WSFederationAuthenticationModule Klasse

Definition

public ref class WSFederationAuthenticationModule : System::IdentityModel::Services::HttpModuleBase

public class WSFederationAuthenticationModule : System.IdentityModel.Services.HttpModuleBase

type WSFederationAuthenticationModule = class
    inherit HttpModuleBase

Public Class WSFederationAuthenticationModule
Inherits HttpModuleBase

Vererbung

Object

HttpModuleBase

WSFederationAuthenticationModule

Beispiele

void Application_Start(object sender, EventArgs e)
{
    // Code that runs on application startup

    //SUBSCRIBE TO WSFAM EVENTS
    FederatedAuthentication.WSFederationAuthenticationModule.AuthorizationFailed += new EventHandler<AuthorizationFailedEventArgs>(WSFederationAuthenticationModule_AuthorizationFailed);
    FederatedAuthentication.WSFederationAuthenticationModule.RedirectingToIdentityProvider += new EventHandler<RedirectingToIdentityProviderEventArgs>(WSFederationAuthenticationModule_RedirectingToIdentityProvider);
    FederatedAuthentication.WSFederationAuthenticationModule.SecurityTokenReceived += new EventHandler<SecurityTokenReceivedEventArgs>(WSFederationAuthenticationModule_SecurityTokenReceived);
    FederatedAuthentication.WSFederationAuthenticationModule.SecurityTokenValidated += new EventHandler<SecurityTokenValidatedEventArgs>(WSFederationAuthenticationModule_SecurityTokenValidated);
    FederatedAuthentication.WSFederationAuthenticationModule.SessionSecurityTokenCreated += new EventHandler<SessionSecurityTokenCreatedEventArgs>(WSFederationAuthenticationModule_SessionSecurityTokenCreated);
    FederatedAuthentication.WSFederationAuthenticationModule.SignedIn += new EventHandler(WSFederationAuthenticationModule_SignedIn);
}

void WSFederationAuthenticationModule_SignedIn(object sender, EventArgs e)
{
    //Anything that's needed right after succesful session and before hitting the application code goes here
    System.Diagnostics.Trace.WriteLine("Handling SignIn event");
}

void WSFederationAuthenticationModule_SessionSecurityTokenCreated(object sender, SessionSecurityTokenCreatedEventArgs e)
{
    //Manipulate session token here, for example, changing its expiration value
    System.Diagnostics.Trace.WriteLine("Handling SessionSecurityTokenCreated event");
    System.Diagnostics.Trace.WriteLine("Key valid from: " + e.SessionToken.KeyEffectiveTime);
    System.Diagnostics.Trace.WriteLine("Key expires on: " + e.SessionToken.KeyExpirationTime);
}

void WSFederationAuthenticationModule_SecurityTokenValidated(object sender, SecurityTokenValidatedEventArgs e)
{
    //All vlidation SecurityTokenHandler checks are successful
    System.Diagnostics.Trace.WriteLine("Handling SecurityTokenValidated event");
}

void WSFederationAuthenticationModule_SecurityTokenReceived(object sender, SecurityTokenReceivedEventArgs e)
{
    //Augment token validation with your cusotm validation checks without invalidating the token.
    System.Diagnostics.Trace.WriteLine("Handling SecurityTokenReceived event");
}

void WSFederationAuthenticationModule_AuthorizationFailed(object sender, AuthorizationFailedEventArgs e)
{
    //Use this event to report more details regarding the ahorization failure
    System.Diagnostics.Trace.WriteLine("Handling AuthorizationFailed event");
}

void WSFederationAuthenticationModule_RedirectingToIdentityProvider(object sender, RedirectingToIdentityProviderEventArgs e)
{
    //Use this event to programmatically modify the sign-in message to the STS.
    System.Diagnostics.Trace.WriteLine("Handling RedirectingToIdentityProvider event");
}

Hinweise

Die WSFederationAuthenticationModule Klasse implementiert ein HTTP-Modul, das als WS-Federation Authentication Module (WSFAM) bezeichnet wird. WSFAM wird von Windows Identity Foundation (WIF) sofort implementiert. Die WSFAM wird der ASP.NET Pipeline hinzugefügt, indem sie einen Eintrag in der web.config Datei vornehmen. Sie wird von HttpModuleBaseabgeleitet, die IHttpModuleimplementiert. Sie registriert sich bei der ASP.NET Laufzeit, um auf die ereignisse EndRequest und AuthenticateRequest zu lauschen. Wenn Sie auf das EndRequest-Ereignis lauschen, können die WSFAM-Clients zu einem Sicherheitstokendienst (Security Token Service, STS) umleiten, um ein Sicherheitstoken abzurufen, wenn die Autorisierung für eine angeforderte Ressource fehlschlägt. Das Überwachen des AuthenticateRequest-Ereignisses ermöglicht es WSFAM, HTTP-Anforderungen für eine Antwort vom STS zu überwachen, die das angeforderte Token enthält. Wenn ein solches Token vorhanden und gültig ist, erstellt es eine Instanz von ClaimsPrincipal für den authentifizierten Benutzer mithilfe der Ansprüche, die im Token vorhanden sind.

Bei Verwendung des WSFAM wird die Sitzungsverwaltung von einem Sitzungsauthentifizierungsmodul (SAM) bereitgestellt, bei dem es sich um eine Instanz der SessionAuthenticationModule-Klasse oder eine daraus abgeleitete Klasse handelt. Das SAM wird auch der ASP.NET Pipeline in der Konfigurationsdatei hinzugefügt. Das SAM überwacht Anforderungen für Authentifizierungscookies (Sitzungscookies). Wenn diese Cookies vorhanden und gültig sind, extrahiert das Modul die ClaimsPrincipal für den authentifizierten Benutzer aus dem SessionSecurityToken und legt die HttpContext.User Eigenschaft und den Threadprinzipal Thread.CurrentPrincipal Eigenschaften fest.

WSFAM bietet Folgendes:

• Die Möglichkeit einer ASP.NET Anwendung, die Authentifizierung an einen Sicherheitstokendienst (SECURITY Token Service, STS) mithilfe des WS-Federation-Protokolls auslagern zu können. Die Identität kann über einen oder mehrere Identitätsbereiche hinweg verbunden werden und mehrere STSs umfassen.

• Anspruchsbasierte Identität für ASP.NET Anwendungen. Während der Authentifizierung erstellt WSFAM einen Prinzipal aus den Ansprüchen im Sicherheitstoken, das vom STS gesendet wird, und legt diesen Anspruchsprinzipal als Threadprinzipal fest. Anschließend können Sie diesen Prinzipal verwenden, um weitere Autorisierungs-, Präsentations- und Logikentscheidungen über den Benutzer zu treffen, den er in Ihrem Code darstellt.

WSFAM macht mehrere Eigenschaften verfügbar, die Standardnachrichtenparameter für WS-Federation Anmelde- und Abmeldeanforderungen bereitstellen. Diese Eigenschaften werden in der Regel aus dem <wsFederation>-Element in einer Konfigurationsdatei initialisiert. Die wichtigsten dieser Eigenschaften sind:

• Die Issuer-Eigenschaft, die die Adresse des Sicherheitstokendiensts (SECURITY Token Service, STS) angibt, an den WS-Federation Anmelde- und Abmeldeanforderungen gesendet werden sollen.

• Die Realm-Eigenschaft, die den wtrealm-Parameter angibt, der in WS-Federation Anmeldeanforderungen verwendet werden soll. Der Wtrealm-Parameter identifiziert den Sicherheitsbereich der Anwendung der vertrauenden Seite (RP) an den STS.

Anmeldenachrichtenparameter können auch auf Anforderungsbasis geändert werden, indem ein Ereignishandlerdelegat für das RedirectingToIdentityProvider-Ereignis bereitgestellt wird.

Zwei Eigenschaften steuern das Verhalten des Moduls. Beide Eigenschaften werden in der Regel auch aus dem <wsFederation>-Element in der Konfiguration initialisiert.

• Die PassiveRedirectEnabled-Eigenschaft gibt an, ob das Modul passive Umleitungen an den STS für die Authentifizierung ausführen soll.

• Die eigenschaft PersistentCookiesOnPassiveRedirects gibt an, ob Sitzungen dauerhaft sein sollen. Wenn diese Eigenschaft auf "true" festgelegt ist, wird das SAM verwendet, um ein Sitzungscookies in den Client zu schreiben. Bei nachfolgenden Anforderungen vom Client stellt das SAM die Authentifizierung mithilfe des im Sitzungscookies gespeicherten Tokens bereit.

WSFAM löst während der Anmeldung und Abmeldung mehrere Ereignisse aus, die es ASP.NET Entwicklern ermöglichen, das Standardverhalten des Moduls zu ändern und die Details zu steuern, wie die Authentifizierung und die Forderungsverarbeitung stattfinden.

Die folgenden Ereignisse werden ausgelöst, bevor die WS-Federation Anmeldeanforderung an den STS gesendet wird:

• AuthorizationFailed: Wird ausgelöst, wenn die passive Umleitung aktiviert ist und die Autorisierung für eine angeforderte Ressource fehlschlägt.

• RedirectingToIdentityProvider: Wird direkt vor dem WSFAM ausgelöst, wird die WS-Federation Anmeldeanforderung an den STS gesendet. Sie können dieses Ereignis verwenden, um die Parameter in der Anmeldeanforderung zu ändern.

Die folgenden Ereignisse werden ausgelöst, wenn eine Anmeldeantwort (ausgestelltes Sicherheitstoken) vom STS empfangen wird:

• SecurityTokenReceived: Wird direkt nach dem vom STS gesendeten Sicherheitstoken aus der Antwort gelesen.

• SecurityTokenValidated: Wird direkt nach der Überprüfung des Tokens ausgelöst. Sie können dieses Ereignis zum Filtern, Transformieren oder Hinzufügen von Ansprüchen zum Anspruchsprinzipal (ClaimsPrincipal) verwenden, der aus dem Sicherheitstoken erstellt wurde.

• SessionSecurityTokenCreated: Wird direkt vor dem Sitzungstoken (SessionSecurityToken) ausgelöst, das aus dem Anspruchsprinzipal erstellt wurde, wird verwendet, um den Threadprinzipal und den aktuellen Benutzer festzulegen und in das Sitzungscookies zu schreiben. Bietet Ihnen die Möglichkeit, das Sitzungstoken zu ändern oder das Schreiben des Sitzungscookies zu aktivieren oder zu deaktivieren.

• SignedIn: Wird am Ende der Authentifizierung unmittelbar nach dem Festlegen des Threadprinzipals und des aktuellen Benutzers ausgelöst.

• SignInError: Wird ausgelöst, wenn während der Anmeldung eine Ausnahme auftritt. Sie können die Anforderung abbrechen und verhindern, dass die Ausnahme an den Aufrufer zurückgegeben wird.

Beim Abmelden bei einer Sitzung oder beim Verarbeiten einer WS-Federation Bereinigungsanforderung (wsignoutcleanup1.0) werden die folgenden Ereignisse ausgelöst:

• SigningOut: Wird direkt vor dem Löschen der Sitzung ausgelöst, damit Sie alle Bereinigungen durchführen können, die möglicherweise von der Sitzung abhängen oder die Abmeldung abbrechen.

• SignedOut: Wird direkt nach dem Löschen der Sitzung ausgelöst.

• SignOutError: Wird ausgelöst, wenn während der Abmeldung eine Ausnahme auftritt. Sie können die Abmeldung abbrechen und verhindern, dass die Ausnahme an den Aufrufer zurückgegeben wird.

Es gibt zwei Möglichkeiten, sich mit WSFAM bei einem STS anzumelden. Die erste besteht darin, passive Umleitungen über die PassiveRedirectEnabled-Eigenschaft zu aktivieren. In diesem Fall erstellt WSFAM, wenn die Autorisierung bei einer angeforderten Ressource fehlschlägt, anstatt eine 401:Access Denied Antwort auf den Client zurückzugeben, eine WS-Federation Anmeldeanforderungsnachricht von den Eigenschaften erstellt und den Client an den STS weiterleitet, um ein Sicherheitstoken abzurufen. Die zweite Möglichkeit besteht darin, den Client explizit an den STS umzuleiten, indem die SignIn-Methode von einer Webseite oder einem benutzerdefinierten Steuerelement in Ihrer Anwendung aufgerufen wird. Die SignIn Methode verwendet auch die Eigenschaften von WSFAM, um die Anmeldeanforderung zu erstellen.

Jede der überladenen SignOut Methoden kann verwendet werden, um sich bei der Sitzung abzumelden. Dadurch wird das Sitzungscookies auf dem Client gelöscht. Es sendet keine WS-Federation Abmeldenachricht ("wsignout1.0") an den STS. Um sich beim STS abzumelden, müssen Sie die FederatedSignOut-Methode verwenden.

WSFAM verarbeitet WS-Federation Abmeldebereinigungsanforderungen ("wsignoutcleanup1.0"), indem die Sitzung mit dem Client gelöscht wird. Wenn der wreply-Parameter in der Abmeldebereinigungsnachricht nicht festgelegt ist, gibt WSFAM ein Bild eines grünen Häkchens an den STS zurück, der die Nachricht gesendet hat. Dieses Feature kann von einem STS als Bestätigung verwendet werden, dass das RP seine Abmeldung abgeschlossen hat.

WSFAM macht seine Funktionalität verfügbar , z. B. die Anforderungsverarbeitungspipeline – über mehrere aufgabenspezifische Methoden. Sie können diese Methoden in abgeleiteten Klassen überschreiben, um das Verhalten des WSFAM zu ändern.

Damit das Modul verwendet werden kann, muss das Modul der Pipeline wie im folgenden XML-Code hinzugefügt werden:

<configuration>
  <system.webServer>
    <modules>
      <add name="WsFederationAuthenticationModule" type="System.IdentityModel.Services.WSFederationAuthenticationModule, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089"/>
    </modules>
  </system.webServer>
</configuration>

Nach der Konfiguration löst die WSFederationAuthenticationModule Ereignisse in verschiedenen Phasen der Verarbeitung einer HTTP-Anforderung aus. ASP.NET Entwickler können diese Ereignisse in der Datei "global.asax" behandeln.

Konstruktoren

Eigenschaften

Methoden

Ereignisse

Gilt für: