui indiquant quel serveur détient ce qu il recherche. 3. Le client envoie une deuxième requête au serveur pour obtenir le contrat de normalisation de ses données. page 7 de 48

12 4. Le serveur envoie sa réponse sous la forme établie par WSDL en langage XML. 5. Le client peut maintenant rédiger sa requête pour traiter les données dont il a besoin. 6. Le serveur fait les calculs nécessaires suite à la requête du client, et renvoie sa réponse sous la même forme normalisée. page 8 de 48

13 Chapitre 3 RPC 3.1 Définition La programmation utilise de nos jours couramment l appel de fonctions, c est pourquoi ce mécanisme s applique désormais dans des applications distribuées. Les appels se font ainsi sur des machines distantes, expliquant ainsi le nom de «Remote Procedure Call». Le système RPC est utilisé pour toutes sortes d applications client / serveur. On peut prendre en exemple l utilisation d un ordinateur à effectuant des calculs spécifiques. Celui-ci servira donc de serveur et un autre ordinateur de client qui appellera la procédure distante pour que le serveur effectue les calculs et que le client récupère les résultats. Il existe de nombreux systèmes RPC, ce qui n encourage pas la compatibilité. Un standard se démarque cependant, le «Sun RPC» développé par Sun Microsystems. En effet, ses spécifications sont dorénavant dans le domaine public. Son but est de servir de base au système NFS ( Network File System ), très utilisé sous Linux. 3.2 Principe de fonctionnement Le système RPC est transparent pour le programmeur, c est-à-dire que la sémantique habituelle est respectée. La fonction locale à très souvent le même nom que la fonction distante. Mais celleci appelle en réalité d autres fonctions de la librairie RPC prenant en charge les connexions, paramètres et résultats. Du côté serveur, c est sensiblement le même principe exepté pour l attente des clients, le renvoi des résultats, etc. La prise en charge des connexions réseaux se fait par l intermédiaire de fonctions dites «stub». Ainsi il faut rajouter au programme client et à la fonction distante un stub pour le client et le serveur. La construction des «stubs» peut être automatisée par le programme «rpcgen» produisant du code C. 3.3 Interface On utilise l IDL (Interface Definition Language) de RPC. Il sert a la sp ecification des interfaces entre les clients et les serveurs. Description d une fonction distante poss edant 2 paramètres, rend la somme ainsi qu un code d erreur (cf Figure 1.1). Cette définition est enregistrée dans le fichier calcul.x. Il contient une description : ici, le programme s appelle CALCUL, il est en version VERSION_UN et contient deux procédures CAL- CUL_NULL et CALCUL_ADDITION. 9

14 Le numéro de CALCUL (ici 0x ) identifie le programme de manière unique dans le monde. C est notamment le cas pour le daemon NFS. Dans notre cas, le numéro est choisi dans l intervalle allant de 0x à 0x3FFFFFFF, réservé pour les utilisateurs. Il ne peut donc pas entrer en conflit avec des programmes tournant déjà sur la machine. Chaque procédure à un nom et un numéro. La procédure de numéro 0 (ici CALCUL_NULL) est toujours requise. Elle sert de «ping» ou de procédure de test. Le système RPC n accepte qu un seul argument en paramètre et en retour c est pourquoi on utilise des structures. Le programme rpcgen consomme ensuite ce fichier de définition : > rpc a calcul.x L option -a permet de produire un squelette pour le client (calcul_client.c) et le serveur (calcul_server.c). calcul.h (entête), calcul_clnt.c (stub client), calcul_svc.c (stub serveur) et calcul_xdr.c (routines XDR) sont également produits. Le format XDR (external Data Representation) définit les types utilisés pour l échange de variables entre le client et le serveur. Cela permet d adapter le programme sur différentes plateformes. Ainsi, tous les types utilisés sont filtrés par XDR. > gcc -c calcul_xdr.c Les stubs fournis sont complets. > gcc -c calcul_clnt.c > gcc -c calcul_svc.c 3.4 Processus serveur Squelette calcul_server.c (cf Figure 1.2) On peut remarquer quelques différences. RPC travaille sur des pointeurs pour accélérer le déroulement du programme (pas de copie). On travaille sur des variables déclarées «static» car on doit passer l adresse d une variable existant encore après la fin de la fonction. La fonction «main» est située dans le stub serveur. Il s occupe de recevoir et de distribuer les appels de fonctions. > gcc -c calcul_server.c > gcc -o server calcul_svc.o calcul_server.o calcul_xdr.o 3.5 Processus client Squelette calcul_client.c (cf Figure 1.3,1.4,1.5) Des variables sont déclarées pour les arguments et les valeurs de retour. Chaque appel de procédure est suivi d un test qui détecte les erreurs de niveau «RPC» (serveur ne répondant pas, machine inexistante, etc.). L erreur éventuelle est alors explicitée par la fonction clnt_perror(). Quand une erreur de niveau «RPC» se produit, le pointeur renvoyé est NULL. Cette valeur (nonvaleur plutôt!) est réservée à RPC ; donc pour un niveau d erreur autre que RPC, la valeur de retour ne doit pas être NULL. Pour faire un vrai programme, il nous faut donner des valeurs aux paramètres et il faut utiliser effectivement les résultats des appels distants. > gcc -c calcul_client.c > gcc -o client calcul_client.o calcul_clnt.o calcul_xdr.o >./server& >./client localhost page 10 de 48