問題タブ [wcf-security]

内部IPアドレスのみに公開する必要がある新しいサービスを含めるようにWCFAPIを変更しています。私のAPIのすべてのサービスは、SOAP、POX、JSONで利用できます。私が探しているのは、内部IPからの要求を処理し、他のすべてを拒否するために、単純なIPアドレスフィルターを実装できる動作または何かです。APIの他のすべてのサービスはインターネットで引き続き利用できる必要があるため、構成で機能させたいと思います。グーグルをしましたが、WCFに組み込まれているこのようなものは見つかりません。私は何かが足りないのですか？

カスタム X509 証明書の検証を BasicHttpBinding (または同じ問題で、トランスポートのみのセキュリティを実装する CustomHttpBinding) に結び付ける簡単な方法はありますか?

EDIT1 :どちらも起動しないことを示すために、コードに ServerCertificateValidationCallback を追加しました

これが私がやろうとしていることです:

1) カスタム X509CertificateValidator を書きました:

2) 作成されたホスト:

3) 作成された WCF クライアント:

認証は正常に機能しますが、MyX509Validator.Validate()呼び出されません。X509CertificateValidatorトランスポートではなく、メッセージのセキュリティでのみ機能する疑いがあります。そうですか？トランスポート レベルの証明書の検証をオーバーライドするためにできることはありますか?

まさにタイトル通り。開発した WCF サーバーへの認証済み WCF クライアント接続ごとに、Windows CAL が必要ですか?

http://www.microsoft.com/windowsserver2008/en/us/client-licensing.aspx

そのページのマイクロソフトのライセンスは確かにそのように聞こえますが、これを確認したり否定したりするものは何も見つかりません.

誰でも知っていますか？

これが私のシナリオです：

ドメイン外のサーバー (独自のワークグループ内) で Windows サービスがホストする WCF サービスを実行することを計画しています。ドメイン内のクライアントから安全にアクセスする必要があります。私たちが管理している 2 台のマシンの間にはファイアウォールがあります。

サービスは他のマシンからアクセス可能である必要はなく、実際、指定されたマシン以外のマシンからの接続を受け入れるべきではありません。

通信は暗号化する必要があります。

私の質問は、この目的に最適なバインディング、セキュリティ モード、および認証方法は何ですか? 最も効率的な netTCPBinding を使用したいと思いますが、より適した別の方法があれば、提案をお待ちしています。

私は WCF アプリの設計で忙しいです。このアプリの目的は、保険加入者が Web 経由で保険情報にアクセスできるようにすることです。

問題は私たちのネットワーク アーキテクチャにあり、どの種類のセキュリティをどのような組み合わせで使用する必要があるのか​​正確にはわかりません。

内部ネットワークには、EntireX .net ラッパーを使用してアクセスする UNIX 環境があり、エンタープライズ ライブラリ経由でアクセスする Oracle 10g データ ストアがあります。

ビジネス オブジェクトを含む BLL と、Enterprise Library/EntireX を介してこれらのオブジェクトを設定する DAL を作成しました。

2 つの WCF サービスを含む WCF サービス レイヤーを作成しました。1 つはオラクル ストアにアクセスし、もう 1 つは UNIX にアクセスし、BLL を参照します。

このサービスは、ファイアウォール内に SQL 2005 がある運用サーバー上の IIS でホストする予定です。DMZ を作成するための Web サーバーを購入しました。この Web サーバーは、ポート 443 および/またはポート 80 を介してのみ運用サーバーと通信します。会社のインターネットは、DMZ 内の Web サーバーにアクセスできます。

プレゼンテーション層は、Channelfactory を使用してコードでサービスを呼び出す ASP.Net フロント エンドになります。クライアントがサービスに提示する必要がある X509 クライアント証明書を使用します。サービスはSSLで保護されています。フロント エンドは、DMZ 内の Web サーバー上にあります。

トランスポート セキュリティと clientCredentialType="Certificate" で wsHttpBinding を使用していますが、これは正常に動作しますが、ログイン情報をサービスに渡したいと考えています。メッセージヘッダーに追加することを考えました。

今、私は自分のデザインの実行可能性を疑っている段階にいます. このシナリオで使用する必要があるバインディングとセキュリティ、ログイン情報を渡す方法、およびプレゼンテーション層で最も安全にするために必要なものについて、誰かがヒントを教えてくれますか? ファイアウォールを介して内部の運用サーバーに対してどのポートを開くかを制御できます。DMZ 内の Web サーバーでホストされる ASP.Net クライアントは 1 つだけですが、本番サーバーへのアクセスは HTTPS または HTTP のみです。

どうもありがとうライアン

ありがとう

別のコンテキスト (例: DOMAIN\WebServiceUser) で実行されている Web サービス ワーカー プロセスを持つ Web サービスを呼び出すユーザー コンテキスト (例: DOMAIN\StandardUser) で実行されるアプリケーション (C# 上) がある場合、およびその Web サービスが SQL データベースに接続する場合、データベースは StandardUser と WebServiceUser のどちらのユーザー コンテキストから接続しますか?

ありがとう、

私は次のシナリオを実装しようとしています：

1. クライアントはその基準をSTSに渡します。
2. STSは、カスタムAuthorizationPolicyを適用して、特定のユーザーが利用できる一連のクレームを判別し、安全なトークンを発行します。
3. クライアントは、トークンから取得した一連のクレームに基づいてユーザーの特権を決定するビジネスサービスにトークンを渡します。

最初のステップが主な問題のようです。MSDNが示唆しているように、wsFederationHttpBindingのメッセージ要素にはclientCredentialsTypeがありません。その結果、AuthorizationPolicyがevaluationContext.Properties ["Identities"]を調べるときはいつでも、WindowsIdentityが含まれていることがわかります。カスタムストレージ（DB）に対してユーザーを認証したいのですが。

wsFederationHttpBindingでそれを達成する方法はありますか？

データベースに対して何らかのユーザー認証を必要とするクライアント/サーバー WCF アプリケーションがあります。アプリケーション (クライアントとサーバーの両方) は、イントラネットで使用するために数十の顧客に販売するために開発されています。もちろん、認証中を除いて、ネットワーク上を移動するほとんどのデータを暗号化することについてはあまり心配していません.

WCF のセキュリティについて考えていると、x509 証明書を使用する必要があるという考えに戻ってきます。ただし、お客様は、これらの証明書の申請、購入、インストールの詳細について知りたくありません。

まず、このシナリオでユーザー名/パスワード認証を実装するための推奨される方法を知りたいです。証明書を使用する必要がある場合、顧客は信頼できる CA から独自の証明書を申請する必要がありますか? それとも、ソフトウェア プロバイダーとして、顧客が使用する証明書を生成できますか?

本当に私は、お客様への摩擦を最小限に抑えたベスト プラクティスを探しています。

ありがとう！

編集: NetTcpBinding を使用しており、サーバーは Windows サービスとして実行されています。

Visual Studio 2008を使用してWebサービスのプロキシを作成しました。これにより、app.configに次のエントリが作成されました。

Webサービスにはユーザー名/パスワード認証があるので、ここのどこかに追加する必要があります。

WCFのドキュメントの海で少し迷っています。認証要素を追加できるようにするには、basicHttpBindingからwsHttpBindingまたはcustomBindingに変更する必要があると思いますが、よくわかりません。誰かがそうする方法を説明する簡単なヒントや便利なリンクを与えることができますか？

編集：

セキュリティセクションを次のように変更しました。

そしてコードに追加されました：

クレデンシャルを使用しているようですが、エラーが発生します。

提供されたURIスキーム「http」は無効なURIであると予想されます「https」

これが正しい道かどうかさえわかりません...

これがServerfault.comにより適した質問であるかどうかはわかりませんが、実際には答えによって異なりますが、.NET C＃でこのチュートリアルに従って、「wsHttpBinding」（トランスポートセキュリティと証明書認証）でWCFサービスをセットアップしました。ここで説明する方法を使用してテスト開発証明書を作成しました。また、BindingsforIISでHTTPS443ポートを構成しました。

すべてが各ステップでかなりうまく機能していますが、https://vd1/WcfWsHttpBindingTest/Service.svc（VD1は私のローカルコンピューター名です）を押すと、作成した「HelloWorld」サービスの例でエラーが発生します（ここでも、すべて最初に述べたMSDNチュートリアルリンクを介して続きます）。 ：

サーバー証明書とクライアント証明書をインストールするために述べたように両方のチュートリアルに従い、IISで構成されています。また、「https」を否定して「http」を使用すると、SSLで保護されたページにアクセスしようとしているという403.4 Forbiddenが表示されるので、その側が機能していると確信しています。

アイデアはありますか？
チュートリアルから逸脱していません。IIS7.0とVistaBusinessを実行しています。

wsHttpBindingを使用してサービスを構成するためのより良いチュートリアルリンクを提供することで、誰かが私を白紙の状態から始めることができれば、それも役に立ちます。

**誰かが私の最初の投稿を見た場合、それが上記の問題に発展したので、私が私の答えを閉じたことに気付くでしょう**