ASP.NETMVCと混合モード認証
Windows認証またはフォーム認証のいずれかを使用してASP.NETMVCWebアプリケーションに対してユーザーが認証できるようにする必要があるシナリオがあります。ユーザーが内部ネットワークにいる場合はWindows認証を使用し、外部に接続している場合はフォーム認証を使用します。このためにASP.NETMVC Webアプリケーションを構成するにはどうすればよいかという質問をする人がかなりいますが、完全な説明は見つかりませんでした。
誰かがこれがどのように行われるかについて、コード例とともに詳細な説明を提供できますか？
ありがとう。
アランT
これは 混合認証モード と呼ばれます。基本的に、singleアプリケーション内ではこれを実現できません。これは、IISで仮想ディレクトリのWindows認証を設定すると、は異なるドメインからのユーザーを受け入れなくなります。したがって、基本的に2つのアプリケーションが必要です。1つ目はWindows認証を使用し、2つ目（メインアプリケーション）はフォーム認証を使用します。最初のアプリケーションは単一のアドレスで構成され、単純ににリダイレクトされます。ドメインユーザーの認証チケットを発行することによるメインアプリケーション。
これは行うことができます。構成を逆にして、匿名認証とフォーム認証を使用するようにapp/rootを設定します...このように、同じWebアプリケーション内で混合認証を構成できますが、注意が必要です。したがって、最初に、loginUrl = "〜/ WinLogin /WinLogin2.aspx"を使用してフォーム認証用にアプリを構成します。 MVCでは、ルーティングはIISによって設定された認証ルールを上書きするため、aspxページを使用する必要があります。IISはファイルに認証を設定できます。ルートWebアプリケーションで匿名認証とフォーム認証を有効にします。Windowsを有効にします） root/WinLoginディレクトリで認証を行い、匿名認証を無効にします。カスタム401および401.2エラーページを追加して、アカウント/サインインURLにリダイレクトします。
これにより、パススルーが可能なすべてのブラウザーで、Windows統合認証を使用して自動サインインできるようになります。一部のデバイス（iPhoneなど）やブラックベリーなどの他のデバイスはサインインページにリダイレクトされます。
これにより、ユーザーの役割を明示的に追加するCookieも作成され、役割ベースの承認を使用できるように汎用原則が作成されます。
winLogin2.aspx内（IISの「root」Webアプリケーションの下のWinLoginディレクトリ内で、Windows認証を使用するように構成され、匿名が無効になり、フォームが有効になります（オフにできないため...注IIS = Windows認証を有効にすると文句を言いますが、無視してください）：
var logonUser = Request.ServerVariables["LOGON_USER"];
if (!String.IsNullOrWhiteSpace(logonUser))
{
if (logonUser.Split('\\').Length > 1)
{
var domain = logonUser.Split('\\')[0];
var username = logonUser.Split('\\')[1];
var timeout = 30;
var encTicket = CreateTicketWithSecurityGroups(false, username, domain, timeout);
var authCookie = new HttpCookie(".MVCAUTH", encTicket) { HttpOnly = true };
Response.Cookies.Add(authCookie);
}
//else
//{
// this is a redirect due to returnUrl being WinLogin page, in which logonUser will no longer have domain attached
// ignore as forms ticket should already exist
//}
string returnUrl = Request.QueryString["ReturnUrl"];
if (returnUrl.IsEmpty())
{
Response.Redirect("~/");
}
else
{
Response.Redirect(returnUrl);
}
}
public static string CreateTicketWithSecurityGroups(bool rememberMe, string username, string domain, int timeout)
{
using (var context = new PrincipalContext(ContextType.Domain, domain))
{
using (var principal = UserPrincipal.FindByIdentity(context, IdentityType.SamAccountName, username))
{
var securityGroups = String.Join(";", principal.GetAuthorizationGroups());
var ticket =
new FormsAuthenticationTicket(1,
username,
DateTime.UtcNow,
DateTime.UtcNow.AddMinutes(timeout),
rememberMe,
securityGroups,
"/");
string encTicket = FormsAuthentication.Encrypt(ticket);
return encTicket;
}
}
}
IIS 7.5で、[エラーページ]をクリックし、401ページをRedirect401.htmファイルのファイルパスに設定します。次のコードを使用します。
<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<title></title>
<script>
window.location.assign('../Account/Signin');
</script>
</head>
<body>
</body>
</html>
AccountControllerで...
public ActionResult SignIn()
{
return View(new SignInModel());
}
//
// POST: /Account/SignIn
[HttpPost]
public ActionResult SignIn(SignInModel model, string returnUrl)
{
if (ModelState.IsValid)
{
if (Membership.ValidateUser(model.UserName, model.Password))
{
string encTicket = CreateTicketWithSecurityGroups(model.RememberMe, model.UserName, model.Domain, FormsAuthentication.Timeout.Minutes);
Response.Cookies.Add(new HttpCookie(".MVCAUTH", encTicket));
//var returnUrl = "";
for (var i = 0; i < Request.Cookies.Count; i++)
{
HttpCookie cookie = Request.Cookies[i];
if (cookie.Name == ".MVCRETURNURL")
{
returnUrl = cookie.Value;
break;
}
}
if (returnUrl.IsEmpty())
{
return Redirect("~/");
}
return Redirect(returnUrl);
}
ModelState.AddModelError("Log In Failure", "The username/password combination is invalid");
}
return View(model);
}
//
// GET: /Account/SignOut
public ActionResult SignOut()
{
FormsAuthentication.SignOut();
if (Request.Cookies[".MVCRETURNURL"] != null)
{
var returnUrlCookie = new HttpCookie(".MVCRETURNURL") { Expires = DateTime.Now.AddDays(-1d) };
Response.Cookies.Add(returnUrlCookie);
}
// Redirect back to sign in page so user can
// sign in with different credentials
return RedirectToAction("SignIn", "Account");
}
Global.asaxの場合：
protected void Application_BeginRequest(object sender, EventArgs e)
{
try
{
bool cookieFound = false;
HttpCookie authCookie = null;
for (int i = 0; i < Request.Cookies.Count; i++)
{
HttpCookie cookie = Request.Cookies[i];
if (cookie.Name == ".MVCAUTH")
{
cookieFound = true;
authCookie = cookie;
break;
}
}
if (cookieFound)
{
// Extract the roles from the cookie, and assign to our current principal, which is attached to the HttpContext.
FormsAuthenticationTicket ticket = FormsAuthentication.Decrypt(authCookie.Value);
HttpContext.Current.User = new GenericPrincipal(new FormsIdentity(ticket), ticket.UserData.Split(';'));
}
}
catch (Exception ex)
{
throw;
}
}
protected void Application_AuthenticateRequest()
{
var returnUrl = Request.QueryString["ReturnUrl"];
if (!Request.IsAuthenticated && !String.IsNullOrWhiteSpace(returnUrl))
{
var returnUrlCookie = new HttpCookie(".MVCRETURNURL", returnUrl) {HttpOnly = true};
Response.Cookies.Add(returnUrlCookie);
}
}
web.config
<system.web>
<!--<authorization>
<deny users="?"/>
</authorization>-->
<authentication mode="Forms">
<forms name=".MVCAUTH" loginUrl="~/WinLogin/WinLogin2.aspx" timeout="30" enableCrossAppRedirects="true"/>
</authentication>
<membership defaultProvider="AspNetActiveDirectoryMembershipProvider">
<providers>
<add
name="AspNetActiveDirectoryMembershipProvider"
type="System.Web.Security.ActiveDirectoryMembershipProvider, System.Web, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a"
connectionStringName="ADService" connectionProtection="Secure" enablePasswordReset="false" enableSearchMethods="true" requiresQuestionAndAnswer="true"
applicationName="/" description="Default AD connection" requiresUniqueEmail="false" clientSearchTimeout="30" serverSearchTimeout="30"
attributeMapPasswordQuestion="department" attributeMapPasswordAnswer="division" attributeMapEmail="mail" attributeMapUsername="sAMAccountName"
maxInvalidPasswordAttempts="5" passwordAttemptWindow="10" passwordAnswerAttemptLockoutDuration="30" minRequiredPasswordLength="7"
minRequiredNonalphanumericCharacters="1" />
</providers>
</membership>
<machineKey decryptionKey="..." validationKey="..." />
</system.web>
<connectionStrings>
<add name="ADService" connectionString="LDAP://SERVER:389"/>
</connectionStrings>
クレジットの支払い先 http://msdn.Microsoft.com/en-us/library/ms972958.aspx
これはおそらくこの質問の一番下にあり、決して見つかりませんが、私はで説明されていることを実装することができました
それは非常に簡単で些細なことでした。複数のアプリケーションやCookieのハッキングは必要ありませんでした。FormsAuthModuleを拡張し、web.configを変更するだけです。
私はこれが古い投稿であることを知っています-しかし、すべてがインターネット上で永遠に生きています！
とにかく、私は古いウェブサイトをIIS6からIIS8に移動しなければなりませんでした。これはWebFormsWebサイトですが、この非常に単純なソリューションは同じだと思います。
「System.Security.Principal.WindowsIdentity」タイプのオブジェクトを「System.Web.Security.FormsIdentity」タイプにキャストできませんというエラーが表示されました。
私がしたのは、Webサイト用の新しいアプリケーションプールを作成することだけでした。これを作成するときに、マネージパイプラインモードを「クラシック」に設定しました。 （詳細はこちら- http://www.hanselman.com/blog/MovingOldAppsFromIIS6ToIIS8AndWhyClassicModeExists.aspx ）Webサイトのアプリケーションプールを作成したばかりの新しいプールに設定することを忘れないでください。