WSFederationAuthenticationModule Classe

Definição

public ref class WSFederationAuthenticationModule : System::IdentityModel::Services::HttpModuleBase

public class WSFederationAuthenticationModule : System.IdentityModel.Services.HttpModuleBase

type WSFederationAuthenticationModule = class
    inherit HttpModuleBase

Public Class WSFederationAuthenticationModule
Inherits HttpModuleBase

Herança

Object

HttpModuleBase

WSFederationAuthenticationModule

Exemplos

void Application_Start(object sender, EventArgs e)
{
    // Code that runs on application startup

    //SUBSCRIBE TO WSFAM EVENTS
    FederatedAuthentication.WSFederationAuthenticationModule.AuthorizationFailed += new EventHandler<AuthorizationFailedEventArgs>(WSFederationAuthenticationModule_AuthorizationFailed);
    FederatedAuthentication.WSFederationAuthenticationModule.RedirectingToIdentityProvider += new EventHandler<RedirectingToIdentityProviderEventArgs>(WSFederationAuthenticationModule_RedirectingToIdentityProvider);
    FederatedAuthentication.WSFederationAuthenticationModule.SecurityTokenReceived += new EventHandler<SecurityTokenReceivedEventArgs>(WSFederationAuthenticationModule_SecurityTokenReceived);
    FederatedAuthentication.WSFederationAuthenticationModule.SecurityTokenValidated += new EventHandler<SecurityTokenValidatedEventArgs>(WSFederationAuthenticationModule_SecurityTokenValidated);
    FederatedAuthentication.WSFederationAuthenticationModule.SessionSecurityTokenCreated += new EventHandler<SessionSecurityTokenCreatedEventArgs>(WSFederationAuthenticationModule_SessionSecurityTokenCreated);
    FederatedAuthentication.WSFederationAuthenticationModule.SignedIn += new EventHandler(WSFederationAuthenticationModule_SignedIn);
}

void WSFederationAuthenticationModule_SignedIn(object sender, EventArgs e)
{
    //Anything that's needed right after succesful session and before hitting the application code goes here
    System.Diagnostics.Trace.WriteLine("Handling SignIn event");
}

void WSFederationAuthenticationModule_SessionSecurityTokenCreated(object sender, SessionSecurityTokenCreatedEventArgs e)
{
    //Manipulate session token here, for example, changing its expiration value
    System.Diagnostics.Trace.WriteLine("Handling SessionSecurityTokenCreated event");
    System.Diagnostics.Trace.WriteLine("Key valid from: " + e.SessionToken.KeyEffectiveTime);
    System.Diagnostics.Trace.WriteLine("Key expires on: " + e.SessionToken.KeyExpirationTime);
}

void WSFederationAuthenticationModule_SecurityTokenValidated(object sender, SecurityTokenValidatedEventArgs e)
{
    //All vlidation SecurityTokenHandler checks are successful
    System.Diagnostics.Trace.WriteLine("Handling SecurityTokenValidated event");
}

void WSFederationAuthenticationModule_SecurityTokenReceived(object sender, SecurityTokenReceivedEventArgs e)
{
    //Augment token validation with your cusotm validation checks without invalidating the token.
    System.Diagnostics.Trace.WriteLine("Handling SecurityTokenReceived event");
}

void WSFederationAuthenticationModule_AuthorizationFailed(object sender, AuthorizationFailedEventArgs e)
{
    //Use this event to report more details regarding the ahorization failure
    System.Diagnostics.Trace.WriteLine("Handling AuthorizationFailed event");
}

void WSFederationAuthenticationModule_RedirectingToIdentityProvider(object sender, RedirectingToIdentityProviderEventArgs e)
{
    //Use this event to programmatically modify the sign-in message to the STS.
    System.Diagnostics.Trace.WriteLine("Handling RedirectingToIdentityProvider event");
}

Comentários

A WSFederationAuthenticationModule classe implementa um módulo HTTP conhecido como WSFAM (Módulo de Autenticação do WS-Federation). O WSFAM é implementado pronto para uso pelo WINDOWS Identity Foundation (WIF). O WSFAM é adicionado ao pipeline de ASP.NET fazendo uma entrada no arquivo web.config. Ele deriva de HttpModuleBase, que implementa IHttpModule. Ele se registra com o runtime do ASP.NET para escutar os EndRequest eventos e AuthenticateRequest . Ouvindo o EndRequest evento, permite que o WSFAM redirecione clientes para um STS (serviço de token de segurança) para obter um token de segurança quando a autorização falhar em um recurso solicitado. Ouvir o AuthenticateRequest evento permite que o WSFAM monitore solicitações HTTP para uma resposta do STS que contém o token solicitado. Quando esse token está presente e válido, ele cria uma instância do ClaimsPrincipal para o usuário autenticado usando as declarações presentes no token.

Ao usar o WSFAM, o gerenciamento de sessão é fornecido por um SAM (módulo de autenticação de sessão), que é uma instância da SessionAuthenticationModule classe ou uma classe derivada dela. O SAM também é adicionado ao pipeline ASP.NET no arquivo de configuração. O SAM monitora solicitações de cookies de autenticação (sessão). Quando esses cookies estão presentes e válidos, o módulo extrai o ClaimsPrincipal para o usuário autenticado do SessionSecurityToken e define a HttpContext.User propriedade e as propriedades da entidade Thread.CurrentPrincipal de thread.

O WSFAM fornece:

• A capacidade de um aplicativo ASP.NET de terceirizar a autenticação para um STS (serviço de token de segurança) usando o protocolo WS-Federation. A identidade pode ser federada em um ou mais realms de identidade e envolver várias STSs.

• Identidade baseada em declarações para aplicativos ASP.NET. Durante a autenticação, o WSFAM cria uma entidade de segurança das declarações no token de segurança enviado pelo STS e define essa entidade de segurança de declarações como a entidade de segurança do thread. Em seguida, você pode usar essa entidade de segurança para tomar mais decisões de autorização, apresentação e lógica sobre o usuário que ele representa em seu código.

O WSFAM expõe várias propriedades que fornecem parâmetros de mensagem padrão a serem usados em WS-Federation solicitações de entrada e saída. Normalmente, essas propriedades são inicializadas do <elemento wsFederation> em um arquivo de configuração. As propriedades mais importantes são:

• A Issuer propriedade , que especifica o endereço do STS (serviço de token de segurança) para o qual enviar WS-Federation solicitações de entrada e saída.

• A Realm propriedade , que especifica o parâmetro wtrealm a ser usado em WS-Federation solicitações de entrada. O parâmetro wtrealm identifica o realm de segurança do aplicativo rp (terceira parte confiável) para o STS.

Os parâmetros de mensagem de entrada também podem ser alterados por solicitação, fornecendo um delegado manipulador de eventos para o RedirectingToIdentityProvider evento.

Duas propriedades controlam o comportamento do módulo. Essas duas propriedades também normalmente são inicializadas do <wsFederation> elemento na configuração.

• A PassiveRedirectEnabled propriedade especifica se o módulo deve executar redirecionamentos passivos para o STS para autenticação.

• A PersistentCookiesOnPassiveRedirects propriedade especifica se as sessões devem ser persistentes. Se essa propriedade for definida como true, o SAM será usado para gravar um cookie de sessão no cliente. Em solicitações subsequentes do cliente, o SAM fornece autenticação usando o token persistido no cookie de sessão.

O WSFAM gera vários eventos durante a entrada e saída, que permitem que ASP.NET desenvolvedores alterem o comportamento padrão do módulo e controlem os detalhes de como o processamento de autenticação e declarações ocorre.

Os seguintes eventos são gerados antes que a solicitação de entrada WS-Federation seja enviada ao STS:

• AuthorizationFailed: gerado quando o redirecionamento passivo está habilitado e a autorização falha em um recurso solicitado.

• RedirectingToIdentityProvider: gerado pouco antes de o WSFAM enviar a solicitação de entrada WS-Federation para o STS. Você pode usar esse evento para alterar os parâmetros na solicitação de entrada.

Os seguintes eventos são gerados quando uma resposta de entrada (token de segurança emitido) é recebida do STS:

• SecurityTokenReceived: gerado logo após o token de segurança enviado pelo STS ser lido da resposta.

• SecurityTokenValidated: gerado logo após a validação do token. Você pode usar esse evento para filtrar, transformar ou adicionar declarações à entidade de segurança de declarações (ClaimsPrincipal) criada a partir do token de segurança.

• SessionSecurityTokenCreated: gerado pouco antes do token de sessão (SessionSecurityToken) criado a partir da entidade de segurança de declarações ser usado para definir a entidade de thread e o usuário atual e é gravado no cookie de sessão. Oferece a oportunidade de modificar o token de sessão ou habilitar ou desabilitar a gravação do cookie de sessão.

• SignedIn: gerado no final da autenticação logo após a entidade de thread e o usuário atual terem sido definidos.

• SignInError: gerado se ocorrer uma exceção durante a entrada. Você pode cancelar a solicitação e impedir que a exceção seja retornada ao chamador.

Ao sair de uma sessão ou ao processar um WS-Federation solicitação de limpo de saída (wsignoutcleanup1.0), os seguintes eventos são gerados:

• SigningOut: gerado pouco antes da sessão ser excluída para permitir que você execute qualquer limpeza que possa depender da sessão ou cancelar a saída.

• SignedOut: gerado logo após a exclusão da sessão.

• SignOutError: gerado se ocorrer uma exceção durante a saída. Você pode cancelar a saída e impedir que a exceção seja retornada ao chamador.

Há duas maneiras de entrar em um STS usando o WSFAM. A primeira é habilitando redirecionamentos passivos por meio da PassiveRedirectEnabled propriedade . Nesse caso, quando a autorização falha em um recurso solicitado, em vez de retornar uma 401:Access Denied resposta ao cliente, o WSFAM cria uma mensagem de solicitação de entrada WS-Federation de suas propriedades e redireciona o cliente para o STS para recuperar um token de segurança. A segunda maneira é redirecionar explicitamente o cliente para o STS chamando o SignIn método de uma página da Web ou controle personalizado em seu aplicativo. O SignIn método também usa as propriedades do WSFAM para construir a solicitação de entrada.

Qualquer um dos métodos sobrecarregados SignOut pode ser usado para sair da sessão. Isso exclui o cookie de sessão no cliente. Ele não envia uma mensagem de saída WS-Federation ("wsignout1.0") para o STS. Para sair no STS, você deve usar o FederatedSignOut método .

O WSFAM manipula WS-Federation solicitações de limpo de saída ("wsignoutcleanup1.0"), excluindo sua sessão com o cliente. Se o parâmetro wreply na mensagem de limpo de saída não estiver definido, o WSFAM retornará uma imagem de uma marca de marcar verde para o STS que enviou a mensagem. Esse recurso pode ser usado por um STS como uma confirmação de que o RP concluiu sua saída.

O WSFAM expõe sua funcionalidade – por exemplo, seu pipeline de processamento de solicitação – por meio de vários métodos específicos da tarefa. Você pode substituir esses métodos em classes derivadas para alterar o comportamento do WSFAM.

Para ser usado, o módulo deve ser adicionado ao pipeline como no seguinte XML:

<configuration>
  <system.webServer>
    <modules>
      <add name="WsFederationAuthenticationModule" type="System.IdentityModel.Services.WSFederationAuthenticationModule, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089"/>
    </modules>
  </system.webServer>
</configuration>

Depois de configurado, o WSFederationAuthenticationModule gera eventos em vários estágios de processamento de uma solicitação HTTP. ASP.NET desenvolvedores podem lidar com esses eventos no arquivo global.asax.

Construtores

Propriedades

Métodos

Eventos

Aplica-se a