在SOA治理的支撑下，策略驱动的服务安全解决方案，使业务需求产生出来的目标在操作层面上能够得到很好的贯彻和执行。总的说来，策略驱动的服务安全能够提供：

　　控制的可见性：策略是控制逻辑的具体表现，而不会像硬编码那样分散在系统的各个角落难以可视化；

　　高度的灵活性：能够快速响应市场竞争或者企业自身、行业内部规程和法规的变化；

　　能够做到一致性管理，利用策略配置的工具能够做到策略的一致性管理，并很少发生配置错误；

　　能够充分保证服务和应用都是满足控制要求的，特别是对于外部的访问者；

　　能够降低花销和节省时间，不需要设计、编写、测试、部署和维护硬编码。

　　策略驱动的服务安全解决方案是策略驱动的服务治理的一部分。用策略驱动的方式来进行服务安全管理时，应该参考策略管理生命周期（Policy Management Life Cycle），如下图所示。

图 1. 策略管理生命周期

    策略管理生命周期是一个闭环的四段方法论。

　　策略撰写（Author），依据业务和技术需求识别、设计、编写和巩固策略，并识别出有可能被策略影响到的利益相关者；
 
　　策略转换（Transform），把撰写的策略（有可能还是业务需求的形式）转化成可以执行的形式，并把它部署到策略实施点（Policy Enforcement Point, PEP）；

　　策略实施（Enforce），在运行的环境中实施已经部署的策略；

　　策略监控（Monitor），测量、分析和报告策略的运行数据，检查策略的满足性要求，并把监控的结果作为输入进入下一个回环的撰写阶段的输入，以便进一步完善策略满足新的业务需求。
 
　　在策略驱动的服务治理中，策略被分为三个层面：

　　业务层面，把策略描述为业务某种形式的说明；

　　架构层面，把策略明确为架构风格和开发模式；
 
　　实施层面，把策略细化为各种配置条目。

　　在实际应用中，策略应用有不同的方面。除了本系列文章要讨论的涉及服务安全方面的策略，实际的应用环境中往往还有服务质量、业务规程等方面的策略。无论对哪方面的策略，从业务、架构和实施三个层面看到的策略形式是一个逐步细化的过程，如下表所示。

表 1. 策略的层面

图 2. 多种不同策略示例

    消息安全策略（Message Security Policy），消息内容的加密和签名，使得消息内容不能被偷窥和篡改；

　　访问控制策略（Access Control Policy），细粒度的访问控制，使得能够灵活控制敏感信息不会泄露；

　　可靠消息递送策略（Reliable Messaging Policy），消息不会由于传递路径中某些节点的故障而丢失，能够保证消息传递到目的地；

　　服务生命周期策略（Service Lifecycle Policy），为服务在生命周期转换的时候指定一个或多个验证器，以保证服务满足某些规程；
 
　　WS-I符合策略（WS-I Compliance Policy），WSDL 都满足 WS-I 规范，使得 J2EE 平台的 WEB 服务能够和 .NET 平台的 WEB 服务互操作；

　　原创认证策略（Certificate of Originality Policy），应用的代码都要原创，不能抄袭任何拥有知识产权的系统的代码，以免带来法律上的风险。

　　在这6种策略格式里，应在构建时（Buildtime）实施的策略是服务生命周期策略、WS-I符合策略和原创认证策略，应在运行时（Runtime）实施的是消息安全策略、访问控制策略和可靠消息递送策略。在服务安全方面，主要是消息安全策略和访问控制策略，在本系列后续文章中我们将进行更详细的介绍。

　　表 2. 传统IT安全与策略驱动的服务安全的比较

　　这里需要指出的是，基于策略的服务安全方案的出现并不会取代以往的企业应用安全方案，而是随着企业SOA战略实施的不断改进和对旧有系统的改造与重用，在原有的安全方案上的补充和提高，借助于SOA的松散灵活的服务架构来实现更高级别的对于服务安全的需求。