ASP.NET – Autenticazione e Sicurezza basata sui ruoli

Presentazione sul tema: "ASP.NET – Autenticazione e Sicurezza basata sui ruoli"— Transcript della presentazione:

1 ASP.NET – Autenticazione e Sicurezza basata sui ruoli
Davide Vernole .NET MVP

2 Di cosa parleremo ASP.NET Autenticazione ASP.NET Sicurezza
Metodi offerti da ASP.NET ASP.NET Sicurezza Ruoli in ASP.NET

3 Prerequisiti Livello 100 Informazioni generali sul .NET Framework
Concetti base di programmazione Nozioni base su ASP.NET Livello 100

4 Demo Form-based authentication Roles based security

5 Agenda Autenticazione e Autorizzazione Metodi di Autenticazione
Sicurezza basata sui ruoli

6 Autenticazione e Autorizzazione
Credenziali Coppia di valori User Id e Password Permette di verificare l’identità di un’entità Autorizzazione Definisce a quali risorse un’entità può accedere “veste su misura” la nostra applicazione per l’entità autenticata

7 Autenticazione e Autorizzazione
ASP.NET lavora in collaborazione con IIS per fornire l’autenticazione ad una applicazione web Il servizio di autenticazione di ASP.NET è soggetto ai servizi di autenticazione forniti da IIS ASP.NET fornisce due tipi di autorizzazione: Controllo della ACL o dei permessi su una risorsa Utilizzata in ogni caso quando si accede a file Autorizzazione su URL

8 Agenda Autenticazione e Autorizzazione Metodi di Autenticazione
Sicurezza basata sui ruoli

9 Metodi di autenticazione
None Nessun servizio di autenticazione ASP.NET attivo IIS -> qualsiasi impostazione Windows Utilizza le metodologie di accesso di windows IIS  qualsiasi impostazione (base, Digest, Integrated) Forms Tramite cookies e redirect IIS  anonymous Passport Wrapper ai servizi forniti dal Passport SDK che deve essere installato nella macchina

10 Metodi di autenticazione
Autenticazione “None” ASP.NET non fornisce alcun servizio di autenticazione. Restano comunque attivi i servizi di IIS Impostazioni Web.Config <authentication mode=“None” />

11 Metodi di autenticazione
Autenticazione Windows-based ASP.NET collega un oggetto di tipo WindowsPrincipal all request Impostazioni Web.Config <authentication mode=“Windows” />

12 Metodi di autenticazione
Autenticazione Forms-based ASP.NET tramite cookies gestisce l’autenticazione dell’utente Se l’utente non è autenticato esegue un redirect verso al pagina di login Impostazioni Web.Config <authentication mode=“Forms”> <forms name=“.mioCookie” loginUrl=“Login.aspx” protection=“All” timeout=“30” path=“/”> <credentials passwordFormat=“Clear”> <user name=“Utente1” password=“ABCD” /> ……. <user name=“Utenten” password=“ABCDn” /> </credentials </forms </authentication>

13 Metodi di autenticazione
Autenticazione Passport ASP.NET utilizza I servizi forniti dal Passport SDK che deve essere installato nel server web. Impostazioni Web.Config <authentication mode=“Passport”> <passport redirectUrl=“Login.aspx” /> </authentication>

14 Demo Forms-based authentication

15 Agenda Autenticazione e Autorizzazione Metodi di Autenticazione
Sicurezza basata sui ruoli

16 Sicurezza basata sui ruoli
ASP.NET fornisce un servizio di autorizzazione basato sui ruoli Gestisce l’acceso alle risorse della web application (URL) Configurabile per I metodi HTTP (GET e POST) Permette di concedere o negare l’accesso a utenti o gruppi di utenti Impostazioni Web.Config <authorization> <allow /> <allow rolse=“admin” /> <allow VERB=“POST” users=“*” /> <deny users=“*” /> <deny VERB=“GET” users=“*” /> </authorization> Utenti speciali *  tutti gli utenti ?  utenti anonimi

17 Demo Roles based security

18 Account Impersonation
Possibilità di attribuire un contesto di sicurezza diverso ad un thread rispetto a quello del processo a cui appartiene ASP.NET di default non fornisce la possibilità di avere request con contesti di sicurezza diversi per ogni richiesta Per cambiare l’impostazione di default utilizzare <identity impersonate=“true” /> Contro nell’uso dell’impersonate: Tutti gli account devono avere accesso in lettura e scrittura alla directory di compilazione dell’applicazione Stessa cosa per la Global Assembly Cache GAC quindi alla directory %Windir%\assembly Consiglio Utilizzarlo solo se non c’è un’altra soluzione (es. Compatibilità con una applicazione ASP o per utilizzare dei servizi di autenticazione di Windows)

19 Riepilogo Autenticazione e Autorizzazione Metodi di autenticazione
Metodi di autorizzazione

20 Community news.microsoft.com Comunità degli sviluppatori
microsoft.public.it.dotet.asp microsoft.public.it.dotnet.* Comunità degli sviluppatori

21 MSDN Webcasts in italiano
Stay tuned