問題タブ [azman]

私は wcf 4.0 service を持っています。IIS Express でローカルに実行しており、azman を使用してセキュリティを管理しています。宣言構文を使用してサービスを保護し、クラス ライブラリでのクラスのインスタンス化を防ぐことができます。ただし、クラスでメソッドを装飾しても効果はありません。

メソッドのセキュリティチェックを有効にすることはできますか?

アプリケーションで承認を管理するためにNetSqlAzManを使用しています。

私のアプリケーションでは、レコード レベルで承認を管理したいと考えています。ユーザー/グループが記録に基づいて操作を実行することを許可/拒否します (注文、顧客など) #number

NetSqlAzMan でのこのような問題の解決策は属性を使用していることを認識しており、それがどのように機能するかをテストするために小さなプロジェクトを設定しました。私のアプリケーションは次のようになります。

DB ユーザー:

• ジョン
• ボブ

役割:

• 管理者
• 販売
• マーケティング

タスク:

• CreateOrder
• UpdateOrder
• 注文の削除
• プリント注文

認可の例:

Sales役割を に許可したいUpdateOrderが、同時に拒否するUpdateOrder(属性: OrderNum=12)。

(属性: )を許可Bobし、PrintOrder(属性: )から拒否しOrderNum=13たいBobPrintOrderOrderNum=16

どちらの場合も、 I forまたは forに関係Denyなく、 allow 承認をオーバーライドする承認になります。CheckedAccess(Sales,UpdateOrder)(Bob,PrintOrder)

属性ごとに取得する方法はありAuthorizationTypeますか、それとも変更が必要ですか。

NetSqlAzMan プロジェクトの元の (および/または現在の) 動機について、「行間を読む」ことを試みてきました。

これは何のために書かれたのですか？

1. Windows Authorization Manager (AzMan) 用のアダプター。NetSqlAzMan のメソッドは (Windows Authorization Manager (AzMan)) に呼び出しを渡すだけですが、おそらくより適切でクリーンなメソッドを使用していますか?

2. (Windows Authorization Manager (AzMan)) の代替。(Windows Authorization Manager (AzMan)) で利用可能な (ほとんどまたはすべての) 機能は NetSqlAzMan で再作成されますが、コードは個別に開発されました。(おそらく DotNet 4.0 サポートを提供するため???) (おそらく、COM 依存関係を削除するため)

3. (Windows Authorization Manager (AzMan)) よりも多くの機能を提供するため。別名、(Windows Authorization Manager (AzMan)) の "よりスマートな"/"より優れた" バージョン。

4. 書き直すだけでなく、オープンソースを通じて半ば死んでいるプロジェクトを存続させること。(たとえば、(Windows Authorization Manager (AzMan))) は、Microsoft によって終了または放棄されたプロジェクトです)。

5. 他の？

...............

NetSqlAzMan のオブジェクト モデルが気に入っています。しかし、プロジェクト マネージャーや他の開発者に対して、それを使用するという決定を弁護する必要があります。オブジェクト モデルは、私がセキュリティに望む限り、「ちょうどいい」ように見えます (ゴルディロックスとミドル ベッドを考えてください)。役割ベースのセキュリティを行いたくありません。権限 (またはタスクまたは許可) ベースのセキュリティが必要です。

(参照: http://lostechies.com/derickbailey/2011/05/24/dont-do-role-based-authorization-checks-do-activity-based-checks/ および http://granadacoder.wordpress.com/ 2010/12/01/rant-hard-coded-security-roles/ )

基本的に出てきた質問は、「(Windows Authorization Manager (AzMan)) の代わりに NetSqlAzMan を使用する利点は何ですか?」というものです。

サブ質問は「Windows Authorization Manager (AzMan) は死んでいますか?」です。(そして、Long Live NetSqlAzMan! に沿った何か)。

...................

私の一般的な要件は次のとおりです。

非 Active Directory ユーザー。(将来的には、Active Directory や LDAP のサポートがあればよいのですが、必須ではありません)。プレーン テキストとして保存されていないパスワード。セキュリティ チェックの RIGHTS を処理できる。
権限を任意の役割の下にグループ化します。ユーザーにロールを割り当てます。(ただし、コードは、アクションを実行するときにロールではなく、権限をチェックします。) (場合によっては) ユーザーに権限を割り当てることを許可します。Deny オーバーライドあり。（別名、愚かなこと（「従業員の削除」など）を行う単一のユーザーは、その権利を取り消すことができます。）複数のアプリケーションに対して役割と権利を維持できます。

したがって、他のアイデアは大歓迎です。しかし、Windows Identity Foundationは少しやり過ぎのように思えます。

ありがとう。

現時点では少し迷っています。うまくいけば、あなたは私を正しい方向に向けることができます...

シナリオ: WinForms アプリ / Active Directory / 内部ネットワークのみ

私が望むもの： WIFを使用して、NetSqlAzManが行うのと同じこと（単一操作の認証と承認）を達成します。連邦はありません。そのために必要のないものは何もありません。現在のアカウントを介して特定のユーザーを認証し、クレームを取得して、特定の操作を呼び出すことが許可されているかどうかを確認するだけです。

そのために本当に必要なものとは？ADFS 2.0 は絶対に必要ですか? どの (単純な) STS を使用しますか? どこから始めれば？私が見つけたのは、WCF フェデレーション バインディングなどを使用した膨大なセットアップから始まることだけです。NetSqlAzMan を使用したほうがよいですか?

どんな助けでも大歓迎です！:)

XMLを使用してアプリケーションにAzManストアを実装しました。しかし今、私はそれをSQLに移行したいと思います。

私はすでにAzManXMLに多くのユーザーの役割とデータを持っていますが、そのデータをSQLに移行するためのユーティリティや方法を教えてもらえますか。

前もって感謝します

AzMan を構成しようとしていますが、コードに問題があります。私はこれらの問題を理解していないので、どうすればよいか説明してもらえますか:

xml ファイルが正しく構成された Active Directory。

正しく動作

ASP.NET MVC Web アプリケーションで、次のエラーが時々発生します。

System.AppDomainUnloadedException: アンロードされた appdomain にアクセスしようとしました。(HRESULT からの例外: 0x80131014) Microsoft.Interop.Security. AzRoles.IAzApplication.OpenOperation(String bstrOperationName, Object varReserved)

この例外がスローされるコードの行は次のとおりです。

ほとんどの場合、コードは正常に機能します。エラーが発生すると、AppPool をリサイクルすることが唯一の良い解決策であるように、かなり再発するようです。

これを防ぐにはどうすればよいですか？

アプリケーションでの認証と承認に Net Sql AZMan を使用しています。更新用のタスクを定義し、注文情報を更新する操作を行っています。今、私はこれを承認したいと思います: すべてのユーザーは、編集者の役割にあるときに注文の情報を更新できますが、注文の ID が ('X' など) の場合、注文の情報を更新することはできません。たとえば、管理者ロールのユーザーのみが注文情報を更新できます。

Net SQL AzMan の設定はすべて「OR」ベースのようです。

例えば：

操作に 3 つの (許可された) アプリケーション グループを追加する場合、操作の権限を持つユーザーは、最初または 2 番目または 3 番目にいる必要があります。

ユーザーが (最初と 2 番目) または (最初と 3 番目) にいる必要があると言う方法を探しています。

それを行う方法はありますか？

理由:
部門から部門へと移動するにつれて権限が雪だるま式に変化するユーザーがいます。Active Directory 部門ごとに 1 つの役割を設定したいと考えています (上記の例では「最初の」)。上記のロジックを機能させることができれば、ユーザーが部門を変更すると、以前の部門のアクセス許可が失われます (上司が怠け者で、AzMan が更新されていない場合でも)。

AzMan でこれを機能させることができない場合は、自分のアプリで機能させることができます。しかし、AzMan レベルでははるかに簡単です。