1

現在、SharePoint アプリケーションのみに使用されている WIF (.NET 4.0) に基づくカスタム STS を使用しています。セキュリティ トークンの有効期間が 10 時間 (既定の有効期間) であることを除いて、期待どおりに動作する HTTP モジュールに設定されたスライド有効期限コードがあります。

/// <summary>
/// Handles the SessionSecurityTokenReceived event of the SingleSignOnModule control.
/// </summary>
/// <param name="sender">The source of the event.</param>
/// <param name="e">The <see cref="Microsoft.IdentityModel.Web.SessionSecurityTokenReceivedEventArgs"/> instance containing the event data.</param>
private void SingleSignOnModule_SessionSecurityTokenReceived(Object sender, SessionSecurityTokenReceivedEventArgs e)
{
    using (new SPMonitoredScope("SingleSignOnModule-SessionSecurityTokenReceived"))
    {
        if ((HttpContext.Current != null) && (FederatedAuthentication.SessionAuthenticationModule != null) && (e != null))
        {
            TimeSpan logonTokenCacheExpirationWindow = TimeSpan.FromSeconds(1);
            SPSecurity.RunWithElevatedPrivileges(delegate()
            {
                logonTokenCacheExpirationWindow = SPSecurityTokenServiceManager.Local.LogonTokenCacheExpirationWindow;
            });

            DateTime currentDateTime = DateTime.UtcNow;
            TimeSpan sessionLifetime = (e.SessionToken.ValidTo - e.SessionToken.ValidFrom);
            DateTime sessionValidFrom = e.SessionToken.ValidFrom;
            DateTime sessionValidTo = (e.SessionToken.ValidTo - logonTokenCacheExpirationWindow);

            if ((currentDateTime < sessionValidTo) && (currentDateTime > sessionValidFrom.AddMinutes(sessionLifetime.TotalMinutes / 2)))
            {
                e.SessionToken = FederatedAuthentication.SessionAuthenticationModule.CreateSessionSecurityToken(e.SessionToken.ClaimsPrincipal, e.SessionToken.Context, currentDateTime, currentDateTime.AddMinutes(sessionLifetime.TotalMinutes), e.SessionToken.IsPersistent);
                e.ReissueCookie = true;
            }
        }
    }
}

最初は、これは SPSecurityTokenServiceManager で設定できると思っていました。しかし、これは何も変わりませんでした。(PowerShell スニペット)

Write-Output("[INFO] Updating the SPSecurityTokenServiceManager")
$stsMgr = Get-SPSecurityTokenServiceConfig

Write-Output("[INFO] Updating the SPSecurityTokenServiceManager to use session cookies.")
$stsMgr.UseSessionCookies = $true; #

Write-Output("[INFO] Updating the SPSecurityTokenServiceManager logon token cache expiration window")
$stsMgr.LogonTokenCacheExpirationWindow = New-TimeSpan -Days 0 -Hours 0 -Minutes 1

Write-Output("[INFO] Updating the SPSecurityTokenServiceManager service token cache expiration window.")
$stsMgr.ServiceTokenCacheExpirationWindow = New-TimeSpan -Days 0 -Hours 0 -Minutes 20

$stsMgr.Update()

SessionSecurityTokenHandler.DefaultLifetime は読み取り専用で 10 時間に設定されているため、設定できません。

// Type: Microsoft.IdentityModel.Tokens.SecurityTokenHandler
// Assembly: Microsoft.IdentityModel, Version=3.5.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35
// Assembly location: C:\Windows\assembly\GAC_MSIL\Microsoft.IdentityModel\3.5.0.0__31bf3856ad364e35\Microsoft.IdentityModel.dll

namespace Microsoft.IdentityModel.Tokens
{
    public class SessionSecurityTokenHandler : SecurityTokenHandler
    {
        public static readonly TimeSpan DefaultLifetime = TimeSpan.FromHours(10.0);
        ...
    }
}

SecurityToken.ValidTo には、セッターではなくゲッターしかありません。

// Type: System.IdentityModel.Tokens.SecurityToken
// Assembly: System.IdentityModel, Version=3.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089
// Assembly location: C:\Program Files (x86)\Reference Assemblies\Microsoft\Framework\v3.0\System.IdentityModel.dll

namespace System.IdentityModel.Tokens
{
    /// <summary>
    /// Represents a base class used to implement all security tokens.
    /// </summary>
    /// <filterpriority>2</filterpriority>
    public abstract class SecurityToken
    {
        ...

        /// <summary>
        /// Gets the last instant in time at which this security token is valid.
        /// </summary>
        /// 
        /// <returns>
        /// A <see cref="T:System.DateTime"/> that represents the last instant in time at which this security token is valid.
        /// </returns>
        /// <filterpriority>2</filterpriority>
        public abstract DateTime ValidTo { get; }

        ...
    }
}

FederatedAuthentication.SessionAuthenticationModule.CreateSessionSecurityTokenで、デフォルトの ValidTo プロパティが ValidFrom + デフォルトのトークンの有効期間に設定されていることにも気付きました。SecurityToken.ValidTo を設定する唯一の方法は、セキュリティ トークンを作成するときです。これは、カスタムの SecurityToken クラスを実装する必要があるということですか、それともトークンの作成を傍受できる WIF スタックのどこかにあるのでしょうか? これまでのところ、次のイベント ハンドラーしか見つからなかったようですFederatedAuthentication.SessionAuthenticationModule.SessionSecurityTokenCreatedが、この時点でトークンは既に作成されており、そこからトークンにアクセスできますが、予想どおりSecurityToken.ValidToプロパティはゲッターにすぎません。

同様に、<microsoft.identityModel />構成セクションにはこの設定がないようです。persistenLifeTime 設定がありますが、これはディスクに書き込まれる Cookie のみです。

<microsoft.identityModel>
      <federatedAuthentication>
        <wsFederation
            persistentCookiesOnPassiveRedirects="true" />
        <cookieHandler 
          persistentSessionLifetime="60.0:0:0" />
      </federatedAuthentication>
</microsoft.identityModel>

また、暗号化/復号化をサーバーに依存しないようにするために、暗号化には証明書が使用されます。これを行うには、フェデレーション プロバイダーの Global.asax にあるセッション セキュリティ トークン ハンドラーをプログラムで追加します。SecurityToken.ValidToをカスタマイズする必要がある場合、カスタム セキュリティ トークン ハンドラー クラスを作成する必要があるのでしょうか、それとも現在 Global.asax でどのように行っているのか、他の場所を探す必要があるのではないかと考えているため、これについてのみ言及します。問題を解決するにはSecurityToken.ValidTo？

  <microsoft.identityModel>
    <service>
      <serviceCertificate>
        <certificateReference x509FindType="FindByThumbprint" findValue="myThumbPrint" />
      </serviceCertificate>
      ...
  </microsoft.identityModel>

namespace MyCompany.IdentityServer.FederationProvider
{
    public class Global : System.Web.HttpApplication
    {
        /// <summary>
        /// Handles the Start event of the Application control.
        /// </summary>
        /// <param name="sender">The source of the event.</param>
        /// <param name="e">The <see cref="System.EventArgs"/> instance containing the event data.</param>
        protected void Application_Start(object sender, EventArgs e)
        {
            FederatedAuthentication.ServiceConfigurationCreated += OnServiceConfigurationCreated;
        }

        /// <summary>
        /// Called when [service configuration created].
        /// </summary>
        /// <param name="sender">The sender.</param>
        /// <param name="e">The <see cref="Microsoft.IdentityModel.Web.Configuration.ServiceConfigurationCreatedEventArgs"/> instance containing the event data.</param>
        private void OnServiceConfigurationCreated(object sender, ServiceConfigurationCreatedEventArgs e)
        {
            // The session security token handler needs to be overridden so that encryption/decryption is not server dependent via DPAPI.
            // We need encryption/decryption to be server agnostic, so we make it certificate based instead.
            // See http://blogs.msdn.com/b/distributedservices/archive/2012/10/29/wif-1-0-id1073-a-cryptographicexception-occurred-when-attempting-to-decrypt-the-cookie-using-the-protecteddata-api.aspx

            // Use the <serviceCertificate> to protect the cookies that are
            // sent to the client.
            var sessionTransforms =
                new List<CookieTransform>(new CookieTransform[] {
                new DeflateCookieTransform(), 
                new RsaEncryptionCookieTransform(e.ServiceConfiguration.ServiceCertificate),
                new RsaSignatureCookieTransform(e.ServiceConfiguration.ServiceCertificate)  });

            var sessionHandler = new SessionSecurityTokenHandler(sessionTransforms.AsReadOnly());

            // This does nothing
            //sessionHandler.TokenLifetime = someLifeTime;

            e.ServiceConfiguration.SecurityTokenHandlers.AddOrReplace(sessionHandler);
        }
    }
}

カスタム securityTokenHandler を作成すると、有効期間を指定できることがわかりますが、これは上記の Global.asax で試したもののように見えます、sessionHandler.TokenLifetime = ...

  <microsoft.identityModel>
    <service>
        <securityTokenHandlers>
          <add type="System.IdentityModel.Tokens.SessionSecurityTokenHandler, System.IdentityModel">
            <sessionTokenRequirement lifetime="TimeSpan" />
          </add>
        </securityTokenHandlers>
      ...
    </service>
</microsoft.identityModel>

これを設定するための明らかな何かが欠けていると思いますか、それとも必要なものを得るためにカスタマイズする唯一の行動SecurityToken.ValidToですか?

4

2 に答える 2

2

STS で、SecurityTokenConfigurationConfiguration クラスの DefaultTokenLifetime プロパティを設定して、デフォルトの 10h をオーバーライドします。

于 2013-03-17T13:00:39.970 に答える
0

このpowershellスクリプトを使用して増やすことができます

$sts = Get-SPSecurityTokenServiceConfig
$sts.FormsTokenLifeTime = (New-TimeSpan -minutes <NUMBER_OF_MINUTES>)
$sts.Update()
Get-SPSecurityTokenServiceConfig
于 2014-05-15T08:58:58.333 に答える