第二十七章 添加数字签名 - 变体：使用签名的 SAML 断言

要添加在签名的 SAML 断言中使用证书的数字签名，请执行以下操作：

1. 可选择包含 %soap.inc 包含文件，它定义了可能需要使用的宏。
2. 如果要对任何安全标头元素进行签名，请创建这些安全标头元素。例如：

 set utoken=##class(%SOAP.Security.UsernameToken).Create("_SYSTEM","SYS")

3. 使用 Holder-of-key 方法的 元素创建签名的 SAML 断言。请参阅创建和添加 SAML 令牌。
4. 创建 元素。创建时，使用已签名的 SAML 断言作为 CreateX509() 类方法的第一个参数。例如：

 set signature=##class(%XML.Security.EncryptedKey).CreateX509(signedassertion)

5. 将数字签名添加到 WS-Security 标头元素。为此，请调用 Web 客户端或 Web 服务的 SecurityOut 属性的 AddSecurityElement() 方法。对于参数，请指定上一步中创建的签名对象。例如：

 do ..SecurityOut.AddSecurityElement(dsig)

6. 发送 SOAP 消息。

第二十六章 添加数字签名 - 示例

示例

此示例显示了对其响应消息进行签名的 Web 服务。

为了使此示例在自己的环境中运行，请首先执行以下操作：

• 为服务器创建证书。
• 将此证书加载到服务器端的 IRIS 中，创建名为 servercred 的凭证。执行此操作时，还要加载私钥文件并提供其密码（这样 Web 服务在签署其响应消息时就不必提供该密码。）

该 Web 服务指的是具有此确切名称的 IRIS 凭证集。

Class DSig.DivideWS Extends %SOAP.WebService
{

///  Name of the Web service.
Parameter SERVICENAME = "DigitalSignatureDemo";

///  SOAP namespace for the Web service
Parameter NAMESPACE = "http://www.myapp.org";

/// use in documentation
Method Divide(arg1 As %Numeric = 2, arg2 As %Numeric = 8) As %Numeric [ WebMethod ]
{
 Do .

第二十五章 添加数字签名

本主题介绍如何向 IRIS Web 服务和 Web 客户端发送的 SOAP 消息添加数字签名。

通常，会同时执行加密和签名。为简单起见，本主题仅介绍签名。有关结合加密和签名的信息，请参阅主题结合加密和签名。

主题使用派生密钥令牌进行加密和签名描述了向 SOAP 消息添加数字签名的另一种方法。

数字签名概述

可以使用数字签名来检测消息是否被篡改，或者简单地验证消息的某一部分是否确实由所列实体生成。与传统的手工签名一样，数字签名是对文档的附加，只有文档的创建者才能创建，并且不容易伪造。

IRIS 对 SOAP 消息的数字签名的支持基于 WS-Security 1.1。反过来，WS-Security 遵循 XML 签名规范。根据后者的规范，要对 XML 文档进行签名：

1. 使用摘要函数来计算文档一个或多个部分的哈希值。
2. 将摘要值连接起来。
3. 使用私钥加密串联摘要。（这是只有才能执行的计算。）
4. 创建 元素，其中包含以下信息：

• 对已签名部分的引用（以表明该签名适用于消息的哪些部分）。
• 加密的摘要值。
• 使接收者能够识别用于解密加密摘要值的公钥的信息。

此信息可以包含在元素中，或者 元素可以包含对包含 X.509 证书或签名的 SAML 断言的二进制安全令牌的直接引用。在后一种情况下，必须在添加 元素之前将安全令牌添加到消息中。

此信息还可以让收件人验证您是公钥/私钥对的所有者。

第二十四章 加密安全标头元素 - 基本示例

以下示例调用 Web 客户端并发送已加密的 。在此示例中，正文未加密。

  Set client=##class(XMLEncrSecHeader.Client.XMLEncrSecHeaderSoap).%New()

  // Create UsernameToken
  set user="_SYSTEM"
  set pwd="SYS"
  set userToken=##class(%SOAP.Security.UsernameToken).Create(user,pwd)
 
  //get credentials for encryption
  set cred = ##class(%SYS.X509Credentials).GetByAlias("servernopassword") 

  //get EncryptedKey element and add it
  set encropt=$$$SOAPWSEncryptNone   ; means do not encrypt body
  set enckey=##class(%XML.Security.EncryptedKey).

第二十三章 加密安全标头元素

本主题介绍如何加密 Web 服务和 Web 客户端发送的消息中的 WS-Security 标头内的元素。（此处描述的工具也可单独使用或与安全标头元素结合使用来加密 SOAP 主体。）

通常，会同时执行加密和签名。为简单起见，本主题仅介绍加密。有关结合加密和签名的信息，请参阅结合加密和签名。

使用派生密钥令牌进行加密和签名主题描述了加密 SOAP 消息部分内容的另一种方法。

加密安全标头元素

与上一主题中显示的加密技术不同，加密 WS-Security 标头元素的过程要求您指定 元素如何连接到相应的 元素。

要加密安全标头元素，请执行以下操作：

1. 可选择包含 %soap.inc 包含文件，它定义了可能需要使用的宏。
2. 创建要加密的标头元素。例如：

 set userToken=##class(%SOAP.Security.UsernameToken).Create("_SYSTEM","SYS")

3. 获取包含将接收 SOAP 消息的实体的公钥的凭证集。请参阅以编程方式检索凭证集。

 set credset=..SecurityIn.Signature.X509Credentials

请务必检查返回对象的类型，看它是否是 %SYS.X509Credential的实例，如以编程方式检索凭据集中所述。

4. 根据凭证集创建加密密钥。为此，调用 %XML.

第二十二章 加密 SOAP 主体 - 变体：使用签名的 SAML 断言

要使用签名的 SAML 断言中的证书中包含的公钥进行加密，请执行以下操作：

1. 跳过前面步骤中的步骤 1–4。
2. 使用 Holder-of-key 方法的 元素创建签名的 SAML 断言。请参阅创建和添加 SAML 令牌。
3. 创建 元素。执行此操作时，使用签名的 SAML 断言作为 CreateX509() 类方法的第一个参数。例如：

 set enckey=##class(%XML.Security.EncryptedKey).CreateX509(signedassertion)

4. 继续前面步骤中的步骤5。

消息加密示例

在此示例中，Web 客户端（未显示）发送签名的请求消息，而 Web 服务发送加密响应。

Web 服务从请求消息签名中的客户端证书中获取公钥，并使用该公钥在其响应中添加一个加密的 元素。 元素使用客户端的公钥加密，它包含用于加密响应消息正文的对称密钥。

Web服务如下：

Class XMLEncr.DivideWS Extends %SOAP.WebService
{

Parameter SECURITYIN = "REQUIRE";

Parameter SERVICENAME = "XMLEncryptionDemo";

Parameter NAMESPACE = "http://www.

第二十一章 加密 SOAP 主体 - 变体：使用可识别证书的信息

包含序列化、base-64 编码格式的证书。可以忽略此令牌，而改用标识证书的信息；接收方使用此信息从相应位置检索证书。为此，请使用上述步骤，并进行以下更改：

• 跳过步骤 3 和 4。也就是说，不要添加 。
• 在步骤 5（创建加密密钥）中，使用步骤 1 中设置的凭据（而不是二进制安全令牌）作为 CreateX509() 的第一个参数。例如：

 set enckey=##class(%XML.Security.EncryptedKey).CreateX509(credset,,referenceOption)

对于第三个参数（referenceOption），可以指定 元素如何使用证书。

如果指定一个凭据集作为第一个参数（正如我们在此变体中所做的那样），则referenceOption的默认值为$$$SOAPWSReferenceThumbprint。 可以选择指定一个值，如本节所述。 可以使用除$$$SOAPWSReferenceDirect之外的任何值。

X.509 证书的参考选项

WS-Security 标头简介部分介绍了在 SOAP 消息中使用证书的一种方法。在该示例中，数字签名由两个标头元素组成：

• 元素，以序列化的base-64 编码形式携带证书。
• 元素，带有签名并且包含对二进制安全令牌的直接引用。

第十七章 手动添加安全元素

本主题主要介绍如何手动向 IRIS Web 服务和 IRIS Web 客户端发送的消息中添加安全元素。

以下主题提供了有关特定安全任务的详细信息。

添加安全标头元素

要将安全元素添加到 WS-Security 标头元素，请在 Web 客户端或 Web 服务中使用以下常规过程：

1. 创建适用类的实例。为此，可以使用名为 Create() 或 CreateX509() 的方法（具体取决于类）。该实例表示 WS-Security 标头元素之一，例如 or 。
2. 通过更新 Web 客户端或 Web 服务的 SecurityOut 属性，将每个实例添加到 WS-Security 标头元素。为此，请调用 AddSecurityElement() 方法。
3. 发送 SOAP 消息。WS-Security 标头包含在消息中，并包含添加到其中的元素。
4. 对于后续传出消息：

• 对于 Web 客户端，SecurityOut 属性保持不变，以便此实例的后续出站消息包含添加的安全标头。如果不希望这样，请将 SecurityOut 属性设置为 null。
• 对于 Web 服务，在第一个出站 SOAP 消息之后，SecurityOut属性会自动设置为null`。

标题元素的顺序

当将多个安全元素添加到标头时，按适当的顺序添加安全标头元素非常重要。

第二十章 加密 SOAP 主体

本主题介绍如何加密 IRIS Web 服务和 Web 客户端发送的 SOAP 消息正文。

主题“加密安全标头元素”和“使用派生密钥令牌进行加密和签名”描述了如何加密安全标头元素以及加密 SOAP 主体的其他方法。

加密概述

IRIS 对 SOAP 消息加密的支持基于 WS-Security 1.1。反过来，WS-Security 遵循 XML 加密规范。根据后者规范，要加密 XML 文档：

1. 生成一个对称密钥以供临时使用。
2. 可以使用它来加密文档（或文档的选定部分）。

使用包含内容加密版本的 元素替换文档的这些部分。

3. 使用要向其发送文档的实体的公钥加密对称密钥。

可以从该实体的请求消息中包含的 X.509 证书中获取公钥。或者可以提前获取它。

4. 在同一文档中的 元素中包含加密的对称密钥。 元素直接或间接地提供信息，使接收者能够确定用于解密此元素的密钥。

此信息可以包含在 元素中，或者 元素可以包含对包含 X.509 证书或签名的 SAML 断言的二进制安全令牌的直接引用。在后一种情况下，必须在添加 元素之前将安全令牌添加到消息中。

文档可以包含多个 元素，适用于文档的不同加密部分。

其他主题介绍了加密 SOAP 消息部分内容的其他方法。

第十九章 添加时间戳和用户名令牌 - 时间戳和用户名令牌示例

时间戳和用户名令牌示例

此示例显示了一个需要密码验证的 Web 服务，以及一个在其请求消息中发送时间戳和用户名令牌的 Web 客户端。

注意：此示例以明文形式发送用户名和密码。

为了使此示例在自己的环境中运行，请首先执行以下操作：

• 对于 Web 服务所属的 Web 应用程序，将该应用程序配置为仅支持密码验证：

1. 从管理门户主页，选择系统管理 > 安全 > 应用程序 > Web 应用程序。
2. 选择 Web 应用程序。
3. 仅选择密码选项，然后选择保存。

• 如果不使用默认设置，请编辑客户端以使用适当的 IRIS 用户名和密码。

Web服务如下：

Class Tokens.DivideWS Extends %SOAP.WebService
{

Parameter SECURITYIN = "REQUIRE";

///  Name of the Web service.
Parameter SERVICENAME = "TokensDemo";

///  SOAP namespace for the Web service
Parameter NAMESPACE = "http://www.myapp.org";

///  Divide arg1 by arg2 and return the result.

第十八章 添加时间戳和用户名令牌

本主题讨论时间戳和用户令牌。

概述

时间戳是 WS-Security 标头中的 安全元素。严格来说，时间戳不是安全元素。但是，可以使用它来避免重放攻击。时间戳对于自定义日志记录也很有用。

用户名令牌是 WS-Security 标头中的 安全元素；它带有用户名。它还可以带有相应的密码（可选为摘要形式）。通常使用它进行身份验证，即允许 IRIS Web 客户端使用需要密码的 Web 服务。

注意：默认情况下，WS-Security 标头元素以明文形式发送。要保护 中的密码，应该使用 SSL/TLS、加密 （如其他地方所述），或者使用这些技术的某种组合。

添加时间戳

要将时间戳添加到 WS-Security 标头元素，请在 Web 客户端或 Web 服务中执行以下操作：

1. 调用 %SOAP.Security.Timestamp的 Create() 类方法。此方法需要一个可选参数（以秒为单位的过期间隔）。默认过期间隔为 300 秒。例如：

 set ts=##class(%SOAP.Security.Timestamp).Create()

此方法创建 %SOAP.Security.Timestamp 的实例，设置其 Created、Expires 和 TimestampAtEnd 属性的值，并返回该实例。此实例表示 标头元素。

第十六章 WS-Policy 配置类详细信息 - 自定义配置示例

自定义配置示例

本节提供了一些自定义配置类的示例。

策略备选配置

以下配置类包括两种策略选择：使用 WS-Addressing 标头或不使用。

/// PolicyAlternatives.DivideWSConfig
Class PolicyAlternatives.DivideWSConfig Extends %SOAP.Configuration
{

XData service
{

  
   
     
       
         
       
       
         
       
     
    
  

}

}

当与附加策略需要 WS-Addressing 的 Web 客户端一起使用时，此 Web 服务将使用包含 WS-Addressing 标头的消息进行响应。当与策略不使用 WS-Addressing 的客户端一起使用时，此 Web 服务将使用不包含 WS-Addressing 标头的消息进行响应。

另一种情况是，一项策略要求 SSL/TLS，而另一项策略使用消息加密。

带策略参考的配置

以下配置类包含两个 XData 块。一个包含 ID 属性为 mypolicy 的策略。

第十五章 WS-Policy 配置类详细信息 - 配置 XData 块的详细信息（二）

元素将策略与父 元素指定的 Web 服务或客户端内的特定 Web 方法相关联。 元素包括以下项目：

在 的 or 子元素中，可以指定 cfg:wsdlElement 属性，该属性指定要将此策略元素附加到 WSDL 的哪个部分。在此上下文中，此属性可以具有以下任意值：

• “binding”（默认）— 将此策略元素附加到 WSDL 元素。

第十四章 WS-Policy 配置类详细信息 - 配置 XData 块的详细信息（一）

配置 XData 块的详细信息

本节介绍 Web 服务或客户端配置类的 XData 块的内容。

, , , , and 元素都必须位于以下命名空间中：

"http://www.intersystems.com/configuration"

在本主题中，前缀 cfg 指的是该命名空间。

元素是 XData 块中的根元素。此元素包括以下项目：

元素将策略与 IRIS Web 服务或 Web 客户端关联。此元素包括以下项目：

第十三章 WS-Policy 配置类详细信息 - 添加扩展属性

添加扩展属性

除了 cfg:wsdlElement 属性（前面讨论过）之外，可能还需要在策略元素中的以下元素中添加扩展属性：

• （在 or 内）

  在此元素中，为 cfg:FindField 和 cfg:FindValue 属性指定一个值，这些值指定用于此令牌的 IRIS 凭证集。

  • cfg:FindField 属性指定要搜索的字段的名称。通常为 Alias。
  • cfg:FindValue 属性指定该字段的值。如果 cfg:FindField 是 Alias，则这是 IRIS 凭证集的名称。

例如：

在此元素中，为 cfg:SSLConfiguration 属性指定一个值。这应该等于 IRIS SSL/TLS 配置的名称。例如：

仅为 Web 客户端指定此属性。

在此元素中，可以指定 cfg:Lifetime 属性。这应该等于安全对话的生存期，以小时或小时的小数部分为单位。默认生存期为 5 分钟。假设我们想指定生存期为 15 分钟。为此，我们编辑 ，如下所示。

    
      
      
  ...
  

仅为 Web 客户端指定此属性。

如果在生成 Web 客户端或服务时生成配置类，则可能需要编辑这些属性。

第十二章 WS-Policy 配置类详细信息 - 配置类基础知识

作为参考，本主题包含有关 IRIS 用于存储 WS-Policy 信息的配置类的详细信息。

配置类基础知识

要手动创建 WS-Policy 配置类，请创建 %SOAP.Configuration 的子类。在此类中，添加 XData 块，如下所示：

XData service
{

...

XData 块具有以下一般结构：

XData service
{

   
      
         
         
...

, , , and 元素均可包含适用于该级别的策略信息。 元素是必需的，但其他元素是可选的。

如果包含策略信息，则该信息要么是策略表达式（即 元素），要么是策略引用（即指向同一配置类中另一个 XData 块中包含的策略的 元素）。以下部分提供了更多详细信息。

请注意， 仅在两个位置受支持：代替配置元素内的 元素或作为 元素的唯一子元素。

第十一章 创建和使用策略 - 在运行时指定策略

在运行时指定策略

对于 IRIS Web 客户端，可以指定运行时要使用的策略；这将覆盖任何策略配置类。要在运行时指定策略，请设置 Web 客户端实例的 PolicyConfiguration 属性。该值必须具有以下形式：

Configuration class name:Configuration name

其中，配置类名称是策略配置类的完整包和类名，如本主题前面所述，配置名称是该类中策略的 元素的 name 属性的值

抑制不支持的策略的编译错误

默认情况下，当编译配置类时，如果配置包含 IRIS 不支持的任何策略表达式， IRIS 会发出错误。要避免此类错误，请在配置类中包含以下内容：

Parameter REPORTANYERROR=0;

当从 WSDL 生成 Web 客户端或 Web 服务时，如果 IRIS 还生成配置类，则会将此参数设置包含在该类中。

只要有一个受支持的策略替代方案，就可以忽略不受支持的替代方案。

编辑生成的策略

如果从 WSDL 生成配置类，并且 WSDL 位于 IRIS 此实例的外部，则必须编辑配置类以包含有关要使用的证书和 SSL/TLS 配置的信息。或者可以在运行时指定此信息。

下表给出了详细信息：

第十章 创建和使用策略 - 在运行时添加证书

在运行时添加证书

如果 Web 服务或客户端必须以编程方式选择并包含证书，请使用以下过程：

1. 检索 %SYS.X509Credentials 的实例，如以编程方式检索凭据集中所述。

例如：

 set credset=##class(%SYS.X509Credentials).GetByAlias(alias,password)

或

 set credset=..SecurityIn.Signature.X509Credentials 

2. 创建 %SOAP.Security.BinarySecurityToken 实例，其中包含来自该凭证集的证书。例如：

 set bst=##class(%SOAP.Security.BinarySecurityToken).CreateX509Token(credset)

其中 credentials 是在上一步中检索到的凭证集。

这将返回一个代表 元素的对象，该元素以序列化的 base-64 编码形式携带证书。

3. 调用Web 客户端或 Web 服务的 SecurityOut 属性的 AddSecurityElement() 方法。对于方法参数，请使用之前创建的二进制安全令牌。例如：

 do .

第九章 创建和使用策略 - 创建并附加策略

创建并附加策略

要创建策略并将其附加到Web 服务或客户端，请创建并编译配置类。有多种方法可以创建此类：

• 使用 GeneratePolicyFromWSDL() 方法从 WSDL 生成配置类。如果 Web 服务或客户端类已存在，并且您不想重新生成，则适用此选项。
• 为现有的 Web 服务或客户端手动创建配置类。

如果从 WSDL 生成策略类，则可能需要按下一节所述对其进行编辑。

从 WSDL 生成策略

在某些情况下，可能已经有客户端类，但没有相应的配置类。例如，如果从 WSDL 生成客户端类，而 WSDL 后来被修改为包含 WS-Policy 信息，则可能会发生这种情况。在这种情况下，可以使用 %SOAP.WSDL.Reader中的实用程序方法单独生成配置类，如下所示：

1. 创建 %SOAP.WSDL.Reader 的实例。
2. 根据需要设置该实例的属性。请参阅 %SOAP.WSDL.Reader 类文档。

不要使用 Process() 方法。

3. 调用实例的 GeneratePolicyFromWSDL() 方法。

出于实际原因，可能需要在 Linux 服务器重启后自动启动 IRIS 实例。

下面是在 Linux 服务器重启时通过 systemd 自动启动 IRIS 的步骤：

1. 在 /etc/systemd/system/iris.service 中创建一个 iris.service 文件，其中包含以下信息

[Unit]
Description=InterSystems IRIS Data Platform
After=network.target

[Service]
Type=forking
User=irisusr
ExecStart=/usr/bin/iris start iris
ExecStop=/usr/bin/iris stop iris quietly
Restart=on-failure
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target

注意：User应该填入IRIS实例的所有者。

2. 重新加载 systemd 配置管理器

sudo systemctl daemon-reload

3. 启用IRIS服务，使其自动启动

sudo systemctl enable iris

激活后将创建软链接，自动启动 IRIS：

Synchronizing state of iris.

第八章 创建和使用策略

本主题介绍如何在 IRIS 中使用 WS-Policy 支持。WS-Policy 使您能够指定要使用或预期的 WS-Security 标头。它还使能够指定 WS-Addressing 标头和 MTOM 的使用（在创建 Web 服务和 Web 客户端中描述）。可以在单独的类中创建策略，而不是直接编辑 Web 服务或 Web 客户端。在大多数情况下，不需要进行低级编程。

概述

在 IRIS 中，Web 服务或客户端的策略（或策略集合）包含在单独的配置类中，即 %SOAP.Configuration的子类。编译该类时，策略生效。

通常不需要编码。但是，在某些情况下，可以通过编程指定详细信息，而不是将该元素硬编码到策略中。

配置类的作用

当编译配置类时，Web 服务或客户端的未来操作将受到如下影响：

• Web 服务或客户端根据策略的详细信息在出站消息中包含额外的标头元素。
• Web 服务或客户端根据策略验证传入的 SOAP 消息。这包括在适当的情况下解密传入的消息。
• 如果合适，Web 服务或客户端可以选择加密传出消息。
• 对于 Web 服务，WSDL 会自动受到影响。具体来说，会添加 元素，并且命名空间声明包括以下内容：

xmlns:wsp="http://www.w3.

第七章 设置和其他常见活动 - 从入站消息中检索证书

从入站消息中检索证书

如果收到已进行数字签名的 SOAP 消息，则相关证书可在 %SYS.X509Credentials 的实例中找到。可以检索该证书。操作方法如下：

1. 首先通过 Web 服务或 Web 客户端的 SecurityIn 属性访问 WS-Security 标头元素。这将返回 %SOAP.Security.Header 的实例。
2. 然后执行以下操作之一：

• 在实例中访问 %SOAP.Security.Header 的 Signature 属性，该属性引用安全标头元素中的第一个 元素。
• 在实例中使用 %SOAP.Security.Header 的 FindElement() 方法访问实例中 %SOAP.Security.Header的第一个 元素。

无论哪种情况，结果都是在包含数字签名的 %XML.Security.Signature 实例。

3. 访问签名对象的 X509Credentials 属性。
4. 检查返回对象的类型，看它是否是 %SYS.X509Credentials 的实例。

 if $CLASSNAME(credset)'="%SYS.

第六章 设置和其他常见活动 - 编辑 IRIS 凭证集

编辑 IRIS 凭证集

创建 IRIS 凭证集后，可以按如下方式编辑它：

1. 在管理门户中，选择系统管理 > 安全 > X.509 凭证。
2. 在凭证集表中，别名列的值用作标识符。对于要编辑的凭证集，请单击编辑。
3. 根据需要进行编辑。有关这些字段的信息，请参阅上一节。
4. 单击“保存”以保存更改。

无法更改凭证集的别名或证书；也无法添加、更改或删除关联的私钥。要进行此类更改，请创建新的凭证集。

通过编程方式检索凭证集

执行加密或签名时，必须指定要使用的证书。为此，可以选择 IRIS 凭证集。

当手动创建 WS-Security 标头时，必须以编程方式检索凭据集并使用它。

作为参考，本节讨论以下常见活动：

• 如何检索存储的凭证集
• 如何从入站消息中检索凭证集

检索存储的凭证集

要检索 %SYS.X509Credentials的实例，请调用 GetByAlias() 类方法。此方法返回包含证书和其他信息的 IRIS 凭证集。例如：

 set credset=##class(%SYS.X509Credentials).GetByAlias(alias,password)

• alias 是证书的别名。
• pwd 是私钥密码；这仅适用于拥有证书的情况。仅当关联的私钥已加密且您在加载私钥文件时未加载密码时，才需要此密码。

如果不拥有该证书，则无法以任何形式访问私钥。

第十三章 配置Production - 添加HL7业务操作

添加HL7业务操作

要从production中发送HL7消息，必须添加HL7业务操作。要将HL7业务操作添加到production品中，必须创建它，将其集成到production中，并根据需要对其进行配置。以下小节提供详细信息。

创建HL7业务操作

将HL7业务操作添加到production中:

1. 在Management Portal的“production Configuration”页面(在“Home”页面选择“Interoperability > Configure > production”)中显示production结果。
2. 在Operations列中，单击Add按钮(加号)。
3. 单击“HL7 Output”。
4. 从输出类型列表中单击以下其中一个:

• TCP
• File
• FTP
• HTTP
• SOAP

此选择确定此业务操作的主机类。

5. 对于“操作名称”，键入此业务操作的名称。名称在业务操作中应该是唯一的。不要使用句号或空格。

默认值是此操作所基于的类的名称。 6. 单击OK。

除了此处使用的 HL7 业务操作之外， 还提供两个简单的业务操作：EnsLib.File.PassthroughOperation 和 EnsLib.FTP.PassthroughOperation。

第五章 设置和其他常见活动 - 创建 IRIS 凭证集

创建 IRIS 凭证集

要创建 IRIS 凭证集：

1. 获取以下文件：

• 个人 X.509 证书，采用 PEM 编码的 X.509 格式。

这可以是自己的证书，也可以是从希望与之交换 SOAP 消息的实体获取的证书。

• （可选）关联的私钥，采用 PEM 编码的 PKCS#1 格式。

这仅适用于拥有证书的情况。如果不想签署出站消息，则无需加载私钥文件。

• （可选）包含根证书的文件，即 PEM 编码格式的受信任的 CA X.509 证书，可与此凭证集一起使用。

有关创建这些文件的信息超出了本文档的范围。

2. 在管理门户中，选择系统管理 > 安全 > X.509 凭证。
3. 单击“创建新凭证”。
4. 指定以下值：

• Alias — 指定一个唯一的、区分大小写的字符串来标识此凭证集。此属性是必需的。
• 包含 X.509 证书的文件 — 单击浏览...并导航到证书文件。此属性是必需的。
• 包含相关私钥的文件 — 单击浏览...并导航到该文件。
• 私钥密码和私钥密码（确认）— 指定私钥的密码。如果不指定密码，则在检索凭证集时必须提供密码。

仅当为包含关联私钥的文件指定值时才会显示这些字段。

• 包含受信任的证书颁发机构 X.509 证书的文件 — 此凭证集信任的任何 CA 的 X.509 证书的路径和文件名。证书必须采用 PEM

第四章 设置和其他常见活动

作为参考，本主题介绍了用于保护 Web 服务的常见活动。

执行设置任务

对于大多数与 SOAP 安全相关的任务，必须首先执行以下任务：

• 提供可信证书供 IRIS 使用
• 创建 IRIS 凭证集

这些任务也是使用 XML 工具中描述的某些任务的先决条件。

可能还需要创建 SSL/TLS 配置。有关信息，请参阅 TLS 指南。

为 IRIS 提供可信证书

IRIS 使用其自己的可信证书集合来验证入站 SOAP 消息（或 XML 文档）中的用户证书和签名。在加密出站 SOAP 消息中的内容或加密 XML 文档时，它也会使用这些证书和签名。此集合可供此 IRIS 安装的所有命名空间使用。要创建此集合，请创建以下两个文件并将它们放在系统管理器的目录中：

• iris.cer — 包含根证书，即 PEM 编码格式的受信任 CA X.509 证书。如果想在 IRIS 中使用任何 WS-Policy 或 WS-Security 功能，则需要此文件。
• iris.crl — 包含 PEM 编码格式的 X.509 证书撤销列表。此文件是可选的。

请注意，可以使用特定的 IRIS 凭证集作为备用根证书；请参阅下一节。

有关创建这些文件的信息超出了本文档的范围。有关 X.509（指定证书和证书撤销列表的内容）的信息，请参阅 RFC5280 (https://www.ietf.

第三章 使用 SOAP 保护 Web 服务 - IRIS 中的 WS-Policy 支持

IRIS 中的 WS-Policy 支持

支持 WS-Policy 1.2 (https://www.w3.org/Submission/WS-Policy/) 和 WS-Policy 1.5 (https://www.w3.org/TR/ws-policy) 框架以及相关的特定策略类型：

• WS-SecurityPolicy 1.1 (http://www.oasis-open.org/committees/download.php/16569/)

• WS-SecurityPolicy 1.2 (http://docs.oasis-open.org/ws-sx/ws-securitypolicy/v1.2/ws-securitypolicy.html)

• Web Services Addressing 1.0 - Metadata (https://www.w3.org/TR/ws-addr-metadata)

• Web Services Addressing 1.0 - WSDL Binding (https://www.w3.org/TR/ws-addr-wsdl)

• WS-MTOMPolicy (https://www.w3.

各位社区成员，大家好，

利用面向您的组织中的各个角色提供的全套 InterSystems 学习资源（在线或面授形式），您可以全面挖掘 InterSystems IRIS 的潜力，并帮助您的团队完成入门流程。 开发者、系统管理员、数据分析师和集成商可以快速上手。

学习服务提供的资源

在深入学习角色特定的资源之前，我们先来总体了解一下现有的学习资源：

• 💻 在线学习：在 learning.intersystems.com 上免费注册，以访问自定进度的课程、视频和练习。 您还可以完成基于任务的学习路径或基于角色的计划，以促进您的职业发展。
• 👩‍🏫 课堂培训：查看直播、面授或虚拟课堂培训的时间安排，或为您的团队申请不公开课程。 访问 classroom.intersystems.com 了解详细信息。
• 📘 InterSystems IRIS 文档：全面的参考资料、指南和操作说明文章。 探索文档。
• 💬 开发者社区：与其他开发者互动、发布问题、阅读文章并及时了解最新公告。 请先阅读本帖，其中介绍了在开发者社区中学习的技巧。
• 📧 支持：如需获取技术支持，请发送电子邮件至 support@intersystems.com。

可定制以收集全方位的身心健康数据。

Caren从可穿戴设备和护理设备点（如iHealth®、Fitbit®、Omron®、Tenovi®和Withings®）收集数据。数据显示在网络仪表板上，可以在电子病历系统内也可以独立查看。Caren可以定制，使用API从专门的医疗设备收集健康数据。

语音交互式移动应用程序提高了患者的参与度。

用户友好的语音交互式移动应用程序提供了简单、直观的设计，用户只需轻点一下即可进入或查看测量和观察结果。

公司介绍：https://www.carenmhealth.com

软件试用

目标使用者--临床医生和患者

类别--临床研究、疾病管理、远程医疗

应用程序类型--SMART ON FHIR应用程序

FHIR 版本--R4

支持的电子病历系统--Cerner、Epic等支持FHIR API的软件系统

第二章 使用 SOAP 保护 Web 服务 - WS-Security 标头简介

WS-Security 标头简介

SOAP 消息在 WS-Security 标头元素（SOAP

这些元素如下：

• 时间戳标记 () 包含 和 元素，它们指定此消息有效的时间范围。严格来说，时间戳不是安全元素。但是，如果时间戳已签名，则可以使用它来避免重放攻击。
• 二进制安全令牌 () 是二进制编码的令牌，其中包含使接收者能够验证签名或解密加密元素的信息。您可以将其与签名元素、加密元素和断言元素一起使用。
• 用户名令牌 () 使 Web 客户端能够登录 Web 服务。它包含 Web 服务所需的用户名和密码；默认情况下，这些内容以`文形式包含。有多种保护密码的选项。
• 断言元素 () 包含创建的 SAML 断言。断言可以是签名的，也可以是未签名的。

断言元素可以包含主题确认元素 ()。此元素可以使用 Holder-of-key 方法或 Sender-vouches 方法。在前一种情况下，断言携带可用于其他目的的密钥材料。

• 加密密钥元素 () 包含密钥、指定加密方法，并包含其他此类信息。此元素描述消息的加密方式。请参阅加密概述。
• 签名元素 () 对消息的各个部分进行签名。