ADFSのないActive Directoryを使用したクレームベースの認証

Question

カスタムロール/メンバーシップスキーマを利用した統合認証ベースのソリューションを求めるクライアントがあります。私の元の計画は、認証を統合したクレームベースの認証メカニズムを使用することでした。しかし、私の初期の研究は、有用な情報を大量に上げているわけではありません。

私はASP.NET（コアでもowinでもない）WebAPIアプリケーションを持っています。このアプリケーションには、角度SPAベースの（asp.net）Webアプリケーションで使用されるAPIアクションがあります。私は、統合認証を使用してAPI呼び出しを許可しようとしています。私の最初の努力は、カスタムのAuthorizationAttributeとClaimsAuthenticationManagerの実装を中心にしていました。しかし、私が深く知る限り、カスタムClaimsAuthenticationManagerを使用して問題に取り掛かり始めましたが、この時点では適切なルートであるかどうかはわかりません。

あなたのために私の質問はすべてです、少なくとも、これを実現するために必要なことを私にいくつか考えてもらえますか？私は、コードの秘密ビットの助けを必要としません、ちょうど適切な "スタック"を話すように理解する必要があります。

唯一の実際の要件は、WebAPI呼び出しを許可することができます。カスタム属性を使用して承認するクレームの名前を渡しますが、Windows認証を使用していてもクレームはADにはなく、クレーム自体はデータベース。

ありがとうございました！

Answer 1

はhttps://www.asp.net/web-api/overview/security/authentication-and-authorization-in-aspnet-web-apiを見てください。あなたは承認のためのあなたのDBを使用している認証

のためのADを使用している

は、単にこれは設定することによって対処することができ入れる：

あなたのシナリオはあまり違いはありませんWindows認証を使用するweb-apiクレームを取得し、カスタムでそれを上書き - （設定する必要があります）現在のプリンシパルを確認し、あなた自身の（すなわち、クエリデシベルで、このプリンシパルを上書きします

<system.web> 
    <authentication mode="Windows" /> 
</system.web> 

とWeb APIのパイプラインに独自のIAuthorizationFilterを追加し、プリンシパルクレームはHttpContext.Current.UserとThread.CurrentPrincipalと設定してください）。その誰もが理解し、あなたのコードをより読みやすく - 使用のデフォルト1 - How to add global ASP.Net Web Api Filters?

public class CustomAuthenticationFilter : IAuthenticationFilter { 
    public bool AllowMultiple { get { return true; } } 
    public Task AuthenticateAsync(HttpAuthenticationContext context, CancellationToken cancellationToken) { 
    var windowsPrincipal = context.Principal as WindowsPrincipal; 
    if (windowsPrincipal != null) { 
     var name = windowsPrincipal.Identity.Name; 
     // TODO: fetch claims from db (i guess based on name) 
     var identity = new ClaimsIdentity(windowsPrincipal.Identity); 
     identity.AddClaim(new Claim("db-crazy-claim", "db-value")); 
     var claimsPrincipal = new ClaimsPrincipal(identity); 
     // here is the punchline - we're replacing original windows principal 
     // with our own claims principal 
     context.Principal = claimsPrincipal; 
    } 

    return Task.FromResult(0); 
    } 

    public Task ChallengeAsync(HttpAuthenticationChallengeContext context, CancellationToken cancellationToken) { 
    return Task.FromResult(0); 
    } 
} 

public static class WebApiConfig { 
    public static void Register(HttpConfiguration config) { 
    config.Filters.Add(new CustomAuthenticationFilter()); 

    // Web API routes 
    config.MapHttpAttributeRoutes(); 
    config.Routes.MapHttpRoute(...); 
    } 
} 

をチェックアウトするWebAPIのパイプラインにフィルタを追加する方法については もあり、カスタム認可属性は必要ありません。

Answer 2

この記事をご覧ください。私があなたが描いている問題に苦労していたとき、それはとても役に立ちました。

https://leastprivilege.com/2015/07/24/simplified-asp-net-and-mvc-6-security-templates/