WSFederationAuthenticationModule Classe

Definizione

public ref class WSFederationAuthenticationModule : System::IdentityModel::Services::HttpModuleBase

public class WSFederationAuthenticationModule : System.IdentityModel.Services.HttpModuleBase

type WSFederationAuthenticationModule = class
    inherit HttpModuleBase

Public Class WSFederationAuthenticationModule
Inherits HttpModuleBase

Ereditarietà

Object

HttpModuleBase

WSFederationAuthenticationModule

Esempio

void Application_Start(object sender, EventArgs e)
{
    // Code that runs on application startup

    //SUBSCRIBE TO WSFAM EVENTS
    FederatedAuthentication.WSFederationAuthenticationModule.AuthorizationFailed += new EventHandler<AuthorizationFailedEventArgs>(WSFederationAuthenticationModule_AuthorizationFailed);
    FederatedAuthentication.WSFederationAuthenticationModule.RedirectingToIdentityProvider += new EventHandler<RedirectingToIdentityProviderEventArgs>(WSFederationAuthenticationModule_RedirectingToIdentityProvider);
    FederatedAuthentication.WSFederationAuthenticationModule.SecurityTokenReceived += new EventHandler<SecurityTokenReceivedEventArgs>(WSFederationAuthenticationModule_SecurityTokenReceived);
    FederatedAuthentication.WSFederationAuthenticationModule.SecurityTokenValidated += new EventHandler<SecurityTokenValidatedEventArgs>(WSFederationAuthenticationModule_SecurityTokenValidated);
    FederatedAuthentication.WSFederationAuthenticationModule.SessionSecurityTokenCreated += new EventHandler<SessionSecurityTokenCreatedEventArgs>(WSFederationAuthenticationModule_SessionSecurityTokenCreated);
    FederatedAuthentication.WSFederationAuthenticationModule.SignedIn += new EventHandler(WSFederationAuthenticationModule_SignedIn);
}

void WSFederationAuthenticationModule_SignedIn(object sender, EventArgs e)
{
    //Anything that's needed right after succesful session and before hitting the application code goes here
    System.Diagnostics.Trace.WriteLine("Handling SignIn event");
}

void WSFederationAuthenticationModule_SessionSecurityTokenCreated(object sender, SessionSecurityTokenCreatedEventArgs e)
{
    //Manipulate session token here, for example, changing its expiration value
    System.Diagnostics.Trace.WriteLine("Handling SessionSecurityTokenCreated event");
    System.Diagnostics.Trace.WriteLine("Key valid from: " + e.SessionToken.KeyEffectiveTime);
    System.Diagnostics.Trace.WriteLine("Key expires on: " + e.SessionToken.KeyExpirationTime);
}

void WSFederationAuthenticationModule_SecurityTokenValidated(object sender, SecurityTokenValidatedEventArgs e)
{
    //All vlidation SecurityTokenHandler checks are successful
    System.Diagnostics.Trace.WriteLine("Handling SecurityTokenValidated event");
}

void WSFederationAuthenticationModule_SecurityTokenReceived(object sender, SecurityTokenReceivedEventArgs e)
{
    //Augment token validation with your cusotm validation checks without invalidating the token.
    System.Diagnostics.Trace.WriteLine("Handling SecurityTokenReceived event");
}

void WSFederationAuthenticationModule_AuthorizationFailed(object sender, AuthorizationFailedEventArgs e)
{
    //Use this event to report more details regarding the ahorization failure
    System.Diagnostics.Trace.WriteLine("Handling AuthorizationFailed event");
}

void WSFederationAuthenticationModule_RedirectingToIdentityProvider(object sender, RedirectingToIdentityProviderEventArgs e)
{
    //Use this event to programmatically modify the sign-in message to the STS.
    System.Diagnostics.Trace.WriteLine("Handling RedirectingToIdentityProvider event");
}

Commenti

La WSFederationAuthenticationModule classe implementa un modulo HTTP noto come WS-Federation Authentication Module (WSFAM). WSFAM è implementato automaticamente da Windows Identity Foundation (WIF). WSFAM viene aggiunto alla pipeline di ASP.NET creando una voce nel file web.config. Deriva da HttpModuleBase, che implementa IHttpModule. Viene registrato con il runtime di ASP.NET per l'ascolto degli EndRequest eventi e AuthenticateRequest . L'ascolto dell'evento EndRequest consente al WSFAM di reindirizzare i client a un servizio token di sicurezza (STS) per ottenere un token di sicurezza quando l'autorizzazione non riesce in una risorsa richiesta. L'ascolto dell'evento AuthenticateRequest consente a WSFAM di monitorare le richieste HTTP per una risposta dal servizio token di sicurezza che contiene il token richiesto. Quando tale token è presente e valido, crea un'istanza di ClaimsPrincipal per l'utente autenticato usando le attestazioni presenti nel token.

Quando si usa WSFAM, la gestione delle sessioni viene fornita da un modulo di autenticazione sessione (SAM), che è un'istanza della SessionAuthenticationModule classe o una classe derivata da essa. Sam viene aggiunto anche alla pipeline di ASP.NET nel file di configurazione. SAM monitora le richieste di cookie di autenticazione (sessione). Quando questi cookie sono presenti e validi, il modulo estrae l'oggetto ClaimsPrincipal per l'utente autenticato da SessionSecurityToken e imposta la HttpContext.User proprietà e le proprietà dell'entità Thread.CurrentPrincipal thread.

WSFAM fornisce:

• Possibilità per un'applicazione ASP.NET di esternalizzare l'autenticazione a un servizio token di sicurezza usando il protocollo WS-Federation. L'identità può essere federata in una o più aree di autenticazione dell'identità e coinvolgere più token di sicurezza.

• Identità basata sulle attestazioni per le applicazioni ASP.NET. Durante l'autenticazione, WSFAM compila un'entità dalle attestazioni nel token di sicurezza inviato dal servizio token di sicurezza e imposta questa entità attestazioni come entità thread. È quindi possibile usare questa entità per prendere ulteriori decisioni relative all'autorizzazione, alla presentazione e alla logica relative all'utente rappresentato nel codice.

WSFAM espone diverse proprietà che forniscono parametri di messaggio predefiniti da usare in WS-Federation richieste di accesso e disconnessione. Queste proprietà vengono in genere inizializzate dall'elemento <wsFederation> in un file di configurazione. Le proprietà più importanti sono:

• Proprietà Issuer , che specifica l'indirizzo del servizio token di sicurezza (STS) a cui inviare WS-Federation richieste di accesso e disconnessione.

• Proprietà Realm che specifica il parametro wtrealm da usare nelle richieste di accesso WS-Federation. Il parametro wtrealm identifica l'area di autenticazione di sicurezza dell'applicazione relying party (RP) al servizio token di sicurezza.

I parametri del messaggio di accesso possono anche essere modificati in base alle richieste fornendo un delegato del gestore eventi per l'evento RedirectingToIdentityProvider .

Due proprietà controllano il comportamento del modulo. Entrambe queste proprietà vengono in genere inizializzate dall'elemento <wsFederation> nella configurazione.

• La PassiveRedirectEnabled proprietà specifica se il modulo deve eseguire reindirizzamenti passivi al servizio token di sicurezza per l'autenticazione.

• La PersistentCookiesOnPassiveRedirects proprietà specifica se le sessioni devono essere persistenti. Se questa proprietà è impostata su true, il sam viene usato per scrivere un cookie di sessione nel client. Nelle richieste successive dal client, sam fornisce l'autenticazione usando il token salvato in modo permanente nel cookie di sessione.

WSFAM genera diversi eventi durante l'accesso e la disconnessione, che consentono agli sviluppatori di ASP.NET di modificare il comportamento predefinito del modulo e controllare i dettagli del modo in cui viene eseguita l'autenticazione e l'elaborazione delle attestazioni.

Gli eventi seguenti vengono generati prima dell'invio della richiesta di accesso WS-Federation al servizio token di sicurezza:

• AuthorizationFailed: generato quando il reindirizzamento passivo è abilitato e l'autorizzazione non riesce in una risorsa richiesta.

• RedirectingToIdentityProvider: generato poco prima che WSFAM invii la richiesta di accesso WS-Federation al servizio token di sicurezza. È possibile usare questo evento per modificare i parametri nella richiesta di accesso.

Gli eventi seguenti vengono generati quando viene ricevuta una risposta di accesso (token di sicurezza rilasciato) dal servizio token di sicurezza:

• SecurityTokenReceived: generato subito dopo che il token di sicurezza inviato dal servizio token di sicurezza viene letto dalla risposta.

• SecurityTokenValidated: generato subito dopo la convalida del token. È possibile usare questo evento per filtrare, trasformare o aggiungere attestazioni all'entità attestazioni (ClaimsPrincipal) creata dal token di sicurezza.

• SessionSecurityTokenCreated: generato poco prima che il token di sessione (SessionSecurityToken) creato dall'entità attestazioni venga usato per impostare l'entità thread e l'utente corrente e viene scritto nel cookie di sessione. Consente di modificare il token di sessione o abilitare o disabilitare la scrittura del cookie di sessione.

• SignedIn: generato alla fine dell'autenticazione subito dopo l'impostazione dell'entità thread e dell'utente corrente.

• SignInError: generato se si verifica un'eccezione durante l'accesso. È possibile annullare la richiesta e impedire che l'eccezione venga restituita al chiamante.

Quando si esce da una sessione o quando si elabora una richiesta di pulizia WS-Federation disconnessione (wsignoutcleanup1.0), vengono generati gli eventi seguenti:

• SigningOut: generato poco prima dell'eliminazione della sessione per consentire di eseguire qualsiasi pulizia che potrebbe dipendere dalla sessione o annullare la disconnessa.

• SignedOut: generato subito dopo l'eliminazione della sessione.

• SignOutError: generato se si verifica un'eccezione durante la disconnessa. È possibile annullare la disconnessura e impedire che l'eccezione venga restituita al chiamante.

Esistono due modi per accedere a un servizio token di sicurezza tramite WSFAM. Il primo consiste nell'abilitare i reindirizzamenti passivi tramite la PassiveRedirectEnabled proprietà . In questo caso, quando l'autorizzazione non riesce in una risorsa richiesta, anziché restituire una 401:Access Denied risposta al client, WSFAM compila un messaggio di richiesta di accesso WS-Federation dalle relative proprietà e reindirizza il client al servizio token di sicurezza per recuperare un token di sicurezza. Il secondo modo consiste nel reindirizzare in modo esplicito il client al servizio token di sicurezza chiamando il SignIn metodo da una pagina Web o da un controllo personalizzato nell'applicazione. Il SignIn metodo usa anche le proprietà di WSFAM per costruire la richiesta di accesso.

È possibile usare uno dei metodi di SignOut overload per disconnettersi dalla sessione. In questo modo viene eliminato il cookie di sessione nel client. Non invia un messaggio di disconnesso WS-Federation ("wsignout1.0") al servizio token di sicurezza. Per disconnettersi dal servizio token di sicurezza, è necessario usare il FederatedSignOut metodo .

WSFAM gestisce WS-Federation richieste di pulizia di disconnessione ("wsignoutcleanup1.0"), eliminando la sessione con il client. Se il parametro wreply nel messaggio di pulizia di disconnesso non è impostato, WSFAM restituisce un'immagine di un segno di spunta verde al servizio token di sicurezza che ha inviato il messaggio. Questa funzionalità può essere usata da un servizio token di sicurezza come conferma del completamento della disconneszione da parte del provider di servizi.

WSFAM espone la relativa funzionalità, ad esempio la pipeline di elaborazione delle richieste, tramite diversi metodi specifici dell'attività. È possibile eseguire l'override di questi metodi nelle classi derivate per modificare il comportamento di WSFAM.

Per essere usato, il modulo deve essere aggiunto alla pipeline come nel codice XML seguente:

<configuration>
  <system.webServer>
    <modules>
      <add name="WsFederationAuthenticationModule" type="System.IdentityModel.Services.WSFederationAuthenticationModule, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089"/>
    </modules>
  </system.webServer>
</configuration>

Dopo la configurazione, genera eventi in varie fasi dell'elaborazione WSFederationAuthenticationModule di una richiesta HTTP. ASP.NET gli sviluppatori possono gestire questi eventi nel file global.asax.