Quelle est la meilleure façon de gérer les revendications avec WIF 4.5

Question

J'ai récemment creusé dans WIF 4.5 afin de moderniser une ancienne application Webform basée sur les rôles avec des permissions plus fines. L'application utilise Windows Auth, il semble donc relativement simple d'implémenter l'autorisation basée sur les revendications. Je peux décorer des pages et des méthodes avec ClaimsPrincipalPermission identifiant la ressource et l'action. Et je peux brancher un AuthorizationManager personnalisé pour appliquer les règles d'autorisation. Il y a beaucoup de bons exemples de la façon de le faire. Voici quelques-unes:

• Leveraging claims based security in asp.net 4.5
• Going beyond usernames and roles
• Identity and Access Control in WCF 4.5

Ce que je ne peux pas sembler trouver sont de bons exemples de la façon de mieux gérer les demandes des utilisateurs. Il y a deux défis fondamentaux que je vois. Comment puis-je conserver les revendications d'application en phase avec les revendications de l'utilisateur? Comment puis-je connaître ou faire le suivi de toutes les revendications requises par l'application ? Et comment puis-je m'assurer que les utilisateurs ont toutes les réclamations dont ils ont besoin et qui les gèrent au fil du temps?

Comment puis-je éviter les sinistres à grains fins explosifs qui entraînent une gestion des sinistres complexe et des règles d'autorisation complexes? Je cherche des conseils ou des implémentations de référence d'autorisation de revendications qui prennent en charge le contrôle à granularité fine tout en étant faciles à gérer.

Answer 1

Normalement, WIF est utilisé avec un IDP comme ADFS (qui se trouve au-dessus de AD).

Les revendications sont configurées sur ADFS et non WIF. Les revendications configurées sur ADFS sont envoyées à WIF dans le jeton SAML. Pour trouver les revendications configurées pour l'application, vous devez regarder ADFS.

revendications ne sont pas dynamiques à savoir si un attribut d'utilisateur est modifiée dans la MA, la demande ne sera pas mis à jour jusqu'à ce que la prochaine fois que l'utilisateur se connecte.

tentent de limiter le nombre de demandes configuré pour un utilisateur et d'assurer que AD est correctement configuré ne sont pas des problèmes triviaux. Une façon de le faire est via les groupes (rôles de sécurité AD). ADFS peut les cartographier pour vous.