ASP.NET Core Identity を構成する

ASP.NET Core Identity では、パスワード ポリシー、ロックアウト、cookie 構成などの設定に既定値を使用します。 これらの設定は、アプリケーションの起動時にオーバーライドできます。

Identity オプション

IdentityOptions クラスは、Identity システムを構成するために使用することができるオプションを表しています。 IdentityOptions は、AddIdentity または AddDefaultIdentity を呼び出した後に、設定する必要があります。

要求 Identity

IdentityOptions.ClaimsIdentity では、次の表に示すプロパティを使用して、ClaimsIdentityOptions を指定します。

ロックアウト

ロックアウトは、PasswordSignInAsync メソッドで設定されます。

public async Task<IActionResult> OnPostAsync(string returnUrl = null)
{
    returnUrl ??= Url.Content("~/");

    ExternalLogins = (await _signInManager.GetExternalAuthenticationSchemesAsync()).ToList();

    if (ModelState.IsValid)
    {
        // This doesn't count login failures towards account lockout
        // To enable password failures to trigger account lockout, set lockoutOnFailure: true
        var result = await _signInManager.PasswordSignInAsync(Input.Email,
             Input.Password, Input.RememberMe,
             lockoutOnFailure: false);
        if (result.Succeeded)
        {
            _logger.LogInformation("User logged in.");
            return LocalRedirect(returnUrl);
        }
        if (result.RequiresTwoFactor)
        {
            return RedirectToPage("./LoginWith2fa", new { ReturnUrl = returnUrl, RememberMe = Input.RememberMe });
        }
        if (result.IsLockedOut)
        {
            _logger.LogWarning("User account locked out.");
            return RedirectToPage("./Lockout");
        }
        else
        {
            ModelState.AddModelError(string.Empty, "Invalid login attempt.");
            return Page();
        }
    }

    // If we got this far, something failed, redisplay form
    return Page();
}

上記のコードは、LoginIdentity テンプレートに基づいて作成されています。

ロックアウト オプションは、Program.cs で設定されます。

using Microsoft.AspNetCore.Identity;
using Microsoft.EntityFrameworkCore;
using RPauth.Data;

var builder = WebApplication.CreateBuilder(args);

var connectionString = builder.Configuration.GetConnectionString("DefaultConnection");
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString));
builder.Services.AddDatabaseDeveloperPageExceptionFilter();

builder.Services.AddDefaultIdentity<IdentityUser>(options =>
                                       options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>();
builder.Services.AddRazorPages();

builder.Services.Configure<IdentityOptions>(options =>
{
    // Default Lockout settings.
    options.Lockout.DefaultLockoutTimeSpan = TimeSpan.FromMinutes(5);
    options.Lockout.MaxFailedAccessAttempts = 5;
    options.Lockout.AllowedForNewUsers = true;
});

var app = builder.Build();

if (app.Environment.IsDevelopment())
{
    app.UseMigrationsEndPoint();
}
else
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

app.MapRazorPages();

app.Run();

上記のコードでは、既定値を使用して IdentityOptions LockoutOptions を設定しています。

認証が成功すると、失敗したアクセス試行回数がリセットされ、クロックがリセットされます。

IdentityOptions.Lockout では、表に示すプロパティを使って LockoutOptions を指定します。

Password

既定では、Identity には、大文字、小文字、数字、および英数字以外の文字を含むパスワードが必要です。 パスワードの長さは、6 文字以上である必要があります。

パスワードは、次で構成されます。

• Program.cs の PasswordOptions
• Identity がアプリにスキャフォールディングされている場合、Password プロパティの [StringLength] 属性。 InputModel Password プロパティは、次のファイルにあります。
  • Areas/Identity/Pages/Account/Register.cshtml.cs
  • Areas/Identity/Pages/Account/ResetPassword.cshtml.cs

using Microsoft.AspNetCore.Identity;
using Microsoft.EntityFrameworkCore;
using RPauth.Data;

var builder = WebApplication.CreateBuilder(args);

var connectionString = builder.Configuration.GetConnectionString("DefaultConnection");
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString));
builder.Services.AddDatabaseDeveloperPageExceptionFilter();

builder.Services.AddDefaultIdentity<IdentityUser>(options =>
                                options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>();
builder.Services.AddRazorPages();

builder.Services.Configure<IdentityOptions>(options =>
{
    // Default Password settings.
    options.Password.RequireDigit = true;
    options.Password.RequireLowercase = true;
    options.Password.RequireNonAlphanumeric = true;
    options.Password.RequireUppercase = true;
    options.Password.RequiredLength = 6;
    options.Password.RequiredUniqueChars = 1;
});

var app = builder.Build();

// Remaining code removed for brevity.

IdentityOptions.Password では、表に示すプロパティを使って PasswordOptions を指定します。

サインイン

次のコードでは、SignIn 設定が既定値に設定されます。

builder.Services.Configure<IdentityOptions>(options =>
{
    // Default SignIn settings.
    options.SignIn.RequireConfirmedEmail = false;
    options.SignIn.RequireConfirmedPhoneNumber = false;
});

IdentityOptions.SignIn では、表に示すプロパティを使って SignInOptions を指定します。

トークン

IdentityOptions.Tokens では、表に示すプロパティを使って TokenOptions を指定します。

User

builder.Services.Configure<IdentityOptions>(options =>
{
    // Default User settings.
    options.User.AllowedUserNameCharacters =
            "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789-._@+";
    options.User.RequireUniqueEmail = false;

});

IdentityOptions.User では、表に示すプロパティを使って UserOptions を指定します。

Cookie の設定

Program.cs で、アプリの cookie を構成します。 ConfigureApplicationCookie は、AddIdentity または AddDefaultIdentity を呼び出した後に呼び出す必要があります。

builder.Services.ConfigureApplicationCookie(options =>
{
    options.AccessDeniedPath = "/Identity/Account/AccessDenied";
    options.Cookie.Name = "YourAppCookieName";
    options.Cookie.HttpOnly = true;
    options.ExpireTimeSpan = TimeSpan.FromMinutes(60);
    options.LoginPath = "/Identity/Account/Login";
    // ReturnUrlParameter requires 
    //using Microsoft.AspNetCore.Authentication.Cookies;
    options.ReturnUrlParameter = CookieAuthenticationDefaults.ReturnUrlParameter;
    options.SlidingExpiration = true;
});

詳細については、CookieAuthenticationOptionsを参照してください。

Password Hasher オプション

PasswordHasherOptions を使用して、パスワード ハッシュのオプションを取得および設定します。

次の例では、IterationCount が Program.cs で 12000 に設定されています。

// using Microsoft.AspNetCore.Identity;

builder.Services.Configure<PasswordHasherOptions>(option =>
{
    option.IterationCount = 12000;
});

すべてのユーザーの認証をグローバルに要求する

すべてのユーザーの認証をグローバルに要求する方法の詳細については、「認証されたユーザーを要求する」を参照してください。

ISecurityStampValidator とすべてからのサインアウト

アプリは、ユーザー ClaimsPrincipal を再生成することによって、セキュリティが重要アクションを含むイベントに対応する必要があります。 たとえば、ロールへの参加、パスワードの変更、またはその他のセキュリティが重要なイベントを行うときは、ClaimsPrincipal を再生成する必要があります。 Identity は、ISecurityStampValidator インターフェイスを使って ClaimsPrincipal を再生成します。 Identity の既定の実装では、SecurityStampValidator がメインのアプリケーション cookie と 2 要素 cookie に登録されます。 検証コントロールは、各 cookie の OnValidatePrincipal イベントにフックして Identity を呼び出し、ユーザーのセキュリティ スタンプ クレームが cookie に格納されているものから変更されていないことを確認します。 検証コントロールは、一定の間隔で呼び出します。 呼び出しの間隔は、データストアへのアクセス頻度が多すぎる場合と少なすぎる場合のトレードオフになります。 チェックの間隔が長いと、クレームが古くなります。 既存の Cookie を次回チェックするときに強制的に無効にするには、userManager.UpdateSecurityStampAsync(user) を呼び出します。 ほとんどの Identity UI アカウントと管理ページは、パスワードの変更またはログインの追加の後で userManager.UpdateSecurityStampAsync(user) を呼び出します。 アプリでは userManager.UpdateSecurityStampAsync(user) を呼び出して、すべてからのサインアウト アクションを実装できます。

次のコードの強調表示されている部分で、検証間隔を変更しています。

using Microsoft.AspNetCore.Identity;
using Microsoft.EntityFrameworkCore;
using WebClaimsPrincipal.Data;

var builder = WebApplication.CreateBuilder(args);

var connectionString = builder.Configuration.GetConnectionString("DefaultConnection") 
    ?? throw new InvalidOperationException("'DefaultConnection' not found.");
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString));
builder.Services.AddDatabaseDeveloperPageExceptionFilter();

builder.Services.AddDefaultIdentity<IdentityUser>(options => 
options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>();

// Force Identity's security stamp to be validated every minute.
builder.Services.Configure<SecurityStampValidatorOptions>(o => 
                   o.ValidationInterval = TimeSpan.FromMinutes(1));

builder.Services.AddRazorPages();

var app = builder.Build();

if (app.Environment.IsDevelopment())
{
    app.UseMigrationsEndPoint();
}
else
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseRouting();

app.UseAuthorization();

app.MapRazorPages();

app.Run();

ASP.NET Core Identity では、パスワード ポリシー、ロックアウト、cookie 構成などの設定に既定値を使用します。 これらの設定は、Startup クラスでオーバーライドできます。

Identity オプション

IdentityOptions クラスは、Identity システムを構成するために使用することができるオプションを表しています。 IdentityOptions は、AddIdentity または AddDefaultIdentity を呼び出した後に、設定する必要があります。

要求 Identity

IdentityOptions.ClaimsIdentity では、次の表に示すプロパティを使用して、ClaimsIdentityOptions を指定します。

ロックアウト

ロックアウトは、PasswordSignInAsync メソッドで設定されます。

public async Task<IActionResult> OnPostAsync(string returnUrl = null)
{
    returnUrl = returnUrl ?? Url.Content("~/");

    if (ModelState.IsValid)
    {
        var result = await _signInManager.PasswordSignInAsync(Input.Email, 
            Input.Password, Input.RememberMe, 
            lockoutOnFailure: false);
        if (result.Succeeded)
        {
            _logger.LogInformation("User logged in.");
            return LocalRedirect(returnUrl);
        }
        if (result.RequiresTwoFactor)
        {
            return RedirectToPage("./LoginWith2fa", new { ReturnUrl = returnUrl,
                Input.RememberMe });
        }
        if (result.IsLockedOut)
        {
            _logger.LogWarning("User account locked out.");
            return RedirectToPage("./Lockout");
        }
        else
        {
            ModelState.AddModelError(string.Empty, "Invalid login attempt.");
            return Page();
        }
    }

    // If we got this far, something failed, redisplay form
    return Page();
}

上記のコードは、LoginIdentity テンプレートに基づいて作成されています。

ロックアウト オプションは、StartUp.ConfigureServices で設定されます。

services.Configure<IdentityOptions>(options =>
{
    // Default Lockout settings.
    options.Lockout.DefaultLockoutTimeSpan = TimeSpan.FromMinutes(5);
    options.Lockout.MaxFailedAccessAttempts = 5;
    options.Lockout.AllowedForNewUsers = true;
});

上記のコードでは、既定値を使用して IdentityOptions LockoutOptions を設定しています。

認証が成功すると、失敗したアクセス試行回数がリセットされ、クロックがリセットされます。

IdentityOptions.Lockout では、表に示すプロパティを使って LockoutOptions を指定します。

Password

既定では、Identity には、大文字、小文字、数字、および英数字以外の文字を含むパスワードが必要です。 パスワードの長さは、6 文字以上である必要があります。

パスワードは、次で構成されます。

• Startup.ConfigureServices の PasswordOptions
• Identity がアプリにスキャフォールディングされている場合、Password プロパティの [StringLength] 属性。 InputModel Password プロパティは、次のファイルにあります。
  • Areas/Identity/Pages/Account/Register.cshtml.cs
  • Areas/Identity/Pages/Account/ResetPassword.cshtml.cs

services.Configure<IdentityOptions>(options =>
{
    // Default Password settings.
    options.Password.RequireDigit = true;
    options.Password.RequireLowercase = true;
    options.Password.RequireNonAlphanumeric = true;
    options.Password.RequireUppercase = true;
    options.Password.RequiredLength = 6;
    options.Password.RequiredUniqueChars = 1;
});

IdentityOptions.Password では、表に示すプロパティを使って PasswordOptions を指定します。

サインイン

次のコードでは、SignIn 設定が既定値に設定されます。

services.Configure<IdentityOptions>(options =>
{
    // Default SignIn settings.
    options.SignIn.RequireConfirmedEmail = false;
    options.SignIn.RequireConfirmedPhoneNumber = false;
});

IdentityOptions.SignIn では、表に示すプロパティを使って SignInOptions を指定します。

トークン

IdentityOptions.Tokens では、表に示すプロパティを使って TokenOptions を指定します。

User

services.Configure<IdentityOptions>(options =>
{
    // Default User settings.
    options.User.AllowedUserNameCharacters =
            "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789-._@+";
    options.User.RequireUniqueEmail = false;

});

IdentityOptions.User では、表に示すプロパティを使って UserOptions を指定します。

Cookie の設定

Startup.ConfigureServices で、アプリの cookie を構成します。 ConfigureApplicationCookie は、AddIdentity または AddDefaultIdentity を呼び出した後に呼び出す必要があります。

services.ConfigureApplicationCookie(options =>
{
    options.AccessDeniedPath = "/Identity/Account/AccessDenied";
    options.Cookie.Name = "YourAppCookieName";
    options.Cookie.HttpOnly = true;
    options.ExpireTimeSpan = TimeSpan.FromMinutes(60);
    options.LoginPath = "/Identity/Account/Login";
    // ReturnUrlParameter requires 
    //using Microsoft.AspNetCore.Authentication.Cookies;
    options.ReturnUrlParameter = CookieAuthenticationDefaults.ReturnUrlParameter;
    options.SlidingExpiration = true;
});

詳細については、CookieAuthenticationOptionsを参照してください。

Password Hasher オプション

PasswordHasherOptions を使用して、パスワード ハッシュのオプションを取得および設定します。

次の例では、IterationCount が Startup.ConfigureServices で 12000 に設定されています。

// using Microsoft.AspNetCore.Identity;

services.Configure<PasswordHasherOptions>(option =>
{
    option.IterationCount = 12000;
});

すべてのユーザーの認証をグローバルに要求する

すべてのユーザーの認証をグローバルに要求する方法の詳細については、「認証されたユーザーを要求する」を参照してください。