没有登录凭据的Web Service中的安全性

Question

我正在开发Java中的SOAP Web服务1.1版。

我有以下情况：

1. 有ssh的安全通道;
2. 客户没有登录凭据（他们没有用户名和密码）;
3. 当客户打开帐户时会生成会话令牌;
4. 当客户发出请求时，会话令牌验证;
5. 当客户帐户开启时，只允许他或员工关闭帐户（会话超时不存在）;

在这种情况下实施安全性的最佳方法是什么？我应该生成会话令牌还是已经有apis / frameworks来完成这项工作？ STS（安全令牌服务）是否能够在没有登录凭据要求的情况下执行此操作？

这样做的目的是在android应用程序中调用Web服务。