Безопасность WCF - Https и анонимная аутентификация

Question

У нас есть сервис, который в настоящее время использует basicHttpBinding. У нас есть возможность конвертировать его в netTCPBinding. При его развертывании в IIS 7 мы используем аутентификацию как анонимную. Доступ к услуге осуществляется с веб-сайта, размещенного в IIS в той же сети.

Наш клиент выразил обеспокоенность по поводу анонимной аутентификации, и он не хочет, чтобы нежелательные пользователи (в офисной сети) использовали ее. Суть в том, что люди могут создавать свои собственные образцы веб-сайтов и пользоваться услугами.

Предположим, я использую Тип транспортных учетных данных в качестве " Сертификат ", будет ли он соответствовать моим требованиям? Т.е. только пользователи, имеющие сертификат клиента, могут получить доступ к услуге? Можете ли вы направить меня к любой статье, которая объясняет, как это сделать?

<endpoint address=""
binding="basicHttpBinding"

Я упомянул следующее http://msdn.microsoft.com/en-us/library/ms731092.aspx

Примечание. Веб-сайт потребителя в IIS использует проверку подлинности Windows: включено, олицетворение ASP.NET: включено

Спасибо

Answer 1

Мое предложение - преобразовать в netTCP и использовать аутентификацию сертификата.Поделиться сертификатом только с веб-сайтом, который имеет доступ к веб-сервису.Ниже ссылка поможет вам достичь сертификата безопасности в WCF

http://www.codeproject.com/Articles/36683/9-simple-steps-to-enable-X-509-certificates-on-WCF

Answer 2

Самым простым решением может быть использование Http Headers и добавление некоторого ключа авторизации в заголовки, когда клиент делает запрос.На сервере проверьте заголовки запроса на ключ авторизации.Если ключ не найден, обратитесь в сервисную службу.Проверьте этот пост, который объясняет, как добавлять заголовки при создании прокси службы.

Предложение

Вы можете удалить конечную точку метаданных (mex), установите httpGetEnabled на false, таким образом никто не сможет создать прокси службы.

Надеюсь, это поможет вам.