問題タブ [wcf-authentication]

X ドメインに MVC アプリケーションがあり、Y ドメインに WCF サービスがあり、両方に同じメンバーシップ プロバイダーを使用したいと考えています。

データがイントラネット サーバーにあるため、WCF サービスは Y ドメインにあり、データを生成するサーバーですべての要求を処理したくないため、MVC アプリケーションは X ドメインにあります。

ユーザーに MVC アプリケーションにログインしてもらい、そうすることで WCF サービスへの認証も行います。

MVCアプリケーションで認証するときに両方のCookieを作成できる場合、どちらが最善の方法かわかりません(これを達成する方法がわかりません)。認証されていない人が自分の WCF サービスを利用できるようにしたくありません。

したがって、ユーザーを検証し、同じユーザー名とパスワードをカスタム WCF サービスに渡して操作できるようにするための AuthenticationService が必要だと思います。

問題は、AuthenticationService でユーザー名を検証し、Cookie ( http://msdn.microsoft.com/en-us/library/bb515342.aspx ) を作成することですが、カスタム WCF サービス (データ) と対話するときに必要ですユーザー名とパスワードを再度入力するには ( http://msdn.microsoft.com/en-us/library/ff647294.aspx )、ユーザー名には問題はありませんが、パスワードの管理方法がわかりません。毎回パスワードを要求したくありません。

もっと簡単なものはありますか？

システムが使用するサービスへのアクセスを許可する前に、モバイル デバイス クライアントを証明書で認証する必要があるシステムの証明書認証スキームを実装するための情報を収集しています。他のログイン資格情報に加えて、システムの信頼できるユーザーに一意の証明書を発行して、モバイル デバイスで使用できるようにするソリューションを探しています。

具体的には、Android アプリケーションなどのクライアント デバイス上のモバイル アプリケーションによって消費される WCF REST サービスがあり、クライアントが正しい証明書を持っているかどうか、およびユーザーによって提供された有効なユーザー資格情報を持っているかどうかを確認する必要があります。 . また、この場合のセキュリティは重要であり、非常に重要です。

私の質問は、今説明したようなシナリオで、一意の証明書認証を実装し、セキュリティを重視することは可能ですか? そうでない場合、これを達成するためのさまざまな代替手段または最良の方法は何ですか?

さらに、PIV/CAC カードに使用される個別に発行された証明書の場合、モバイル デバイスを使用した認証にこれらの証明書を活用する方法はありますか?

私は WCF の初心者で、WCF Rest サービスを保護する方法を知りたいです。私はasp.net Webサイトを持っています。登録ユーザーのみがアクセスでき、アプリケーションは同じIISサーバーでホストされているサービスを使用しています。私の質問は、登録ユーザーのみが使用できるように、このサービスの使用を制限するにはどうすればよいですか?サービスが多くのクライアント (Android、iPhone など) で使用できることを知っている。どのタイプの認証を使用できますか? サービスをテストするために、winform を作成し、HttpWebRequest を使用します。 PS: https を使用できません。 ありがとう

カスタムの USERNAME-PASSWORD バリデーターを使用して、WCF サービスを開発しています。

UserNamePasswordValidatorから継承するCustomUserNameValidatorがあります。

IAuthorizationPolicyから継承するCustomAuthorizationPolicyも使用します。

カスタム承認ポリシーのEvaluateメソッドは次のようになります。

ご覧のとおり、 Evaluateを呼び出すたびに新しいCustomPrincipalオブジェクトを作成します(これは、サービスで呼び出されるすべての操作で行われます)。

これは私のCustomPrincipalコンストラクターがどのように見えるかです:

GetUserメソッドとEnsureRolesメソッドは、SQL データベースにアクセスして、ユーザーのロールを確認します。

私の質問は-なぜこれがすべての操作で発生する必要があるのですか??

クライアントがサービスに初めて接続するときだけでなく、すべての操作でCustomPrincipalの作成が行われるのはなぜですか?

サービスで呼び出されるすべての操作について、 「CustomPrincipal」がデータベースにアクセスし、ユーザーとそのすべてのロールを再取得する理由がわかりません...

[更新] これは、クエリ サービス インターフェイスの外観です。

別の WCF サービス (RealService) を参照する WCF サービス (ServiceWrapper) を作成する必要があります。

ServiceWrapper のクライアントが認証リクエストでユーザー名/パスワードを渡すようにします。

ServiceWrapper の操作 RealService を呼び出します。受信したユーザー名/パスワードを Authenticate with RealSerivce に渡し、その Operations を呼び出す必要があります。

Https(SSL/TLS) ではなく、Http でサービスをホストする必要があります。

質問: サービスによって受信されたクライアント資格情報を使用して、Https (SSL/TLS) を使用せずに参照されたサービスで認証する方法を教えてください。

私たちのプロジェクトでは、すべてのWCFサービスはwsHttpBinding（TransportWithMessageCredential、UserName）オプションによって保護されています。

正常に動作しますが、もう1つのパラメーター（ClientId）を使用してセキュリティを実装する必要があります。

WCFサービスが電話を受けると、その電話のDB（ユーザー名とパスワードを確認する場所）がわからないため、最初は会社の「メイン」データベース（すべてのクライアントが保存されている場所）に移動する必要があります。 ）そしてClientIdによって接続文字列を取得します。

これをどのように実装できますか？

WCFサービスは初めてです。WCFサービスへのアクセスを許可する前に、basichttpbindingを使用してWCFサービスを作成し、カスタム認証メカニズムを作成したいと思いました。私は セキュリティモード=トランスポートとclientcredentialtype=basicを使用しました。ユーザー名とパスワードを検証するためのカスタムバリデーター関数を作成しました。

バリデーター機能

これは私のサービス設定ファイルです

したがって、ここでの問題は、サービスを実行するたびに、ユーザー名とパスワードを入力するとログインダイアログが表示されることです（バリデーターはユーザー名とパスワードの両方が同じであることを期待しています）、以前は表示されていたサービスの詳細ページが表示されません通常の場合（認証メカニズムなし）にアップします。何が欠けているのかわかりません。私の場合は重要な構成になっているように感じますが、それでも間違いを見つけることはできません。

証明書を使用して動作する wcf サービスを作成しました。自己署名証明書を使用しているテストは完璧に機能しますが、証明書が CA によって生成されるサーバーで実行しようとすると、すべてが変更されます。CA を使用してクライアント証明書とサーバー証明書を生成し、その後、サーバー証明書を「Trusted people」フォルダーにエクスポートしました。(両方の証明書を LocalMachine ディレクトリに配置しました)。また、証明書に必要なすべての権限を付与しました。

例外が発生しているクライアント プログラムを実行しているときに問題が発生します。

X.509 証明書 CN=xxxx が信頼できるユーザー ストアにありません。

これが私のサーバー構成です

ここにクライアント構成があります

誰かが私の間違いを知っていましたか?