身份验证和授权 有大用

本页内容

	准备工作
	设计身份验证和授权策略
	授权方法
	传递身份
	基于角色授权
	选择身份验证机制
	小结

准备工作

为分布式 Web 应用程序设计一种身份验证和授权策略是一项具有挑战性的任务。 令人欣慰的是，在应用程序开发的早期阶段，正确设计身份验证和授权将有助于降低许多安全方面的主要风险。

本章将帮助您为应用程序设计适当的授权策略，也将帮助您解答下列关键问题：

当您考虑授权时，也必须考虑身份验证。两个过程是同时进行的，这有两方面的原因：

 返回页首

设计身份验证和授权策略

以下步骤确定了帮助您为应用程序制定身份验证和授权策略的过程：

确定资源

确定应用程序需要向客户端公开的资源。典型资源包括：

还必须确定应用程序需要访问的系统资源。这些资源与向客户端公开的资源相反，是不公开的。 它们包括注册表、事件日志和配置文件。

选择授权策略

有两种基本的授权策略：

在绝大多数必须进行扩展的 .NET Web 应用程序中，基于角色授权方法是最好的选择。而某些规模较小的 Intranet 应用程序则从各种资源（如文件）中提取单个用户信息，当各个用户访问这些资源时，这些资源是通过 Windows ACL 加以保护的，因此更适合采用基于资源的授权方式。

在进行基于角色授权时，推荐使用和常见的做法是：

更多信息

选择用于资源访问的身份

请回答这样的问题：“谁将访问资源？”

选择用来在应用程序各个层进行资源访问的身份。这些资源可以由基于 Web 的应用程序来访问，还可以由 Web 服务、Enterprise Service 和 .NET 远程处理组件访问。一般来讲，用于资源访问的身份可以是以下几类：

考虑身份传递

为了支持每用户授权、审核和每用户数据检索，您可能需要在不同的应用程序层之间和不同计算机之间传递调用者身份。例如，如果某个后端资源管理器需要执行每用户授权，调用者身份就必须传递给该资源管理器。

您要根据系统的资源管理器授权要求和审核要求来确定需要在应用程序中传递的身份。

选择身份验证方式

影响身份验证方式选择有两个关键因素：第一，也是最重要的因此是，应用程序的用户群的特点（他们使用哪一类浏览器以及他们是否有 Windows 帐户）；第二是，应用程序的模拟／委派和审核要求。

更多信息

有关帮助您为应用程序选择身份验证机制的更多具体考虑事项，请参考本章后面的“选择身份验证机制”。

决定如何传递身份

您可以在应用程序级传递身份（以提供安全上下文），也可以在操作系统级传递身份和安全上下文。

要在应用程序级传递身份，请使用方法和存储过程参数。应用程序身份传递支持：

    SELECT x,y FROM SomeTable WHERE username="bob" 

操作系统身份传递支持：

为了在操作系统级传递身份，您可以使用模拟／委派模式。在有些环境下，可以使用 Kerberos 委派，而在其他环境下（多半是不支持 Kerberos 的环境），您可能需要使用其他方法，例如使用基本身份验证。在基本身份验证下，用户凭证可由服务器应用程序使用，还可以用于访问下游网络资源。

更多信息

有关身份传递以及如何用网络凭证获得模拟令牌（即支持委派）的更多信息，请参考本章后面的“传递身份”。

 返回页首

授权方法

有两种基本的授权方法：

基于角色授权

在基于角色（或操作）的安全方法中，对操作（而非后端资源）的访问是根据调用者的角色成员进行授权的。（在应用程序设计时分析和定义的）角色被用作逻辑容器，它们将在应用程序中共享相同安全特权（或功能）的用户组合起来。用户被映射到应用程序中的角色，而角色成员用来控制对由应用程序公开的特定操作（方法）的访问权。

在应用程序的什么位置映射角色是设计中需要考虑的一个关键因素；例如：

在多层 Web 应用程序中，使用受信任的身份访问后端资源管理器为应用程序提供更大的可扩展空间（这归功于连接池）。另外，使用受信任身份减少了在操作系统级传递原调用者安全上下文的需要，而这是很难以实现的（即使在某些情况下并非不可能实现）。

基于资源的授权

基于资源的授权方法依赖于 Windows ACL 和操作系统基本的访问控制机制。应用程序模拟调用者，将执行访问检查的任务留给与特定资源管理器（文件系统、数据库等）关联的操作系统。

这种方法最适合于这样的应用程序，即用它们来访问可通过 Windows ACL 单独保护的资源，如文件资源。FTP 应用程序或简单的数据驱动 Web 应用程序就属于这类应用程序。如果被请求资源中的数据需要从多个不同来源（例如，多个数据库、数据库表、外部应用程序或 Web 服务）获得并合并，则这种方法就力不从心了。

基于资源的方法也依赖于传递到应用程序后端资源管理器的原调用者安全上下文。这种方法配置复杂，并大大降低了多层应用程序增加受访的能力，因为使用这种方法，您就无法在应用程序中间层有效运用集合功能（例如，数据库连接集合）。

资源访问模式

通过研究 .NET Web 应用程序（以及一般情况下分布式多层应用程序）最常用的两种资源访问安全模式，我们可以看到两种截然不同的授权方法。它们是：

两种模式在安全和可扩展性方面都各有优缺点。以下部分将介绍这些模式。

受信任的子系统模式

在这种模式中，中间层服务使用固定身份访问下游服务和资源。原调用者安全上下文不在操作系统级通过服务传递，但应用程序可以选择在应用程序级传递原调用者身份。可能需要这样做才能支持后端审核要求，或者才能支持每用户数据访问和授权。

该模式的名称源自于下游服务（可能是个数据库）在授权调用者时信任上游服务。图 1 显示了此模式。请特别注意信任界限。在本示例中，数据库 信任 中间层可以授权调用者，并只允许经授权的调用者通过受信任的身份访问数据库。

在受信任的子系统模式中，资源的访问步骤如下：

固定身份

用于访问下游系统和资源管理器的固定身份通常由预配置的 Windows 帐户（也称为服务帐户）提供。在 Microsoft SQL Server 资源管理器中，这意味着对 SQL Server 使用 Windows 身份验证。

另外，有些应用程序使用指定的 SQL 帐户（由连接字符串中的用户名和密码指定）访问 SQL Server。在这种情况下，必须为数据库配置 SQL 身份验证。

有关与 SQL Server 通信时 Windows 和 SQL 身份验证的相对优缺点的更多信息，请参考“数据访问安全性”这一章。

使用多个受信任的身份

有些资源管理器可能需要根据调用者的角色成员，执行更进一步细分的授权。例如，您可能有两组用户，一组应该授权可执行读／写操作，而另一组应该授权执行只读操作。

请看下面的 SQL Server 方法：

这种方法如图 2 所示。

图 2. 使用多个身份访问数据库以支持更细分的授权

模拟／委派模式

在这种模式下，服务或组件在客户端访问下一个下游服务之前（通常在逻辑业务服务层中的某处）（使用操作系统级模拟）模拟客户端的身份。如果下一个服务位于同一台计算机，则模拟就足够了。如果下游服务位于一台远程计算机，则还需要委派。

委派的结果是，用于下游资源访问的安全上下文是该客户端的安全上下文。使用此模式通常有两个原因：

作为这种技术的一个具体示例，中间层 Enterprise Services 组件可以在调用者访问一个数据库之前对其进行模拟。使用依赖于原调用者安全上下文的数据库连接访问数据库。在此模式下，数据库对每个调用者进行身份验证，并根据指派给各个调用者的身份（或该调用者的 Windows 组成员）的权限做出授权决定。模拟／委派模式如图 3 所示。

图 3. 模拟／委派模式

选择资源访问模式

受信任的子系统模式用于绝大多数 Internet 应用程序和大规模的 Intranet 应用程序，这主要是出于可扩展性因素考虑。而模拟模式则往往用于可扩展性不是主要问题的小规模应用程序和那些审核（由于非拒绝原因）是关键问题的应用程序。

模拟／委派模式的优点

模拟／委派模式的主要优点是审核（与数据接近）。审核可以让管理员跟踪试图访问特定资源的用户。通常，如果审核是在资源访问的准确时间、由访问资源的相同例程生成，则认为审核最具权威性。

模拟／委派模式是通过维护用于下游资源访问的用户安全上下文来支持这一点的。这样可以使后端系统权威地记录用户和所请求的访问。

模拟／委派模式的缺点

模拟／委派模式的相关缺点包括：

受信任的子系统模式的优点

受信任的子系统模式具有以下优点：

受信任的子系统模式的缺点

受信任的子系统模式有两个缺点：

 返回页首

传递身份

分布式应用程序可以分成多个安全子系统。例如，前端 Web 应用程序、中间层 Web 服务、远程组件和数据库代表四个不同的安全子系统。每一个都执行身份验证和授权。

您必须识别出那些必须将调用者身份（和相关的安全上下文）传递到下游子系统的子系统，这样才能支持针对原调用者的授权。

应用程序与操作系统身份传递对比

身份传递策略包括使用操作系统的委派功能或在应用程序级传递票证和／或凭证。例如：

SELECT CreditLimit From Table Where UserName="Bob" 

模拟和委派

在典型情况下，服务器应用程序中的线程使用服务器进程的安全上下文运行。组成进程安全上下文的属性由进程的登录会话维护，并由进程级 Windows 访问令牌公开。所有本地和远程资源访问都通过进程级安全上下文执行，而该安全上下文则由用于运行服务器进程的 Windows 帐户确定。

模拟

为服务器应用程序配置了模拟后，模拟令牌就会附加到用于处理请求的线程上。模拟令牌代表通过身份验证的调用者（或匿名用户）的安全上下文。任何本地资源访问都是通过导致使用调用者安全上下文的线程模拟令牌执行的。

委派

如果服务器应用程序线程试图访问远程资源，则需要委派。具体地讲，被模拟的调用者的令牌必须具有网络凭证。如果没有，所有的远程资源访问都是以匿名用户 (AUTHORITY/A否NYMOUS LOGON) 执行的。

有许多因素可以决定是否可以委派安全上下文。表 1 显示了各种 IIS 身份验证类型，并对每种类型注明是否可以委派通过身份验证的调用者的安全上下文。

重要： Windows 2000 下的Kerberos 委派是不受限制的。换句话说，用户或许可以在多台远程计算机之间制造多个网络跃点。为了消除这种潜在的安全风险，应该限制域帐户的访问范围，方法是从“域用户”组中删除此帐户，并只允许使用此帐户登录到特定的计算机。

 返回页首

基于角色授权

大部分 .NET Web 应用程序都使用基于角色的授权方法。您需要考虑各种角色类型，选择最适合您的应用程序方案的方法。您有以下选项：

.NET 角色

.NET 角色非常灵活，它围绕 IPrincipal 对象展开，这些对象包含通过身份验证的身份所属的角色列表。.NET 角色可以用于 Web 应用程序、Web 服务，或驻留在 ASP.NET （用 HttpChannel 访问）中的远程组件。

授权可以通过 .NET 角色以两种方式进行：一种以声明方式用 PrincipalPermission 命令，一种以编程方式，在代码中用强制的 PrincipalPermission 命令或 IPrincipal.IsInRole 方法。

Windows 身份验证中的 .NET 角色

如果您的应用程序使用 Windows 身份验证，则 ASP.NET 会自动构建一个 WindowsPrincipal，并将其附加到当前 Web 请求的上下文（使用 HttpContext.User）。身份验证过程完成，并且 ASP.NET 将对象附加到当前请求后，它就可用于所有后续的基于 .NET 角色的授权了。

通过身份验证的调用者的 Windows 组成员用于确定角色集。在 Windows 身份验证下，.NET 角色与 Windows 组相同。

非 Windows 身份验证中的 .NET 角色

如果您的应用程序使用非 Windows 身份验证机制（例如表单或 Passport），那么您必须编写代码来创建 GenericPrincipal 对象（或自定义 IPrincipal 对象），并用从自定义身份验证数据存储（如 SQL Server 数据库）中获得的角色集填充它。

自定义 IPrincipal 对象

基于 .NET 角色的安全机制是可扩展的。您可以开发实现 IPrincipal 和 IIdentity 的自有类，并提供您自己的基于角色的扩展授权功能。

只要自定义 IPrincipal 对象（包含从自定义数据存储中获得的角色）（通过 HttpContext.User）附加到当前请求的上下文，就保证了基本角色的检查功能。

通过实现 IPrincipal 接口，可以确保声明和命令形式的PrincipalPermission 命令都适用于您的自定义身份。另外，您可以实现扩展的角色语义；例如，提供允许您测试和断言多个角色的成员身份的其他方法，比如 IsInMultipleRoles( string [] roles )。

更多信息

Enterprise Services (COM+) 角色

使用 Enterprise Services (COM+) 角色可以将访问检查交给中间层，并允许您在连接到后端数据库时使用数据库连接池。然而，对于有意义的基于 Enterprise Services (COM+) 角色的授权，前端 Web 应用程序必须模拟原调用者的身份，并（通过 Windows 访问令牌）使将其传递到 Enterprise Services 应用程序。为此，必须在 Web 应用程序的 Web.config 文件中放入以下各项。

<authentication mode="Windows" /> 
<identity impersonate="true" /> 

如果使用方法级的说明性检查（以确定哪些用户可以调用哪些方法）就足够的话，则可以使用“组件服务”管理工具部署应用程序和更新角色成员。

如果需要用方法代码以编程方式进行检查，您将会失去 Enterprise Services (COM+) 角色的一些管理和部署优点，因为角色逻辑是硬编码的。

SQL Server 用户定义的数据库角色

在这种方法中，您在数据库中创建角色，根据角色指派权限，并将 Windows 组和用户帐户映射到角色。这种方法要求您将调用者身份传递到后端（如果您对 SQL Server 使用首选的 Windows 身份验证）。

SQL Server 应用程序角色

在这种方法中，将权限授予数据库中的角色，但 SQL Server 应用程序角色不包含用户和组帐户。因此，您就会失去原调用者的粒度。

在应用程序角色中，您被授权访问特定的应用程序（与一组用户相对）。此应用程序使用接受角色名和密码的内置存储过程激活角色。这种方法的一个主要缺点是它要求应用程序安全地管理凭证（角色名和相关的密码）。

更多信息

有关 SQL Server 用户定义的数据库角色和应用程序角色的更多信息，请参考“数据访问安全性”一章。

.NET 角色与 Enterprise Services (COM+) 角色的对比

以下表格列出 .NET 角色和 Enterprise Services (COM+) 角色的功能对比。

使用 .NET 角色

可以使用 .NET 角色保护以下各项的安全：

可以使用 .NET 角色保护操作（由方法和属性执行）和特定代码块的事实，意味着您可以保护对应用程序所访问的本地和远程资源的访问。

注 前面列表中的前四项（文件、文件夹、Web 页面和 Web 服务）是通过 UrlAuthorizationModule 保护的，它可以使用调用者的角色成员（和调用者的身份）做出授权决定。

如果您使用 Windows 身份验证，则系统会为您完成使用 .NET 角色所需的大部分工作。ASP.NET 会构建 WindowsPrincipal 对象，并由用户的 Windows 组成员确定相关的角色集。

要在非 Windows 身份验证机制中使用 .NET 角色，必须编写代码执行以下操作：

更多信息

有关为表单身份验证创建 GenericPrincipal 对象所涉及过程的更多信息，请参考“ASP.NET 安全性”一章。

检查角色成员

可使用以下类型的 .NET 角色检查：

重要：.NET 角色检查依赖于 IPrincipal 对象（表示通过身份验证的用户）是否与当前请求关联。对于 ASP.NET Web 应用程序，IPrincipal 对象必须附加到 HttpContext.User。对于 Windows 窗体应用程序，IPrincipal 对象必须附加到 Thread.CurrentPrincipal。

角色检查示例

以下代码片段显示了一些使用编程、声明性和命令性方法的角色检查示例。

授权 Bob 执行操作：

注 尽管可以授权个别用户，但通常应该基于角色成员身份进行授权，这使您可以授权在应用程序中共享相同特权的用户组。

    GenericIdentity userIdentity = new GenericIdentity("Bob"); 
    if (userIdentity.Name=="Bob") 
    { 
    } 

    [PrincipalPermissionAttribute(SecurityAction.Demand, User="Bob")] 
    public void DoPrivilegedMethod() 
    { 
    } 

    PrincipalPermission permCheckUser = new PrincipalPermission( 
                                                   "Bob", null); 
    permCheckUser.Demand(); 

授权出纳员执行操作：

    GenericIdentity userIdentity = new GenericIdentity("Bob"); 
    // Role names would be retrieved from a custom data store 
    string[] roles = new String[]{"Manager", "Teller"}; 
    GenericPrincipal userPrincipal = new GenericPrincipal(userIdentity,  
                                                          roles); 
    if (userPrincipal.IsInRole("Teller")) 
    { 
    } 

    [PrincipalPermissionAttribute(SecurityAction.Demand, Role="Teller")] 
    void SomeTellerOnlyMethod() 
    { 
    } 

    public SomeMethod() 
    { 
      PrincipalPermission permCheck = new PrincipalPermission( 
                                                   null,"Teller"); 
      permCheck.Demand(); 
      // Only Tellers can execute the following code 
      // •ñn members of the Teller role result in a security exception 
      . . . 
    } 

授权经理或出纳员执行操作：

    if (Thread.CurrentPrincipal.IsInRole("Teller") || 
        Thread.CurrentPrincipal.IsInRole("Manager")) 
    { 
      // Perform privileged operations 
    } 

    [PrincipalPermissionAttribute(SecurityAction.Demand, Role="Teller"), 
     PrincipalPermissionAttribute(SecurityAction.Demand, Role="Manager")] 
    public void DoPrivilegedMethod() 
    { 
    } 

    PrincipalPermission permCheckTellers = new PrincipalPermission(  
                                                       null,"Teller"); 
    PrincipalPermission permCheckManagers = new PrincipalPermission( 
                                                       null,"Manager"); 
   (permCheckTellers.Union(permCheckManagers)).Demand(); 

授权那些既是经理又是出纳员的用户执行操作：

    if (Thread.CurrentPrincipal.IsInRole("Teller") && 
        Thread.CurrentPrincipal.IsInRole("Manager")) 
    { 
      // Perform privileged operation 
    } 

    PrincipalPermission permCheckTellers = new PrincipalPermission( 
                                                     null,"Teller"); 
    permCheckTellers.Demand();   
    PrincipalPermission permCheckManagers = new PrincipalPermission( 
                                                     null, "Manager"); 
    permCheckManagers.Demand(); 

 返回页首

选择身份验证机制

本部分提供指导信息，旨在帮助您选择常见应用程序方案的身份验证机制。您应该考虑从以下问题着手：

Internet 方案

Internet 方案的基本假定条件是：

图 4 显示了一个为 Internet 方案选择身份验证机制的决策树。

图 4. 为 Internet 应用程序选择身份验证机制

有关 Web 服务安全和 WS 安全规范（全球 XML 体系结构 (GXA) 倡议的一部分）的更多信息，请参考“Web Services Security”一章。

表单/ Passport 比较

这一部分总结表单和 Passport 身份验证的相对优点。

表单身份验证的优点

Passport 身份验证的优点

更多信息

Intranet / Extranet 方案

图 5 显示了一个可用于帮助为 Intranet 和 Extranet 应用方案选择一种身份验证机制的决策树。

图 5. 为 Intranet 和 Extranet 应用程序选择一种身份验证机制

身份验证机制比较

以下表格显示可用的身份验证机制的比较。

* 有关详细内容，请参考本章前面的“传递身份”部分中的“委派”主题。

 返回页首

小结

设计分布式应用程序的身份验证和授权方法是一项具有挑战性的任务。在应用程序开发的早期阶段，正确设计身份验证和授权有助于减少许多主要的安全风险。以下总结本章中的信息：