Какой подход можно использовать для расширения безопасности WCF за пределами текущего домена?

Question

WCF имеет богатую модель безопасности, я надеюсь, что все согласятся на это как данность. Недавно я столкнулся с ситуацией, когда наши клиентские приложения (приложения на основе WCF, которые используют учетные данные пользователя в домене), нуждались в общении с услугами, которые нам приходилось развертывать в центр обработки данных за пределами нашего домена и управления. Следовательно, это нарушило нашу единую модель входа, и я хотел бы знать, имел ли кто-либо из вас какой-либо успех в распространении модели безопасности на службы за пределами домена.

Наша идентичная модель основана на классах IIdentity и IPrincipal (а не на WindowsIdentity/WindowsPrincipal), поэтому использование альтернативной реализации идентично. Насколько я понимаю, у меня нет ответа, и я надеюсь, что вы это сделаете. Единственное решение, с которым я столкнулся, требует от клиента аутентификации в нашем домене таким же образом, как и сейчас. В рамках аутентификации им будет предоставлен сертификат X.509, подписанный нашим центром сертификации (которому будет доверять центр обработки данных). Сертификаты будут размещены в хранилище сертификатов (я считаю, что есть тот, который связан с .NET, но я не понимаю, как его можно использовать в среде, где пользователи иногда перемещаются) и создаются/предоставляются пользователю по запросу.

Буду признателен за любые отзывы и/или идеи.

Edit:

У нас есть услуги, которые еще проживают в нашем центре обработки данных в дополнение к удаленным центром данных. Я хотел бы предоставить решение, для которого требуется только один сингл (и fwiw, наши пользователи должны вводить свое имя пользователя и пароль каждый раз при запуске этого приложения).

Answer 1

Если у вас есть более или менее двухточечные запросы между несколькими участниками, например, в среде B2B, тогда сертификаты, безусловно, подходят. Все работает автоматически - как только вы все правильно настроите, конечно! :-)

В принципе, у вашего сервиса будет сертификат для аутентификации, и у клиента также будет сертификат, который будет отправлен службе и будет аутентифицировать клиентов в отношении этой услуги. На стороне сервера вы сможете подключиться к ServiceSecurityContext.Current.PrimaryIdentity, чтобы получить доступ к вызывающему абоненту IIdentity.

Для получения дополнительной информации см эти ресурсы:

• Fundamentals of WCF Security - отличное интро
• p&p WCF security scenarios
• p&p WCF Security Guidance - очень обширна, очень полный
• WCF Security - Barebones - Scenarios - отличный блог серии по сценарию управляемой WCF безопасность
• Declarative WCF Security - Основная статья Juwal Lowy о декларативном WCF Безопасность

Надеюсь, это поможет!
Marc