Как я могу динамически установить параметры авторизации для промежуточного программного обеспечения OpenIdConnect? - PullRequest
Новая
       20

Как я могу динамически установить параметры авторизации для промежуточного программного обеспечения OpenIdConnect?

0 голосов
/ 23 октября 2018

У нас несколько арендаторов, и они используют разные полномочия (свои, а не только стандартные провайдеры).Хотя я знаю, как динамически устанавливать clientId и секрет, я не могу понять, как установить полномочия.Он устанавливается один раз, во время запуска, и впоследствии его нельзя изменить (или так кажется).

Поскольку у нас много арендаторов, мы не хотим регистрировать всех при запуске, и мы также неНе требуется перезагрузка при добавлении арендаторов.

Есть предложения, как мне это сделать?Я хотел бы использовать существующее промежуточное программное обеспечение, но если это невозможно, я мог бы написать свое собственное.

Оцените любое предложение!

Ответы [ 2 ]

0 голосов
/ 24 октября 2018

Хотя это немного сложно, это определенно возможно.Вот упрощенный пример с использованием обработчика OIDC MSFT, пользовательского монитора и разрешения арендатора на основе пути:

Реализация логики разрешения арендатора.Например: 

public class TenantProvider
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public TenantProvider(IHttpContextAccessor httpContextAccessor)
        => _httpContextAccessor = httpContextAccessor;

    public string GetCurrentTenant()
    {
        // This sample uses the path base as the tenant.
        // You can replace that by your own logic.
        string tenant = _httpContextAccessor.HttpContext.Request.PathBase;
        if (string.IsNullOrEmpty(tenant))
        {
            tenant = "default";
        }

        return tenant;
    }
}

public void Configure(IApplicationBuilder app)
{
    app.Use(next => context =>
    {
        // This snippet uses a hardcoded resolution logic.
        // In a real world app, you'd want to customize that.
        if (context.Request.Path.StartsWithSegments("/fabrikam", out PathString path))
        {
            context.Request.PathBase = "/fabrikam";
            context.Request.Path = path;
        }

        return next(context);
    });

    app.UseAuthentication();

    app.UseMvc();
}

Реализация пользовательских IOptionsMonitor<OpenIdConnectOptions>: 

public class OpenIdConnectOptionsProvider : IOptionsMonitor<OpenIdConnectOptions>
{
    private readonly ConcurrentDictionary<(string name, string tenant), Lazy<OpenIdConnectOptions>> _cache;
    private readonly IOptionsFactory<OpenIdConnectOptions> _optionsFactory;
    private readonly TenantProvider _tenantProvider;

    public OpenIdConnectOptionsProvider(
        IOptionsFactory<OpenIdConnectOptions> optionsFactory,
        TenantProvider tenantProvider)
    {
        _cache = new ConcurrentDictionary<(string, string), Lazy<OpenIdConnectOptions>>();
        _optionsFactory = optionsFactory;
        _tenantProvider = tenantProvider;
    }

    public OpenIdConnectOptions CurrentValue => Get(Options.DefaultName);

    public OpenIdConnectOptions Get(string name)
    {
        var tenant = _tenantProvider.GetCurrentTenant();

        Lazy<OpenIdConnectOptions> Create() => new Lazy<OpenIdConnectOptions>(() => _optionsFactory.Create(name));
        return _cache.GetOrAdd((name, tenant), _ => Create()).Value;
    }

    public IDisposable OnChange(Action<OpenIdConnectOptions, string> listener) => null;
}

Реализация пользовательских IConfigureNamedOptions<OpenIdConnectOptions>: 

public class OpenIdConnectOptionsInitializer : IConfigureNamedOptions<OpenIdConnectOptions>
{
    private readonly IDataProtectionProvider _dataProtectionProvider;
    private readonly TenantProvider _tenantProvider;

    public OpenIdConnectOptionsInitializer(
        IDataProtectionProvider dataProtectionProvider,
        TenantProvider tenantProvider)
    {
        _dataProtectionProvider = dataProtectionProvider;
        _tenantProvider = tenantProvider;
    }

    public void Configure(string name, OpenIdConnectOptions options)
    {
        if (!string.Equals(name, OpenIdConnectDefaults.AuthenticationScheme, StringComparison.Ordinal))
        {
            return;
        }

        var tenant = _tenantProvider.GetCurrentTenant();

        // Create a tenant-specific data protection provider to ensure
        // encrypted states can't be read/decrypted by the other tenants.
        options.DataProtectionProvider = _dataProtectionProvider.CreateProtector(tenant);

        // Other tenant-specific options like options.Authority can be registered here.
    }

    public void Configure(OpenIdConnectOptions options)
        => Debug.Fail("This infrastructure method shouldn't be called.");
}

Регистрация служб вВаш DI контейнер: 

public void ConfigureServices(IServiceCollection services)
{
    // ...

    // Register the OpenID Connect handler.
    services.AddAuthentication()
        .AddOpenIdConnect();

    services.AddSingleton<TenantProvider>();
    services.AddSingleton<IOptionsMonitor<OpenIdConnectOptions>, OpenIdConnectOptionsProvider>();
    services.AddSingleton<IConfigureOptions<OpenIdConnectOptions>, OpenIdConnectOptionsInitializer>();
}
0 голосов
/ 24 октября 2018

Модель Asp.NET Core предполагает наличие одного прав доступа для каждого экземпляра обработчика.Мой компонент Saml2 поддерживает несколько восходящих Idps в одном обработчике и имеет недостатки в остальной системе, когда это предположение больше не соответствует действительности.

В Asp.NET Core можно добавлять / удалять поставщиков во время выполнения,без необходимости перезагрузки.Поэтому я бы порекомендовал найти модель, основанную на этом.

Если вы предпочитаете один обработчик, который может иметь настройку Authority для каждого запроса, я думаю, что нужен специальный обработчик - реализация Microsoft по умолчанию не будет поддерживатьчто.

...