ClaimsPrincipalPermission Класс

Определение

public ref class ClaimsPrincipalPermission sealed : System::Security::IPermission, System::Security::Permissions::IUnrestrictedPermission

[System.Serializable]
public sealed class ClaimsPrincipalPermission : System.Security.IPermission, System.Security.Permissions.IUnrestrictedPermission

[<System.Serializable>]
type ClaimsPrincipalPermission = class
    interface IPermission
    interface ISecurityEncodable
    interface IUnrestrictedPermission

Public NotInheritable Class ClaimsPrincipalPermission
Implements IPermission, IUnrestrictedPermission

Наследование

Object

ClaimsPrincipalPermission

Атрибуты

SerializableAttribute

Реализации

IPermission ISecurityEncodable IUnrestrictedPermission

Примеры

В следующем примере показано, как защитить ресурс с помощью Demand метода, CheckAccess метода или ClaimsPrincipalPermissionAttribute объявления. В каждом случае для оценки текущего субъекта по указанному ресурсу и действию вызывается настроенный ClaimsAuthorizationManager объект . Если текущий субъект не авторизован для указанного действия в указанном ресурсе SecurityException , возникает исключение ; в противном случае выполняется.

using System;
using System.IdentityModel.Services;
using System.Security.Claims;
using System.Security.Permissions;
using System.Threading;

namespace ClaimsBasedAuthorization
{
    /// <summary>
    /// Program illustrates using Claims-based authorization
    /// </summary>
    class Program
    {
        static void Main(string[] args)
        {
            //
            // Method 1. Simple access check using static method. 
            // Expect this to be most common method.
            //
            ClaimsPrincipalPermission.CheckAccess("resource", "action");

            //
            // Method 2. Programmatic check using the permission class
            // Follows model found at http://msdn.microsoft.com/library/system.security.permissions.principalpermission.aspx
            //
            ClaimsPrincipalPermission cpp = new ClaimsPrincipalPermission("resource", "action");
            cpp.Demand();

            //
            // Method 3. Access check interacting directly with the authorization manager.
            //            
            ClaimsAuthorizationManager am = new ClaimsAuthorizationManager();
            am.CheckAccess(new AuthorizationContext((ClaimsPrincipal)Thread.CurrentPrincipal, "resource", "action"));

            //
            // Method 4. Call a method that is protected using the permission attribute class
            //
            ProtectedMethod();

            Console.WriteLine("Press [Enter] to continue.");
            Console.ReadLine();
        }

        //
        // Declarative access check using the permission class. The caller must satisfy both demands.
        //
        [ClaimsPrincipalPermission(SecurityAction.Demand, Resource = "resource", Operation = "action")]
        [ClaimsPrincipalPermission(SecurityAction.Demand, Resource = "resource1", Operation = "action1")]
        static void ProtectedMethod()
        {
        }
    }
}

В следующем XML-коде показана минимальная конфигурация, необходимая для использования пользовательского диспетчера авторизации утверждений с классом ClaimsPrincipalPermission . Необходимо как минимум объявить разделы system.identityModel и в <configSection> элементе system.identityModel.services , а затем указать диспетчер авторизации в <элементе claimsAuthorizationManager> в конфигурации удостоверения по умолчанию. Это гарантирует, что на диспетчер авторизации будет ссылаться конфигурация федерации по умолчанию. Кроме того, можно указать имя конфигурации удостоверений, в которой указан диспетчер авторизации, в identityConfigurationName атрибуте <элемента federationConfiguration> .

<?xml version="1.0" encoding="utf-8" ?>  
<configuration>  
  <configSections>  
    <!-- WIF configuration sections -->  
    <section name="system.identityModel" type="System.IdentityModel.Configuration.SystemIdentityModelSection, System.IdentityModel, Version=4.0.0.0, Culture=neutral, PublicKeyToken=B77A5C561934E089"/>  
    <section name="system.identityModel.services" type="System.IdentityModel.Services.Configuration.SystemIdentityModelServicesSection, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=B77A5C561934E089"/>  
  </configSections>  

  <startup>  
    <supportedRuntime version="v4.0" sku=".NETFramework,Version=v4.5" />  
  </startup>  

  <system.identityModel>  
    <identityConfiguration>  
      <claimsAuthorizationManager type ="MyClaimsAuthorizationManager.MyClaimsAuthorizationManager, MyClaimsAuthorizationManager"/>  
    </identityConfiguration>  
  </system.identityModel>  

</configuration>  

Комментарии

Класс ClaimsPrincipalPermission предоставляет возможность выполнять императивные проверки доступа с помощью ClaimsAuthorizationManager , настроенного для приложения. Вызывая Demand метод или статический CheckAccess метод, можно обеспечить защиту ресурсов из пути выполнения кода в соответствии с политикой авторизации, определенной для диспетчера проверки подлинности утверждений. Декларативные проверки доступа можно выполнять с помощью ClaimsPrincipalPermissionAttribute класса .

С одной стороны, функции, предоставляемые с помощью ClaimsPrincipalPermission , аналогичны проверкам доступа на основе ролей (RBAC), предоставляемым через PrincipalPermission класс . Однако класс выполняет проверки на основе утверждений, ClaimsAuthorizationManager представленных активным субъектом. Это обеспечивает гораздо большую степень детализации, чем доступно в чистом RBAC, где многие разрешения обычно собираются в рамках одной роли. Возможно, что еще важнее, авторизация на основе утверждений обеспечивает лучшее разделение бизнес-логики и политики авторизации, так как для определенного действия с ресурсом в коде и внутренней политики можно использовать для настройки утверждений, которыми должна обладать представляющая сущность для удовлетворения потребностей. Как и RBAC, ClaimsPrincipalPermission выполняет проверка доступа на основе пользователя, то есть, в отличие от безопасности доступа к коду, реализованной классами, производными от CodeAccessPermission класса , и использует обход стека, чтобы гарантировать, что всем вызывающим участникам кода было предоставлено разрешение, ClaimsPrincipalPermission выполняет его проверка только на текущем субъекте.

Статический CheckAccess метод проверяет доступ для указанного действия к указанному ресурсу. Ресурс и действие являются строками и обычно являются универсальными кодами ресурса (URI). Можно также инициализировать ClaimsPrincipalPermission экземпляр с помощью действия и ресурса и вызвать Demand метод . Хотя конструктор принимает только один ресурс и действие, ClaimsPrincipalPermission объекты можно объединять с помощью Union методов и Intersect . Разрешение, созданное с помощью этих методов, может содержать несколько пар "ресурс— действие".

Оба метода определяют доступ путем вызова ClaimsAuthorizationManager.CheckAccess метода настроенного диспетчера авторизации утверждений с активным субъектом AuthorizationContext (Thread.CurrentPrincipal), ресурсом и действием. Они выдают исключение , SecurityException если текущий субъект не авторизован для выполнения действия с ресурсом; в противном случае выполнение продолжается.

В случае , ClaimsPrincipalPermission который содержит несколько пар "ресурс-действие", ClaimsAuthorizationManager.CheckAccess метод вызывается для каждой пары "ресурс-действие", содержащейся в разрешении . Для успешного вызова Demand активный субъект должен быть авторизован для всех пар "ресурс-действие", содержащихся в разрешении.

Конструкторы

Методы

Применяется к

См. также раздел

• ClaimsPrincipalPermissionAttribute
• FederationConfiguration
• ClaimsAuthorizationManager
• <federationConfiguration>