- Văn bản
- Lịch sử
91. measure its impact on system pe
91. measure its impact on system performance-it can add an overhead in regards to con-tract maintenance and the like. In this chapter on security and manageability, it’s about time we started talking about manageability patterns. The next pattern, Identity Provider, helps make this transition, as it has both security and manageability aspects.
4.4 Identity Provider pattern
When you move an enterprise to SOA, or even if you only build a single system based
on SOA concepts, you’re likely to end up with quite a few services—and quite a few
more service interactions. From the security perspective, you need to make sure each
of these interactions is both authenticated and authorized. This means that each of
your services has to take care of this authentication and authorization
Ay, there’s the rub. This proliferation of authentication and authorization raises
several challenges in regard to maintenance, management, performance, and secu-rity. Let’s look at a sample scenario.
PROBLEM
Let’s take another look at the journal sub-scription agency from chapter 2 (in our dis-cussion of the Active Service pattern). One of the more important services for a journal sub-scription agency is the one that deals with the customer. Almost any other service in the sys-tem needs information from that service.
Figure 4.10 shows four simple examples-the Promotions service needs addresses, the
Proposals service needs discount rates, and the Billing and Orders services both need addresses and discount rates.
So what’s the problem with that? As a matter of fact, there are plenty:
- The Customer service needs to authenticate each of the services that connects
to it to ensure that it’s talking to an internal friendly service. But you don’t want
it to know about each of these services. You don’t want to update the Customer
service every time you add a new service. Avoiding this point-to-point integra-tion was part of the reason of going down the SOA path.
- When you have a human in the loop, you need to make sure that person is authorized to get the customer’s data. When a user works with a UI that works
with the ordering service, the user might be authorized to get a customer’s
email address (to send an order confirmation) but not the customer’s home
phone number.
92. - You don’t want each service to “know” all the users as that would cause a main-tenance and management nightmare. Would you revoke the credential on all
the services each time an employee leaves the company?
- If the Customer service has to authorize and authenticate every call, it will
have to spend a lot of time doing so, which adds latency and increases tempo-ral coupling.
- Management of the whole authorizations and authentications across services.
For example, suppose you just added the Proposals service-how can you let
the Customer service and any other service know it’s OK to talk to it? How can
you do that for new users?
- All the preceding problems get even worse when the service is external because
the trust between organizations is naturally lower than the trust between inter-nal components. For instance, you may have a third party that handles the pro-motions for you. You’ll want to let them have as few details as possible about
your internal structure and users, but you’d want to allow them to talk with your
services and make sure that they’re authenticated.
What you need is an efficient and secure way to handle authentication and authoriza-tion within a federated and distributed system.
? How can you have an efficient authorization and authentication scheme in
an SOA?
The first question that comes to mind is, “Wouldn’t the Secured Infrastructure pat-tern (from section 4.2) solve this?” Well, no. The Secured Infrastructure pattern takes
care of the channel, but how do you know you can talk with someone on that chan-nel? You can communicate over a secured infrastructure to establish the identity, but
you need something more.
As I mentioned earlier, the naïve option of trying to manage the security for each
service on its own is a maintenance nightmare, as you’d need to do that work for each
service. You also run the risk of introducing coupling and point-to-point integration
for each new service consumer you introduce.
Writing this code once and reusing it (such as with the Edge Component pattern
discussed in chapter 2) will only work if you or your team owns all the services. Also,
you still have a management and maintenance problem, because each running
instance has to be updated when a new service consumer is introduced.
Introducing an external party to handle the authorization and authentication is a
step in the right direction, as you can centrally manage who is authorized to do what.
But you still have to solve a few issues.
One is that most SOA implementations are sessionless, so you need to make sure
that this external party won’t become a performance bottleneck when each and every
request has to be authenticated and authorized with it.
The second is that you don’t want to couple your services to this external party, but
each service does need to know somehow that it’s talking to the right external party
and not to some malicious impersonator.
93. SOLUTION
We need to take the “external party in charge of authentication and authorization” to
the next level.
Implement the Identity Provider pattern to get single sign-on for the service
consumer’s authorization.
The Identity Provider pattern, illustrated in figure 4.11, is an evolution of the central
identity repository mentioned in the previous section. Before we look at how the pat-tern solves the problems left unanswered by the other options, let’s explore the com-ponents of the pattern and their roles.
The Identity Provider pattern is composed of two major components, provisioning
and the token server.
- Provisioning-This component is responsible for creating identities, privilege
levels, and the like, and for storing these identities and supplying them to ser-vices. It is also responsible for revoking credentials when needed. The provi-sioning component can also audit and save any “identity” created, updated, or
revoked.
- Token server-The token server is responsible for verifying claims for identities
or privileges and for providing the proof that these claims are correct. It’s also
responsible for converting the token format. Format conversion is necessary
because different services, especially if they belong to different organizations,
don’t necessarily understand the same tokens. Suppose the Customer service in
figure 4.10 can use X.509 certificates, and the Promotions service, which may
belong to an external PR agency, might use SAML assertions (more on that in
94. the technology mapping section). In these cases, the token server can convert
between the formats while maintaining the verified identity.
How does the identity provider work? The core concept is trust, and the mechanics
for using it build on previously successful infrastructures like PKI. A service consumer,
which has gone through provisioning with an identity provider at some time in the
past, tries to access a service. When sending a message, the service consumer makes
some assertions about its identity, its capabilities, or both. If the service trusts the iden-tity provider, it can ask the identity provider if the claims made by the service con-sumer are genuine, and if they are it can accept the service consumer’s request.
If this interaction seems confusing, just think about the lumberjack and the choir
in the “Lumberjack Song” by Monty Python. The lumberjack has two assertions: “I’m a
lumberjack and I’m OK,” and the choir, acting as an identity provider, confirms that,
“He’s a lumberjack and he’s OK.”
If we return to the journal subscription agency scenario presented in the problem
description, the authentication and authorization can follow the steps in figure 4.12.
The Proposals service gets ready to send a request to the Customer service to get a list
of discounts for a customer. It will then digitally sign this request as a proof that it has
credentials in the identity provider. The Customer service can then check this claim
with the identity provider, which will return a token or a certificate that verifies that
the Proposals service is entitled for this service. The identity provider signs this certif-cate with its private key. The Customer service can then verify that the identity pro-vider signed the certificate, and because it trusts the identity provider, it can honor
the certificate and return the list of discounts to the Proposals service.
The identity provider is an external party, so services, like the Customer service
and others, don’t have to figure out how to authenticate callers. This process also
solves the coupling problem by only requiring the Customer service to know the
4.4 Identity Provider pattern
When you move an enterprise to SOA, or even if you only build a single system based
on SOA concepts, you’re likely to end up with quite a few services—and quite a few
more service interactions. From the security perspective, you need to make sure each
of these interactions is both authenticated and authorized. This means that each of
your services has to take care of this authentication and authorization
Ay, there’s the rub. This proliferation of authentication and authorization raises
several challenges in regard to maintenance, management, performance, and secu-rity. Let’s look at a sample scenario.
PROBLEM
Let’s take another look at the journal sub-scription agency from chapter 2 (in our dis-cussion of the Active Service pattern). One of the more important services for a journal sub-scription agency is the one that deals with the customer. Almost any other service in the sys-tem needs information from that service.
Figure 4.10 shows four simple examples-the Promotions service needs addresses, the
Proposals service needs discount rates, and the Billing and Orders services both need addresses and discount rates.
So what’s the problem with that? As a matter of fact, there are plenty:
- The Customer service needs to authenticate each of the services that connects
to it to ensure that it’s talking to an internal friendly service. But you don’t want
it to know about each of these services. You don’t want to update the Customer
service every time you add a new service. Avoiding this point-to-point integra-tion was part of the reason of going down the SOA path.
- When you have a human in the loop, you need to make sure that person is authorized to get the customer’s data. When a user works with a UI that works
with the ordering service, the user might be authorized to get a customer’s
email address (to send an order confirmation) but not the customer’s home
phone number.
92. - You don’t want each service to “know” all the users as that would cause a main-tenance and management nightmare. Would you revoke the credential on all
the services each time an employee leaves the company?
- If the Customer service has to authorize and authenticate every call, it will
have to spend a lot of time doing so, which adds latency and increases tempo-ral coupling.
- Management of the whole authorizations and authentications across services.
For example, suppose you just added the Proposals service-how can you let
the Customer service and any other service know it’s OK to talk to it? How can
you do that for new users?
- All the preceding problems get even worse when the service is external because
the trust between organizations is naturally lower than the trust between inter-nal components. For instance, you may have a third party that handles the pro-motions for you. You’ll want to let them have as few details as possible about
your internal structure and users, but you’d want to allow them to talk with your
services and make sure that they’re authenticated.
What you need is an efficient and secure way to handle authentication and authoriza-tion within a federated and distributed system.
? How can you have an efficient authorization and authentication scheme in
an SOA?
The first question that comes to mind is, “Wouldn’t the Secured Infrastructure pat-tern (from section 4.2) solve this?” Well, no. The Secured Infrastructure pattern takes
care of the channel, but how do you know you can talk with someone on that chan-nel? You can communicate over a secured infrastructure to establish the identity, but
you need something more.
As I mentioned earlier, the naïve option of trying to manage the security for each
service on its own is a maintenance nightmare, as you’d need to do that work for each
service. You also run the risk of introducing coupling and point-to-point integration
for each new service consumer you introduce.
Writing this code once and reusing it (such as with the Edge Component pattern
discussed in chapter 2) will only work if you or your team owns all the services. Also,
you still have a management and maintenance problem, because each running
instance has to be updated when a new service consumer is introduced.
Introducing an external party to handle the authorization and authentication is a
step in the right direction, as you can centrally manage who is authorized to do what.
But you still have to solve a few issues.
One is that most SOA implementations are sessionless, so you need to make sure
that this external party won’t become a performance bottleneck when each and every
request has to be authenticated and authorized with it.
The second is that you don’t want to couple your services to this external party, but
each service does need to know somehow that it’s talking to the right external party
and not to some malicious impersonator.
93. SOLUTION
We need to take the “external party in charge of authentication and authorization” to
the next level.
Implement the Identity Provider pattern to get single sign-on for the service
consumer’s authorization.
The Identity Provider pattern, illustrated in figure 4.11, is an evolution of the central
identity repository mentioned in the previous section. Before we look at how the pat-tern solves the problems left unanswered by the other options, let’s explore the com-ponents of the pattern and their roles.
The Identity Provider pattern is composed of two major components, provisioning
and the token server.
- Provisioning-This component is responsible for creating identities, privilege
levels, and the like, and for storing these identities and supplying them to ser-vices. It is also responsible for revoking credentials when needed. The provi-sioning component can also audit and save any “identity” created, updated, or
revoked.
- Token server-The token server is responsible for verifying claims for identities
or privileges and for providing the proof that these claims are correct. It’s also
responsible for converting the token format. Format conversion is necessary
because different services, especially if they belong to different organizations,
don’t necessarily understand the same tokens. Suppose the Customer service in
figure 4.10 can use X.509 certificates, and the Promotions service, which may
belong to an external PR agency, might use SAML assertions (more on that in
94. the technology mapping section). In these cases, the token server can convert
between the formats while maintaining the verified identity.
How does the identity provider work? The core concept is trust, and the mechanics
for using it build on previously successful infrastructures like PKI. A service consumer,
which has gone through provisioning with an identity provider at some time in the
past, tries to access a service. When sending a message, the service consumer makes
some assertions about its identity, its capabilities, or both. If the service trusts the iden-tity provider, it can ask the identity provider if the claims made by the service con-sumer are genuine, and if they are it can accept the service consumer’s request.
If this interaction seems confusing, just think about the lumberjack and the choir
in the “Lumberjack Song” by Monty Python. The lumberjack has two assertions: “I’m a
lumberjack and I’m OK,” and the choir, acting as an identity provider, confirms that,
“He’s a lumberjack and he’s OK.”
If we return to the journal subscription agency scenario presented in the problem
description, the authentication and authorization can follow the steps in figure 4.12.
The Proposals service gets ready to send a request to the Customer service to get a list
of discounts for a customer. It will then digitally sign this request as a proof that it has
credentials in the identity provider. The Customer service can then check this claim
with the identity provider, which will return a token or a certificate that verifies that
the Proposals service is entitled for this service. The identity provider signs this certif-cate with its private key. The Customer service can then verify that the identity pro-vider signed the certificate, and because it trusts the identity provider, it can honor
the certificate and return the list of discounts to the Proposals service.
The identity provider is an external party, so services, like the Customer service
and others, don’t have to figure out how to authenticate callers. This process also
solves the coupling problem by only requiring the Customer service to know the
0/5000
91. đo tác động của nó trên hệ thống thực hiện-nó có thể thêm một chi phí liên quan đến con đường bảo trì và như thế. Trong chương này về an ninh và manageability, it's about time chúng tôi bắt đầu nói chuyện về manageability mô hình. Các mô hình tiếp theo, nhà cung cấp danh tính, giúp thực hiện chuyển đổi này, vì nó có cả an ninh và manageability khía cạnh.
4.4 nhà cung cấp nhận dạng mẫu
Khi bạn di chuyển một doanh nghiệp SOA, hoặc thậm chí nếu bạn chỉ xây dựng một hệ thống duy nhất dựa
trên khái niệm SOA, bạn đang có khả năng để kết thúc với khá một vài dịch vụ- và khá một vài
thêm dịch vụ tương tác. Từ quan điểm bảo mật, bạn cần phải đảm bảo rằng mỗi
của những tương tác được xác thực và ủy quyền. Điều này có nghĩa rằng mỗi
Dịch vụ của bạn có để chăm sóc của này xác thực và ủy quyền
Ay, có là chà. Này phổ biến vũ khí của xác thực và ủy quyền tăng
một số thách thức liên quan đến bảo trì, quản lý, hiệu suất, và secu rity. Hãy xem xét một kịch bản mẫu.
VẤN ĐỀ
Chúng ta hãy xem xét một cơ quan phụ scription tạp chí từ chương 2 (trong của chúng tôi cussion dis của mô hình hoạt động). Một trong các dịch vụ quan trọng cho một cơ quan phụ scription tạp chí là một trong đó đề với khách hàng. Hầu như bất kỳ dịch vụ nào khác trong sys-tem nhu cầu thông tin từ dịch vụ đó.
Hình 4,10 cho thấy bốn đơn giản ví dụ-các chương trình khuyến mãi dịch vụ nhu cầu địa chỉ, Các
đề xuất dịch vụ cần tỷ lệ giảm giá, và các thanh toán và đơn đặt hàng dịch vụ cả hai cần địa chỉ và tỷ giá giảm giá.
vì vậy, những gì là vấn đề với điều đó? Như một vấn đề của thực tế, có rất nhiều:
-Dịch vụ The khách hàng cần phải xác nhận mỗi của các dịch vụ kết nối
để nó để đảm bảo rằng nó nói chuyện với một dịch vụ thân thiện nội bộ. Nhưng bạn không muốn
nó biết về mỗi người trong số các dịch vụ này. Bạn không muốn để Cập Nhật khách hàng
vụ mỗi khi bạn thêm một dịch vụ mới. Tránh tion integra này điểm-điểm, là một phần của lý do đi xuống con đường SOA.
-Khi bạn có một con người trong vòng lặp, bạn cần phải đảm bảo rằng người đó được ủy quyền để có được dữ liệu của khách hàng. Khi người dùng làm việc với một giao diện người dùng mà hoạt động
với dịch vụ đặt hàng, người dùng có thể được cho phép để có được một khách hàng
gửi email địa chỉ (để gửi một xác nhận đơn đặt hàng) nhưng không phải của khách hàng nhà
số điện thoại.
92. -Anh không muốn mỗi dịch vụ để "biết" tất cả những người sử dụng như rằng sẽ gây ra một cơn ác mộng chính-tenance và quản lý. Bạn sẽ thu hồi khả năng trên tất cả
các dịch vụ mỗi khi một nhân viên rời khỏi công ty?
-Nếu khách hàng dịch vụ đã để cho phép và xác thực mỗi cuộc gọi, nó sẽ
phải tiêu tốn rất nhiều thời gian làm như vậy, mà thêm độ trễ và làm tăng nhịp độ-ral khớp nối.
-Quản lý toàn bộ ủy quyền và authentications trên dịch vụ.
Ví dụ, giả sử bạn chỉ cần thêm các đề xuất dịch vụ-làm thế nào bạn có thể cho
dịch vụ khách hàng và bất kỳ dịch vụ nào khác biết nó là OK để nói chuyện với nó? Làm thế nào có thể
bạn làm điều đó cho người dùng mới?
-Tất cả các vấn đề trước có được tồi tệ hơn khi dịch vụ được bên ngoài vì
sự tin tưởng giữa tổ chức là tự nhiên thấp hơn sự tin tưởng giữa các thành phần inter nal. Ví dụ, bạn có thể có một thứ ba bên xử lý chuyên nghiệp-chuyển động cho bạn. Bạn sẽ muốn để cho họ có thông tin chi tiết càng ít càng tốt về
cấu trúc bên trong của bạn và người sử dụng, nhưng bạn muốn cho phép họ để nói chuyện với bạn
dịch vụ và đảm bảo rằng họ đang xác thực.
Những gì bạn cần là một cách hiệu quả và an toàn để xử lý xác thực và authoriza-tion trong một hệ thống đã liên kết và phân phối.
? Làm thế nào bạn có thể có một hiệu quả chương trình ủy quyền và xác thực trong
SOA một?
Câu hỏi đầu tiên mà nói đến cái tâm là, "Sẽ không bảo vệ cơ sở hạ tầng pat-nhàn (từ phần 4.2) giải quyết điều này?" Vâng, không. Các mô hình cơ sở hạ tầng bảo đảm mất
chăm sóc của các kênh, nhưng làm thế nào bạn biết bạn có thể nói chuyện với ai đó trên đó chan-nel? Bạn có thể giao tiếp trên một cơ sở hạ tầng bảo đảm để thiết lập bản sắc, nhưng
bạn cần một cái gì đó thêm.
như tôi đã đề cập trước đó, tùy chọn ngây thơ của cố gắng để quản lý an ninh cho mỗi
dịch vụ ngày của riêng mình là một cơn ác mộng bảo trì, như bạn sẽ cần phải làm công việc đó cho mỗi
dịch vụ. Bạn cũng chạy nguy cơ giới thiệu tích hợp khớp nối và điểm
cho mỗi người tiêu dùng dịch vụ mới mà bạn giới thiệu.
viết mã này một lần và tái sử dụng nó (chẳng hạn như với các thành phần cạnh mô hình
thảo luận trong chương 2) sẽ chỉ làm việc nếu bạn hoặc nhóm của bạn sở hữu tất cả các dịch vụ. Ngoài ra,
bạn vẫn còn có một quản lý và các vấn đề bảo trì, bởi vì mỗi chạy
trường hợp đã được cập nhật khi một người tiêu dùng dịch vụ mới được giới thiệu.
giới thiệu một bên ngoài để xử lý ủy quyền và xác thực là một
bước đi đúng hướng, như bạn có thể trực thuộc Trung ương quản lý những người được ủy quyền để làm những gì.
Nhưng bạn vẫn phải giải quyết một vài vấn đề.
Một là hầu hết SOA thực thi được sessionless, vì vậy bạn cần phải chắc chắn
này bên ngoài sẽ không trở thành một hiệu suất bottleneck khi mỗi
yêu cầu đã được xác thực và thẩm quyền với nó.
Thứ hai là rằng bạn không muốn cặp vợ chồng dịch vụ của bạn để này bên ngoài, nhưng
mỗi dịch vụ cần phải biết bằng cách nào đó nó nói chuyện với bên ngay ngoài
và không để một số impersonator độc hại.
93. Giải pháp
chúng ta cần phải "bên ngoài chịu trách nhiệm xác thực và ủy quyền" để
cấp độ tiếp theo.
Thực hiện các mô hình nhà cung cấp danh tính để có được đăng nhập đơn cho các dịch vụ
của người tiêu dùng ủy quyền.
The nhận dạng nhà cung cấp mô hình, minh họa trong hình 4,11, là một sự phát triển của Trung
kho lưu trữ danh tính đã đề cập ở phần trước. Trước khi chúng tôi xem xét làm thế nào pat-nhàn giải quyết những vấn đề còn lại được trả lời bởi các tùy chọn khác, Hãy khám phá com-ponents của các mô hình và vai trò của họ.
Các nhà cung cấp nhận dạng mô hình bao gồm hai thành phần chính, cung cấp
và máy chủ token.
- cung cấp - thành phần này chịu trách nhiệm cho việc tạo ra bản sắc, đặc quyền
cấp, và như thế, và để lưu trữ các danh tính và cung cấp cho họ để phục vụ tệ nạn. Nó cũng là trách nhiệm thu hồi thông tin đăng nhập khi cần thiết. Các thành phần provi-sioning cũng có thể kiểm tra và tiết kiệm bất kỳ "danh tính" tạo, Cập Nhật, hoặc
thu hồi.
– mã thông báo máy chủ - máy chủ token chịu trách nhiệm xác minh yêu cầu bồi thường danh tính
hoặc đặc quyền và cung cấp bằng chứng rằng những tuyên bố này là chính xác. Nó cũng là
chịu trách nhiệm về chuyển đổi các định dạng mã thông báo. Chuyển đổi định dạng là cần thiết
vì dịch vụ khác nhau, đặc biệt là nếu họ thuộc về tổ chức khác nhau,
don't nhất thiết phải hiểu các thẻ cùng một. Giả sử các dịch vụ khách hàng tại
hình 4,10 có thể sử dụng giấy chứng nhận X.509, và các dịch vụ chương trình khuyến mãi, mà có thể
thuộc về một cơ quan PR bên ngoài, có thể sử dụng SAML khẳng định (thêm rằng trong
94. công nghệ lập bản đồ phần). Trong những trường hợp này, mã thông báo hệ phục vụ có thể chuyển đổi
giữa các định dạng trong khi duy trì xác minh danh tính.
Các nhà cung cấp nhận dạng như thế nào? Khái niệm cốt lõi là sự tin tưởng, và cơ học
để sử dụng nó xây dựng trên cơ sở hạ tầng thành công trước đây như PKI. Một người tiêu dùng dịch vụ,
mà đã đi qua cung cấp với một nhà cung cấp danh tính thời gian trong các
quá khứ, cố gắng truy cập một dịch vụ. Khi gửi một tin nhắn, làm cho người tiêu dùng dịch vụ
một số khẳng định về danh tính của nó, khả năng của mình, hoặc cả hai. Nếu các dịch vụ tín thác iden-tity nhà cung cấp, nó có thể yêu cầu các nhà cung cấp danh tính nếu yêu cầu thực hiện bởi dịch vụ con-sumer là chính hãng, và nếu họ là nó có thể chấp nhận của người tiêu dùng dịch vụ yêu cầu.
nếu điều này tương tác có vẻ khó hiểu, chỉ cần suy nghĩ về thợ rừng và các ca đoàn
trong "Lumberjack bài hát" bởi Monty Python. Lumberjack có hai khẳng định: "tôi là một
lumberjack và tôi đang OK," và các ca đoàn, hoạt động như một nhà cung cấp danh tính, xác nhận rằng,
"ông là một thợ rừng và ông là OK."
Nếu chúng tôi quay trở lại các tạp chí đăng ký cơ quan kịch bản trình bày trong vấn đề
mô tả, xác thực và ủy quyền có thể làm theo các bước trong hình 4.12.
Dịch vụ đề xuất được sẵn sàng để gửi một yêu cầu cho dịch vụ khách hàng để có được một danh sách
của giảm giá cho một khách hàng. Nó sẽ sau đó ký điện tử yêu cầu này như là một bằng chứng cho thấy nó có
credentials trong các nhà cung cấp nhận dạng. Dịch vụ khách hàng có thể sau đó kiểm tra tuyên bố này
với các nhà cung cấp nhận dạng, mà sẽ trở về một mã thông báo hoặc một giấy chứng nhận để kiểm chứng rằng
Dịch vụ đề xuất được quyền cho dịch vụ này. Các nhà cung cấp nhận dạng dấu hiệu này certif-cate với khóa riêng của nó. Dịch vụ khách hàng sau đó có thể xác minh nhận dạng pro-vider ký giấy chứng nhận, và bởi vì nó tin tưởng các nhà cung cấp danh tính, nó có thể tôn vinh
giấy chứng nhận và trở về danh sách giảm giá để dịch vụ đề xuất.
các nhà cung cấp nhận dạng là một bên ngoài, vì vậy dịch vụ, giống như các dịch vụ khách hàng
và những người khác, không cần phải tìm ra làm thế nào để xác nhận người gọi. Quá trình này cũng
giải quyết vấn đề khớp nối bằng cách chỉ yêu cầu dịch vụ khách hàng để biết các
4.4 nhà cung cấp nhận dạng mẫu
Khi bạn di chuyển một doanh nghiệp SOA, hoặc thậm chí nếu bạn chỉ xây dựng một hệ thống duy nhất dựa
trên khái niệm SOA, bạn đang có khả năng để kết thúc với khá một vài dịch vụ- và khá một vài
thêm dịch vụ tương tác. Từ quan điểm bảo mật, bạn cần phải đảm bảo rằng mỗi
của những tương tác được xác thực và ủy quyền. Điều này có nghĩa rằng mỗi
Dịch vụ của bạn có để chăm sóc của này xác thực và ủy quyền
Ay, có là chà. Này phổ biến vũ khí của xác thực và ủy quyền tăng
một số thách thức liên quan đến bảo trì, quản lý, hiệu suất, và secu rity. Hãy xem xét một kịch bản mẫu.
VẤN ĐỀ
Chúng ta hãy xem xét một cơ quan phụ scription tạp chí từ chương 2 (trong của chúng tôi cussion dis của mô hình hoạt động). Một trong các dịch vụ quan trọng cho một cơ quan phụ scription tạp chí là một trong đó đề với khách hàng. Hầu như bất kỳ dịch vụ nào khác trong sys-tem nhu cầu thông tin từ dịch vụ đó.
Hình 4,10 cho thấy bốn đơn giản ví dụ-các chương trình khuyến mãi dịch vụ nhu cầu địa chỉ, Các
đề xuất dịch vụ cần tỷ lệ giảm giá, và các thanh toán và đơn đặt hàng dịch vụ cả hai cần địa chỉ và tỷ giá giảm giá.
vì vậy, những gì là vấn đề với điều đó? Như một vấn đề của thực tế, có rất nhiều:
-Dịch vụ The khách hàng cần phải xác nhận mỗi của các dịch vụ kết nối
để nó để đảm bảo rằng nó nói chuyện với một dịch vụ thân thiện nội bộ. Nhưng bạn không muốn
nó biết về mỗi người trong số các dịch vụ này. Bạn không muốn để Cập Nhật khách hàng
vụ mỗi khi bạn thêm một dịch vụ mới. Tránh tion integra này điểm-điểm, là một phần của lý do đi xuống con đường SOA.
-Khi bạn có một con người trong vòng lặp, bạn cần phải đảm bảo rằng người đó được ủy quyền để có được dữ liệu của khách hàng. Khi người dùng làm việc với một giao diện người dùng mà hoạt động
với dịch vụ đặt hàng, người dùng có thể được cho phép để có được một khách hàng
gửi email địa chỉ (để gửi một xác nhận đơn đặt hàng) nhưng không phải của khách hàng nhà
số điện thoại.
92. -Anh không muốn mỗi dịch vụ để "biết" tất cả những người sử dụng như rằng sẽ gây ra một cơn ác mộng chính-tenance và quản lý. Bạn sẽ thu hồi khả năng trên tất cả
các dịch vụ mỗi khi một nhân viên rời khỏi công ty?
-Nếu khách hàng dịch vụ đã để cho phép và xác thực mỗi cuộc gọi, nó sẽ
phải tiêu tốn rất nhiều thời gian làm như vậy, mà thêm độ trễ và làm tăng nhịp độ-ral khớp nối.
-Quản lý toàn bộ ủy quyền và authentications trên dịch vụ.
Ví dụ, giả sử bạn chỉ cần thêm các đề xuất dịch vụ-làm thế nào bạn có thể cho
dịch vụ khách hàng và bất kỳ dịch vụ nào khác biết nó là OK để nói chuyện với nó? Làm thế nào có thể
bạn làm điều đó cho người dùng mới?
-Tất cả các vấn đề trước có được tồi tệ hơn khi dịch vụ được bên ngoài vì
sự tin tưởng giữa tổ chức là tự nhiên thấp hơn sự tin tưởng giữa các thành phần inter nal. Ví dụ, bạn có thể có một thứ ba bên xử lý chuyên nghiệp-chuyển động cho bạn. Bạn sẽ muốn để cho họ có thông tin chi tiết càng ít càng tốt về
cấu trúc bên trong của bạn và người sử dụng, nhưng bạn muốn cho phép họ để nói chuyện với bạn
dịch vụ và đảm bảo rằng họ đang xác thực.
Những gì bạn cần là một cách hiệu quả và an toàn để xử lý xác thực và authoriza-tion trong một hệ thống đã liên kết và phân phối.
? Làm thế nào bạn có thể có một hiệu quả chương trình ủy quyền và xác thực trong
SOA một?
Câu hỏi đầu tiên mà nói đến cái tâm là, "Sẽ không bảo vệ cơ sở hạ tầng pat-nhàn (từ phần 4.2) giải quyết điều này?" Vâng, không. Các mô hình cơ sở hạ tầng bảo đảm mất
chăm sóc của các kênh, nhưng làm thế nào bạn biết bạn có thể nói chuyện với ai đó trên đó chan-nel? Bạn có thể giao tiếp trên một cơ sở hạ tầng bảo đảm để thiết lập bản sắc, nhưng
bạn cần một cái gì đó thêm.
như tôi đã đề cập trước đó, tùy chọn ngây thơ của cố gắng để quản lý an ninh cho mỗi
dịch vụ ngày của riêng mình là một cơn ác mộng bảo trì, như bạn sẽ cần phải làm công việc đó cho mỗi
dịch vụ. Bạn cũng chạy nguy cơ giới thiệu tích hợp khớp nối và điểm
cho mỗi người tiêu dùng dịch vụ mới mà bạn giới thiệu.
viết mã này một lần và tái sử dụng nó (chẳng hạn như với các thành phần cạnh mô hình
thảo luận trong chương 2) sẽ chỉ làm việc nếu bạn hoặc nhóm của bạn sở hữu tất cả các dịch vụ. Ngoài ra,
bạn vẫn còn có một quản lý và các vấn đề bảo trì, bởi vì mỗi chạy
trường hợp đã được cập nhật khi một người tiêu dùng dịch vụ mới được giới thiệu.
giới thiệu một bên ngoài để xử lý ủy quyền và xác thực là một
bước đi đúng hướng, như bạn có thể trực thuộc Trung ương quản lý những người được ủy quyền để làm những gì.
Nhưng bạn vẫn phải giải quyết một vài vấn đề.
Một là hầu hết SOA thực thi được sessionless, vì vậy bạn cần phải chắc chắn
này bên ngoài sẽ không trở thành một hiệu suất bottleneck khi mỗi
yêu cầu đã được xác thực và thẩm quyền với nó.
Thứ hai là rằng bạn không muốn cặp vợ chồng dịch vụ của bạn để này bên ngoài, nhưng
mỗi dịch vụ cần phải biết bằng cách nào đó nó nói chuyện với bên ngay ngoài
và không để một số impersonator độc hại.
93. Giải pháp
chúng ta cần phải "bên ngoài chịu trách nhiệm xác thực và ủy quyền" để
cấp độ tiếp theo.
Thực hiện các mô hình nhà cung cấp danh tính để có được đăng nhập đơn cho các dịch vụ
của người tiêu dùng ủy quyền.
The nhận dạng nhà cung cấp mô hình, minh họa trong hình 4,11, là một sự phát triển của Trung
kho lưu trữ danh tính đã đề cập ở phần trước. Trước khi chúng tôi xem xét làm thế nào pat-nhàn giải quyết những vấn đề còn lại được trả lời bởi các tùy chọn khác, Hãy khám phá com-ponents của các mô hình và vai trò của họ.
Các nhà cung cấp nhận dạng mô hình bao gồm hai thành phần chính, cung cấp
và máy chủ token.
- cung cấp - thành phần này chịu trách nhiệm cho việc tạo ra bản sắc, đặc quyền
cấp, và như thế, và để lưu trữ các danh tính và cung cấp cho họ để phục vụ tệ nạn. Nó cũng là trách nhiệm thu hồi thông tin đăng nhập khi cần thiết. Các thành phần provi-sioning cũng có thể kiểm tra và tiết kiệm bất kỳ "danh tính" tạo, Cập Nhật, hoặc
thu hồi.
– mã thông báo máy chủ - máy chủ token chịu trách nhiệm xác minh yêu cầu bồi thường danh tính
hoặc đặc quyền và cung cấp bằng chứng rằng những tuyên bố này là chính xác. Nó cũng là
chịu trách nhiệm về chuyển đổi các định dạng mã thông báo. Chuyển đổi định dạng là cần thiết
vì dịch vụ khác nhau, đặc biệt là nếu họ thuộc về tổ chức khác nhau,
don't nhất thiết phải hiểu các thẻ cùng một. Giả sử các dịch vụ khách hàng tại
hình 4,10 có thể sử dụng giấy chứng nhận X.509, và các dịch vụ chương trình khuyến mãi, mà có thể
thuộc về một cơ quan PR bên ngoài, có thể sử dụng SAML khẳng định (thêm rằng trong
94. công nghệ lập bản đồ phần). Trong những trường hợp này, mã thông báo hệ phục vụ có thể chuyển đổi
giữa các định dạng trong khi duy trì xác minh danh tính.
Các nhà cung cấp nhận dạng như thế nào? Khái niệm cốt lõi là sự tin tưởng, và cơ học
để sử dụng nó xây dựng trên cơ sở hạ tầng thành công trước đây như PKI. Một người tiêu dùng dịch vụ,
mà đã đi qua cung cấp với một nhà cung cấp danh tính thời gian trong các
quá khứ, cố gắng truy cập một dịch vụ. Khi gửi một tin nhắn, làm cho người tiêu dùng dịch vụ
một số khẳng định về danh tính của nó, khả năng của mình, hoặc cả hai. Nếu các dịch vụ tín thác iden-tity nhà cung cấp, nó có thể yêu cầu các nhà cung cấp danh tính nếu yêu cầu thực hiện bởi dịch vụ con-sumer là chính hãng, và nếu họ là nó có thể chấp nhận của người tiêu dùng dịch vụ yêu cầu.
nếu điều này tương tác có vẻ khó hiểu, chỉ cần suy nghĩ về thợ rừng và các ca đoàn
trong "Lumberjack bài hát" bởi Monty Python. Lumberjack có hai khẳng định: "tôi là một
lumberjack và tôi đang OK," và các ca đoàn, hoạt động như một nhà cung cấp danh tính, xác nhận rằng,
"ông là một thợ rừng và ông là OK."
Nếu chúng tôi quay trở lại các tạp chí đăng ký cơ quan kịch bản trình bày trong vấn đề
mô tả, xác thực và ủy quyền có thể làm theo các bước trong hình 4.12.
Dịch vụ đề xuất được sẵn sàng để gửi một yêu cầu cho dịch vụ khách hàng để có được một danh sách
của giảm giá cho một khách hàng. Nó sẽ sau đó ký điện tử yêu cầu này như là một bằng chứng cho thấy nó có
credentials trong các nhà cung cấp nhận dạng. Dịch vụ khách hàng có thể sau đó kiểm tra tuyên bố này
với các nhà cung cấp nhận dạng, mà sẽ trở về một mã thông báo hoặc một giấy chứng nhận để kiểm chứng rằng
Dịch vụ đề xuất được quyền cho dịch vụ này. Các nhà cung cấp nhận dạng dấu hiệu này certif-cate với khóa riêng của nó. Dịch vụ khách hàng sau đó có thể xác minh nhận dạng pro-vider ký giấy chứng nhận, và bởi vì nó tin tưởng các nhà cung cấp danh tính, nó có thể tôn vinh
giấy chứng nhận và trở về danh sách giảm giá để dịch vụ đề xuất.
các nhà cung cấp nhận dạng là một bên ngoài, vì vậy dịch vụ, giống như các dịch vụ khách hàng
và những người khác, không cần phải tìm ra làm thế nào để xác nhận người gọi. Quá trình này cũng
giải quyết vấn đề khớp nối bằng cách chỉ yêu cầu dịch vụ khách hàng để biết các
đang được dịch, vui lòng đợi..
91. measure its impact on system performance-it can add an overhead in regards to con-tract maintenance and the like. In this chapter on security and manageability, it’s about time we started talking about manageability patterns. The next pattern, Identity Provider, helps make this transition, as it has both security and manageability aspects.
4.4 Identity Provider pattern
When you move an enterprise to SOA, or even if you only build a single system based
on SOA concepts, you’re likely to end up with quite a few services—and quite a few
more service interactions. From the security perspective, you need to make sure each
of these interactions is both authenticated and authorized. This means that each of
your services has to take care of this authentication and authorization
Ay, there’s the rub. This proliferation of authentication and authorization raises
several challenges in regard to maintenance, management, performance, and secu-rity. Let’s look at a sample scenario.
PROBLEM
Let’s take another look at the journal sub-scription agency from chapter 2 (in our dis-cussion of the Active Service pattern). One of the more important services for a journal sub-scription agency is the one that deals with the customer. Almost any other service in the sys-tem needs information from that service.
Figure 4.10 shows four simple examples-the Promotions service needs addresses, the
Proposals service needs discount rates, and the Billing and Orders services both need addresses and discount rates.
So what’s the problem with that? As a matter of fact, there are plenty:
- The Customer service needs to authenticate each of the services that connects
to it to ensure that it’s talking to an internal friendly service. But you don’t want
it to know about each of these services. You don’t want to update the Customer
service every time you add a new service. Avoiding this point-to-point integra-tion was part of the reason of going down the SOA path.
- When you have a human in the loop, you need to make sure that person is authorized to get the customer’s data. When a user works with a UI that works
with the ordering service, the user might be authorized to get a customer’s
email address (to send an order confirmation) but not the customer’s home
phone number.
92. - You don’t want each service to “know” all the users as that would cause a main-tenance and management nightmare. Would you revoke the credential on all
the services each time an employee leaves the company?
- If the Customer service has to authorize and authenticate every call, it will
have to spend a lot of time doing so, which adds latency and increases tempo-ral coupling.
- Management of the whole authorizations and authentications across services.
For example, suppose you just added the Proposals service-how can you let
the Customer service and any other service know it’s OK to talk to it? How can
you do that for new users?
- All the preceding problems get even worse when the service is external because
the trust between organizations is naturally lower than the trust between inter-nal components. For instance, you may have a third party that handles the pro-motions for you. You’ll want to let them have as few details as possible about
your internal structure and users, but you’d want to allow them to talk with your
services and make sure that they’re authenticated.
What you need is an efficient and secure way to handle authentication and authoriza-tion within a federated and distributed system.
? How can you have an efficient authorization and authentication scheme in
an SOA?
The first question that comes to mind is, “Wouldn’t the Secured Infrastructure pat-tern (from section 4.2) solve this?” Well, no. The Secured Infrastructure pattern takes
care of the channel, but how do you know you can talk with someone on that chan-nel? You can communicate over a secured infrastructure to establish the identity, but
you need something more.
As I mentioned earlier, the naïve option of trying to manage the security for each
service on its own is a maintenance nightmare, as you’d need to do that work for each
service. You also run the risk of introducing coupling and point-to-point integration
for each new service consumer you introduce.
Writing this code once and reusing it (such as with the Edge Component pattern
discussed in chapter 2) will only work if you or your team owns all the services. Also,
you still have a management and maintenance problem, because each running
instance has to be updated when a new service consumer is introduced.
Introducing an external party to handle the authorization and authentication is a
step in the right direction, as you can centrally manage who is authorized to do what.
But you still have to solve a few issues.
One is that most SOA implementations are sessionless, so you need to make sure
that this external party won’t become a performance bottleneck when each and every
request has to be authenticated and authorized with it.
The second is that you don’t want to couple your services to this external party, but
each service does need to know somehow that it’s talking to the right external party
and not to some malicious impersonator.
93. SOLUTION
We need to take the “external party in charge of authentication and authorization” to
the next level.
Implement the Identity Provider pattern to get single sign-on for the service
consumer’s authorization.
The Identity Provider pattern, illustrated in figure 4.11, is an evolution of the central
identity repository mentioned in the previous section. Before we look at how the pat-tern solves the problems left unanswered by the other options, let’s explore the com-ponents of the pattern and their roles.
The Identity Provider pattern is composed of two major components, provisioning
and the token server.
- Provisioning-This component is responsible for creating identities, privilege
levels, and the like, and for storing these identities and supplying them to ser-vices. It is also responsible for revoking credentials when needed. The provi-sioning component can also audit and save any “identity” created, updated, or
revoked.
- Token server-The token server is responsible for verifying claims for identities
or privileges and for providing the proof that these claims are correct. It’s also
responsible for converting the token format. Format conversion is necessary
because different services, especially if they belong to different organizations,
don’t necessarily understand the same tokens. Suppose the Customer service in
figure 4.10 can use X.509 certificates, and the Promotions service, which may
belong to an external PR agency, might use SAML assertions (more on that in
94. the technology mapping section). In these cases, the token server can convert
between the formats while maintaining the verified identity.
How does the identity provider work? The core concept is trust, and the mechanics
for using it build on previously successful infrastructures like PKI. A service consumer,
which has gone through provisioning with an identity provider at some time in the
past, tries to access a service. When sending a message, the service consumer makes
some assertions about its identity, its capabilities, or both. If the service trusts the iden-tity provider, it can ask the identity provider if the claims made by the service con-sumer are genuine, and if they are it can accept the service consumer’s request.
If this interaction seems confusing, just think about the lumberjack and the choir
in the “Lumberjack Song” by Monty Python. The lumberjack has two assertions: “I’m a
lumberjack and I’m OK,” and the choir, acting as an identity provider, confirms that,
“He’s a lumberjack and he’s OK.”
If we return to the journal subscription agency scenario presented in the problem
description, the authentication and authorization can follow the steps in figure 4.12.
The Proposals service gets ready to send a request to the Customer service to get a list
of discounts for a customer. It will then digitally sign this request as a proof that it has
credentials in the identity provider. The Customer service can then check this claim
with the identity provider, which will return a token or a certificate that verifies that
the Proposals service is entitled for this service. The identity provider signs this certif-cate with its private key. The Customer service can then verify that the identity pro-vider signed the certificate, and because it trusts the identity provider, it can honor
the certificate and return the list of discounts to the Proposals service.
The identity provider is an external party, so services, like the Customer service
and others, don’t have to figure out how to authenticate callers. This process also
solves the coupling problem by only requiring the Customer service to know the
4.4 Identity Provider pattern
When you move an enterprise to SOA, or even if you only build a single system based
on SOA concepts, you’re likely to end up with quite a few services—and quite a few
more service interactions. From the security perspective, you need to make sure each
of these interactions is both authenticated and authorized. This means that each of
your services has to take care of this authentication and authorization
Ay, there’s the rub. This proliferation of authentication and authorization raises
several challenges in regard to maintenance, management, performance, and secu-rity. Let’s look at a sample scenario.
PROBLEM
Let’s take another look at the journal sub-scription agency from chapter 2 (in our dis-cussion of the Active Service pattern). One of the more important services for a journal sub-scription agency is the one that deals with the customer. Almost any other service in the sys-tem needs information from that service.
Figure 4.10 shows four simple examples-the Promotions service needs addresses, the
Proposals service needs discount rates, and the Billing and Orders services both need addresses and discount rates.
So what’s the problem with that? As a matter of fact, there are plenty:
- The Customer service needs to authenticate each of the services that connects
to it to ensure that it’s talking to an internal friendly service. But you don’t want
it to know about each of these services. You don’t want to update the Customer
service every time you add a new service. Avoiding this point-to-point integra-tion was part of the reason of going down the SOA path.
- When you have a human in the loop, you need to make sure that person is authorized to get the customer’s data. When a user works with a UI that works
with the ordering service, the user might be authorized to get a customer’s
email address (to send an order confirmation) but not the customer’s home
phone number.
92. - You don’t want each service to “know” all the users as that would cause a main-tenance and management nightmare. Would you revoke the credential on all
the services each time an employee leaves the company?
- If the Customer service has to authorize and authenticate every call, it will
have to spend a lot of time doing so, which adds latency and increases tempo-ral coupling.
- Management of the whole authorizations and authentications across services.
For example, suppose you just added the Proposals service-how can you let
the Customer service and any other service know it’s OK to talk to it? How can
you do that for new users?
- All the preceding problems get even worse when the service is external because
the trust between organizations is naturally lower than the trust between inter-nal components. For instance, you may have a third party that handles the pro-motions for you. You’ll want to let them have as few details as possible about
your internal structure and users, but you’d want to allow them to talk with your
services and make sure that they’re authenticated.
What you need is an efficient and secure way to handle authentication and authoriza-tion within a federated and distributed system.
? How can you have an efficient authorization and authentication scheme in
an SOA?
The first question that comes to mind is, “Wouldn’t the Secured Infrastructure pat-tern (from section 4.2) solve this?” Well, no. The Secured Infrastructure pattern takes
care of the channel, but how do you know you can talk with someone on that chan-nel? You can communicate over a secured infrastructure to establish the identity, but
you need something more.
As I mentioned earlier, the naïve option of trying to manage the security for each
service on its own is a maintenance nightmare, as you’d need to do that work for each
service. You also run the risk of introducing coupling and point-to-point integration
for each new service consumer you introduce.
Writing this code once and reusing it (such as with the Edge Component pattern
discussed in chapter 2) will only work if you or your team owns all the services. Also,
you still have a management and maintenance problem, because each running
instance has to be updated when a new service consumer is introduced.
Introducing an external party to handle the authorization and authentication is a
step in the right direction, as you can centrally manage who is authorized to do what.
But you still have to solve a few issues.
One is that most SOA implementations are sessionless, so you need to make sure
that this external party won’t become a performance bottleneck when each and every
request has to be authenticated and authorized with it.
The second is that you don’t want to couple your services to this external party, but
each service does need to know somehow that it’s talking to the right external party
and not to some malicious impersonator.
93. SOLUTION
We need to take the “external party in charge of authentication and authorization” to
the next level.
Implement the Identity Provider pattern to get single sign-on for the service
consumer’s authorization.
The Identity Provider pattern, illustrated in figure 4.11, is an evolution of the central
identity repository mentioned in the previous section. Before we look at how the pat-tern solves the problems left unanswered by the other options, let’s explore the com-ponents of the pattern and their roles.
The Identity Provider pattern is composed of two major components, provisioning
and the token server.
- Provisioning-This component is responsible for creating identities, privilege
levels, and the like, and for storing these identities and supplying them to ser-vices. It is also responsible for revoking credentials when needed. The provi-sioning component can also audit and save any “identity” created, updated, or
revoked.
- Token server-The token server is responsible for verifying claims for identities
or privileges and for providing the proof that these claims are correct. It’s also
responsible for converting the token format. Format conversion is necessary
because different services, especially if they belong to different organizations,
don’t necessarily understand the same tokens. Suppose the Customer service in
figure 4.10 can use X.509 certificates, and the Promotions service, which may
belong to an external PR agency, might use SAML assertions (more on that in
94. the technology mapping section). In these cases, the token server can convert
between the formats while maintaining the verified identity.
How does the identity provider work? The core concept is trust, and the mechanics
for using it build on previously successful infrastructures like PKI. A service consumer,
which has gone through provisioning with an identity provider at some time in the
past, tries to access a service. When sending a message, the service consumer makes
some assertions about its identity, its capabilities, or both. If the service trusts the iden-tity provider, it can ask the identity provider if the claims made by the service con-sumer are genuine, and if they are it can accept the service consumer’s request.
If this interaction seems confusing, just think about the lumberjack and the choir
in the “Lumberjack Song” by Monty Python. The lumberjack has two assertions: “I’m a
lumberjack and I’m OK,” and the choir, acting as an identity provider, confirms that,
“He’s a lumberjack and he’s OK.”
If we return to the journal subscription agency scenario presented in the problem
description, the authentication and authorization can follow the steps in figure 4.12.
The Proposals service gets ready to send a request to the Customer service to get a list
of discounts for a customer. It will then digitally sign this request as a proof that it has
credentials in the identity provider. The Customer service can then check this claim
with the identity provider, which will return a token or a certificate that verifies that
the Proposals service is entitled for this service. The identity provider signs this certif-cate with its private key. The Customer service can then verify that the identity pro-vider signed the certificate, and because it trusts the identity provider, it can honor
the certificate and return the list of discounts to the Proposals service.
The identity provider is an external party, so services, like the Customer service
and others, don’t have to figure out how to authenticate callers. This process also
solves the coupling problem by only requiring the Customer service to know the
đang được dịch, vui lòng đợi..
Các ngôn ngữ khác
Hỗ trợ công cụ dịch thuật: Albania, Amharic, Anh, Armenia, Azerbaijan, Ba Lan, Ba Tư, Bantu, Basque, Belarus, Bengal, Bosnia, Bulgaria, Bồ Đào Nha, Catalan, Cebuano, Chichewa, Corsi, Creole (Haiti), Croatia, Do Thái, Estonia, Filipino, Frisia, Gael Scotland, Galicia, George, Gujarat, Hausa, Hawaii, Hindi, Hmong, Hungary, Hy Lạp, Hà Lan, Hà Lan (Nam Phi), Hàn, Iceland, Igbo, Ireland, Java, Kannada, Kazakh, Khmer, Kinyarwanda, Klingon, Kurd, Kyrgyz, Latinh, Latvia, Litva, Luxembourg, Lào, Macedonia, Malagasy, Malayalam, Malta, Maori, Marathi, Myanmar, Mã Lai, Mông Cổ, Na Uy, Nepal, Nga, Nhật, Odia (Oriya), Pashto, Pháp, Phát hiện ngôn ngữ, Phần Lan, Punjab, Quốc tế ngữ, Rumani, Samoa, Serbia, Sesotho, Shona, Sindhi, Sinhala, Slovak, Slovenia, Somali, Sunda, Swahili, Séc, Tajik, Tamil, Tatar, Telugu, Thái, Thổ Nhĩ Kỳ, Thụy Điển, Tiếng Indonesia, Tiếng Ý, Trung, Trung (Phồn thể), Turkmen, Tây Ban Nha, Ukraina, Urdu, Uyghur, Uzbek, Việt, Xứ Wales, Yiddish, Yoruba, Zulu, Đan Mạch, Đức, Ả Rập, dịch ngôn ngữ.
- i didn't think this problem
- ชม
- what's coming on? That is Diobolico back
- And drop by mart and bought yogurt and m
- i didn't think this problem yet
- In some ways, the future of journalism h
- If your room is free, I will be glad to
- Bạn là niềm vui của tôi
- bạn đang nơi nào
- wasingtin,d.cinvestigators have recently
- However, it says the cost can be limited
- wasingtin,d.cinvestigators have recently
- co gang nghi ngoi
- tôi phải đọc báo và nghe các bản tin tiế
- First of all
- Later
- ดูแล
- The organisation says the economic impac
- Ultra water full control emulsion
- You are my second family
- Indeed, massive changes in technology an
- Giáo dục mầm non là hệ thống giáo dục tr
- Bạn có ăn khuya không?
- Đừng để cuộc sống tự diễn theo cá
