Какой метод аутентификации лучше всего подходит для этого сценария? - PullRequest
0 голосов
/ 01 сентября 2009

Пожалуйста, предложите мне лучший способ аутентификации в сценарии, указанном ниже:

Требуется развернуть веб-службу WCF во многих странах мира.

ПРИМЕЧАНИЕ: Все машины, на которых развернута служба, находятся в одном домене.

1. Клиенты, которые получают доступ к этой услуге, должны находиться в том же домене, в противном случае аутентификация не будет выполнена.

В настоящее время я использую режим безопасности сообщений, используя "Windows"

Ответы [ 2 ]

1 голос
/ 01 сентября 2009

Поскольку вы работаете в интрасети и предполагаете, что ваше приложение Windows будет подключаться напрямую к сервису, я перейду к Transport Security с использованием аутентификации Windows.

За некоторыми рекомендациями обращайтесь к шаблонам и практикам. Совершенствование руководства по безопасности веб-служб .

Я все еще спрашиваю, нужна ли вам авторизация. Если вы используете аутентификацию Windows без какой-либо авторизации, это упростит вашу службу, но позволит любому пользователю домена получить доступ к вашей службе независимо от того, используют ли они приложение Windows или нет. Конечно, они должны были бы знать конечную точку и структуру сообщения, но они все еще могли бы это сделать.

Если проверка подлинности Windows действительно все, что требуется, я бы все же поднял вопрос об авторизации и задокументировал ее (и, если применимо, получил бы подпись). С одной стороны, это касается вас, но также позволяет людям четко осознавать решение и возможные риски.

1 голос
/ 01 сентября 2009

Я не знаю, почему вы хотите, чтобы домен был одинаковым, если его необходимо развернуть в разных странах мира. Если вы не говорите о размещении службы во внутренней сети, которая не является общедоступной, применение одного и того же доменного имени может быть затруднено. В разных странах разные доменные стандарты. У Америки гораздо более богатый набор доменных корней на выбор. Другие страны часто имеют специфический корень, возможно, с региональным корнем.

Я бы не стал связывать ваш сервис с доменом, в котором он размещен, и не рекомендовал бы использовать домен в качестве фактора аутентификации. Если ваша служба должна быть публично представлена ​​в Интернете в каждой из этих стран, я бы порекомендовал использовать что-то, кроме безопасности Windows. Механизм безопасности на основе утверждений может работать лучше всего. Внутри реализации сервиса, заявки могут быть проверены, и, если необходимо, идентичность окон может быть аутентифицирована отдельно от аутентификации WCF. Претензии также позволяют вам использовать не только имя пользователя / пароль или сертификат для полной аутентификации и авторизации клиентского запроса. Вы можете запросить домен вызывающего абонента, страну, регион и другие доказательства, которые будут включены в претензию, что позволит вам убедиться, что звонки выполняются из соответствующего местоположения и соответствующими клиентами с гораздо большей гибкостью, чем при аутентификации Windows (и если публично обнародовать ваш сервис, в любом случае аутентификация Windows, вероятно, будет недоступна.)

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...