問題タブ [basic-authentication]

基本認証を使用している場合、Web サイトからユーザーをログアウトすることはできますか?

ユーザーが認証されると、各リクエストにログイン情報が含まれるため、セッションを強制終了するだけでは不十分です。そのため、ユーザーは次回同じ資格情報を使用してサイトにアクセスするときに自動的にログインします。

これまでの唯一の解決策はブラウザを閉じることですが、それはユーザビリティの観点からは受け入れられません。

ストック標準の ASP.NET Web サイトを開発マシン (サーバー ルームの内部マシン) にデプロイしました。

現在、この開発サイトには、内部ユーザーと外部ユーザーの両方がアクセスできます。現在、IIS6 では、匿名認証をオフにし、他の何かをオンにするために使用していました.. ユーザー名とパスワードのポップアップ モデル ボックスをユーザーに提供していました。web.config ファイルで定義されたユーザー名またはパスワードを入力する必要があったと思いますか? (ウェブサイト アカウントのユーザー名/パスワードではありません)/

IIS7 では、Anon Auth をオフにし、 BasicまたはWindows Authをオンにすると、サイトにアクセスできますが、ユーザーがサインアップしたアカウントではなく、それらの資格情報でログインしようとしています (いくつかのストック標準のasp.net Webフォームページ）。

それで...サイト全体を「ロック」して、テスターに​​サイトへの一般的なアクセスを取得させることは可能ですか..これは、Webサイトのユーザー名とパスワードとは異なります。これらのユーザー名とパスワードは、代わりにサイトで使用するためのものです。

それは理にかなっていますか？

乾杯！

承認セクションはありません。

また、「Digest Auth」を iis7 に追加してそれを有効にすると (そして他のすべてを無効にすると)、ポップアップ ウィンドウが表示されますが (kewl!)、どの資格情報を渡す必要があるのか​​ わかりません。それらをどこで定義できますか?資格情報を手動で (ウェブサイトのユーザーから分離するため) ??

基本認証/SSL の背後にある WSS インストールがあります (パブリック Web ホストでホストされています)。私は ASP.NET で姉妹サイトを作成しています。401 Not Authorized エラーが返されなければ、資格情報を実行して、ユーザーが新しいシステムにログインできるようにすることを検討しています。

どちらも、約 20 ～ 50 人が使用するインターネット向けアプリケーションです。

私は何が欠けていますか？これが推奨されていることは聞いたことがありませんが、なぜ機能しないのかわかりません。

Tomcat 5.5.27 で基本認証を無効にする方法を教えてください

認証のために探しているフローは次のとおりです。

1. Windows 認証からユーザー名を取得しようとしています
2. それが失敗した場合 (ユーザーがネットワークの外部にいる場合)、BASIC 認証を使用してユーザー名/パスワードを取得します。
3. SQL データベースに対してユーザー名とパスワードを確認します。Windows の場合、パスワードは必要ありません。BASIC 認証とパスワードが正しくない場合は、再度プロンプトを表示します
4. ユーザー名を使用して Identity オブジェクトを作成し、別の SQL データベース呼び出しを介してユーザーのロールを設定します。

これは、複数のアプリケーションで使用する必要があります。

これを実装する最良の方法は何ですか？HTTPModule を作成しますか? もしそうなら、何を覚えておく必要がありますか (セキュリティ、仮想ディレクトリの設定など)

「基本認証」を使用する必要があるアプリケーションがあります。ただし、Visual Studioでアプリケーションをデバッグするには、IISでディレクトリで[Windows認証]も有効にする必要があります。

問題は、ユーザーハンドラーが基本認証の要求を送信してデータベースと比較しようとすることです...しかし、基本認証要求は、上記のWindows認証のためにIISがヘッダーに挿入するNTLM要求によって優先的にプッシュダウンされます'、そしてそれは代わりにユーザーによってサーバーに送信されます。

誰かが以前にこの状況に遭遇したことがありますか？Windows認証をオンにせずに（または少なくとも要求のセキュリティを要求しないように）Visual Studioでデバッグする方法はありますか？

ありがとう！

編集：開発環境の外では、「Windows認証」はオンにならないことに言及するのを忘れました

ASP.NET Web サービスを使用して Web サービス インターフェイスを公開するために、動作中の ASP.NET Web アプリケーションをリファクタリングしています。Web Services authentication - best practiceによると、https 経由の Basic Auth が適しています。WS-Security、X509などを行うのではなく、そうであると仮定しましょう..

.NET 3.5/VS 2008 でカスタム http 基本認証 (Windows 以外のアカウント) を実装する最も簡単な方法は何ですか。たとえば、ユーザー名が「foo」でパスワードが「bar」の場合のみ受け入れます。最終的には、設定したいと思いThread.CurrentPrincipalます。

自分で書くHttpModuleべきですか、それとももっと簡単にできますか?

基本的に私のシナリオは、アクセスするために 1 つのハードコードされたユーザー名とパスワードを必要とする内部 Web サイトを持っていることです (これはオフにすることはできず、変更することしかできません)。さまざまな理由 (ポートの非表示、URL の簡略化、NAT の簡略化など) で、この Web サイトをリバース プロキシ経由で公開しています。

ただし、私がやりたいことは、Apache を使用して認証を処理できるようにすることです。

1. 全員に単一のパスワードを配布する必要はありません
2. Apache の BasicAuth を使用して複数のユーザー名とパスワードを持つことができます
3. 内部ユーザーの場合、パスワードの入力を求める必要はありません

編集: よりリッチな認証に関する 2 番目の部分は、新しい質問に移動されました

これが多かれ少なかれ私が今持っているものです：

私のApache 2構成には、VirtualHost次のようなものがあります。

ネットワーク上の別のサーバー (エンドポイントと呼びます) へのリバース プロキシとして仮想ホストを使用しています。

sub.domain.comネットワークブラウジング内のユーザーが自動的にエンドポイントにサービスを提供できるようにする構成を見つけようとしています。ただし、ネットワーク外のユーザーには資格情報の入力を求める必要があります

エンドポイントには、RequestHeader (必要) を使用して非表示にしたパスワードが必要です。外部ユーザーにプロンプ​​トを表示する必要があるパスワードは DIFFERENT であり、ファイルからユーザー リストを取得する BasicAuth である必要がありhtpasswdます。