Authentification et autorisation.net

Transcription

1 Authentification et autorisation.net Sécurité basée sur les rôles

2 La classe WindowsIdentity Représente un utilisateur Windows. Méthodes statiques: GetAnonymous(): Retourne un objet WindowsIdentity qui représente un utilisateur anonyme. GetCurrent(): Retourne un objet WindowsIdentity qui représente l'utilisateur Windows actuel Impersonate(): Permet d'emprunter l'identité d'un utilisateur Windows différent. Méthodes et propriétés d'instance AuthenticationType: Définit le type d'authentification utilisé pour identifier l'utilisateur. IsAuthenticated: IsGuest IsSystem Name: nom de l'utilisateur actuel au format DOMAIN\Username où DOMAIN représente le nom de la machine dans le cas d'un compte local, et le nom AD DS dans le cas d'un compte de domaine. Token: jeton d'accès associé au thread d'exécution actuel. Groups: groupes auxquels l'utilisateur Windows actuel appartient 2

3 Application WindowsIdentity UCourant = WindowsIdentity.GetCurrent(); Console.WriteLine("Nom: " + UCourant.Name); Console.WriteLine("Token: " + UCourant.Token.ToString()); Console.WriteLine( WriteLine("Type Authentification : " + UCourant.AuthenticationType); if (UCourant.IsAnonymous) Console.WriteLine("Utilisateur l anonyme"); if (UCourant.IsAuthenticated) Console.WriteLine("Utilisateur authentifié"); if (UCourant.IsGuest) Console.WriteLine("Utilisateur Invité"); if (UCourant.IsSystem) Console.WriteLine("Utilisateur système"); 3

4 La classe WindowsPrincipal Permet de vérifier l'appartenance d'un utilisateur à un groupe Windows. Un objet WindowsPrincipal doit être associé à un objet identité. WindowsPrincipal wpcourant = new WindowsPrincipal(uCourant); // ucourant de type WindowsIdentity Une autre alternative ti est de créer l'objet Principal i à partir du thread courant // La stratégie WindowsPrincipal doit être utilisée AppDomain.CurrentDomain.SetPrincipalPolicy(PrincipalPolicy.WindowsPrincipal); // transtyper le principal courant (CurrentPrincipal de type IPrincipal) comme un objet de type WindowsPrincipal; la classe Thread est définie dans l'espace de noms System.Threading. WindowsPrincipal wp=(windowsprincipal) Thread.CurrentPrincipal ; La méthode éhd II IsInRolevérifie l'appartenance de l'utilisateur au groupe Windows spécifié en argument, il existe 4 surcharges pour cette méthode: IsInRole (Int32 rid): le groupe est identier par un identificateur relatif IsInRole(SecurityIdentifier sid): le groupe est identifié par son SID IsInRole(WindowsBuiltInRole role): pour un groupe Windows Intégré. IsInRole( string nom): le groupe est identifié par son nom 4

5 Application Exemple: AppDomain.CurrentDomain.SetPrincipalPolicy(PrincipalPolicy.WindowsPrincipal); WindowsPrincipal wpcourant = (WindowsPrincipal)Thread.CurrentPrincipal; Console.WriteLine("L'utilisateur courant est membre des groupes suivants: "); if (wpcourant.isinrole(windowsbuiltinrole.administrator)) I (Wi il I R l i i Console.WriteLine(WindowsBuiltInRole.Administrator.ToString()); if (wpcourant.isinrole(windowsbuiltinrole.poweruser)) Console.WriteLine(WindowsBuiltInRole.PowerUser.ToString()); if (wpcourant.isinrole(windowsbuiltinrole.user)) Console.WriteLine(WindowsBuiltInRole.User.ToString()); WindowsBuiltInRole est une énumération (type (yp enum): Administrator, User, Guest, PowerUser, AccountOperator, SystemOperator, PrintOperator, BackupOperator,Replicator On peut aussi identifier un groupe par son nom au format suivant: "Domaine\groupe" if (wpcourant.isinrole(@"naja\comptabilite")) Console.WriteLine("L'utilisateur est un membre du groupe comptabilite"); 5

6 La classe PrincipalPermission Espace de noms: System.Security.PermissionsSecurity La classe PrincipalPermission permet de définir les utilisateurs qui ont la permission d'exécuter un bloc de code. Propriétés Ath Authenticated ti td(t (true ou false ): définit it si l'utilisateur t doit être authentifié ou non. Name: nom utilisateur Role: un compte windows. La classe peut être utilisée d'une manière déclarative ou bien impérative. 6

7 Restriction de l'accès à une méthode Définir la stratégie de l'entité de sécurité du domaine d'application actuel : WindowsPrincipal AppDomain.CurrentDomain.SetPrincipalPolicy(PrincipalPolicy.WindowsPrincipal); D i i i li i i li Pi i l) Appeler la méthode qui nécessite des privilèges dans un bloc try try { AdminMethode(); Dans un bloc catch intercepter l'exception SecurityException catch (System.Security.SecurityException ex) { Console.WriteLine("Vous n'avez pas les permissions requises pour exécuter cette fonction."); Ajouter une déclaration de demande d'autorisation basée sur les rôles. [PrincipalPermission(SecurityAction.Demand,Role=@"BUILTIN\A i i i i i l dministrateurs")] private static void AdminMethode() { Console.WriteLine("Exécution par un adminstrateur uniquement"); 7

8 Remarque La classse SecurityAction Spécifie les actions de sécurité à effectuer en utilisant la sécurité déclarative. La déclaration supporte les paramètres nommés suivants: Role Authenticated User Plusieurs déclarations peuvent être associées à une seule méthode [[PrincipalPermission(SecurityAction.Deman d,name [PrincipalPermission(SecurityAction.Deman d, Name Role "MACHINE1\Managers")] [PrincipalPermission(SecurityAction.Deman d, Authenticated = true)] 8

9 9 Restreindre l'accès à un bloc de code La classe PrincipalPermission possède trois constructeurs PrincipalPermission(PermissionState) PrincipalPermission(Name, Role) PrincipalPermission(Name, Role, Authenticated) Exemple: void ComptaMethode(){ System.AppDomain.CurrentDomain.SetPrincipalPolicy(Principal Policy. WindowsPrincipal); // Construire le nom du groupe à partir du nom de la machine string r = System.Environment.MachineName try{// Créer l'objet PrincipalPermission avec le rôle r PrincipalPermission p = new PrincipalPermission(null, r, true); // Demander la permission au CLR p.demand(); Console.WriteLine("Accès autorisé."); catch (System.Security.SecurityException ex) {Console.WriteLine("Accès refusé: " + ex.message);

10 Implémenter une gestion personnalisée des identités et des rôles Deux interfaces IIdentity et IPrincipal Implémentations disponibles dans le framework.net WindowsIdentity, et WindowsPrincipal FormsIdentity et FormsPrincipal GenericIdentity, GenericPrincipal: des implémentation simplifiées des interfaces IIdentity et IPrincipal. Pour implémenter une gestion personnalisée des identités et des rôles, il existe deux approches 1. Utiliser les classes GenericIdentity et GenericPrincipal 2. Implémenter les interfaces IIdentity et IPrincipal 10

11 L'interface IIdentity Pour implémenter l'interface IIdentity, il faut définr les propriétés p suivantes: AutheniticationType IsAutheticated Name Classe PIdentite class PIdentite: IIdentity { // Champs privés private bool isauthenticated; private string name, authenticationtype; //Pour supporter de nouvelles propriétés private string prenom, nom, addresse, ville; // Constructeur par défaut public PIdentite() { this.name = String.Empty; t this.isauthenticated = false; this.authenticationtype = "None"; this.prenom = String.Empty; this.nom = String.Empty; this.addresse = String.Empty; this.ville = String.Empty; 11

12 //Constructeur avec paramètres public PIdentite(bool islogin, string ntypeauthentification, string Nprenom, string Nnom, string Nadresse, string Nville) { this.name = prenom + nom; this.isauthenticated isauthenticated = islogin; this.authenticationtype = ntypeauthentification; this.prenom = Nprenom; this.nom = Nnom; this.addresse = Nadresse; this.ville = Nville; // Implémenter les propriétés public bool IsAuthenticated { get { return this.isauthenticated; public string Name { get { return this.name; public string AuthenticationType { get { return this.authenticationtype; // Implémenter les propriétés supplémentaires public string Prenom { get { return this.prenom; public string Nom { get { return this.nom; public string Addresse { get { return this.addresse; public string Ville { get { return this.ville; 12

13 L'interface IPrincipal Pour implémenter l'interface IPrincipal, il faut implémenter les méthodes suivantes: Un constructeur qui accepte un paramètre de type IIdentity et un paramètre de type String [] contenant les rôles associés à l'identité. La propriété Identity, ty, qui doit retourner e l'identité té de l'objet Principal. La méthode bool IsInRole(String rôle). Classe PPrincipal class PPrincipal : IPrincipal public IIdentity Identity { { get { return _identity; private IIdentity _identity; public bool IsInRole(string role) private string[] _roles; { //Array:BianrySearch utilise // Constructeur l'algorithme de rechecrche binaire public PPrincipal(IIdentity dans un tableau, le identite, string[] roles) tableau {_ //doit être préalablement trié, et identity = identite; _roles = new string[roles.length]; // CopyTo crée une copie du tableau roles à partir de la position // spécifiée en deuxième argument. roles.copyto(_roles, 0); Array.Sort(_roles); roles); retourne rne la position de l'élément recherché dans le tableau return Array.BinarySearch( _ roles, role) >= 0? true : false; 13

14 Les classes GenericIdentity et GenericPrincipal La classe GenericIdentity Deux constructeurs GenericIdentity user1 = new GenericIdentity("user1"); GenericIdentity user2 = new GenericIdentity("user2", "SmartCard"); La classe GenericPrincipal Constructeur String[] rolesu1 = new String[] { "Développeurs", "Users", "Administrateurs" ; GenericPrincipal p1 = new GenericPrincipal(user1, rolesu1); 14

15 RBS dans le cas d'une implémentation personnalisée des identités et des rôles. Etapes Créer un objet identité de type GenericIdentity ou bien de type une classe qui implémente l'interface Iidentity. (u1) Créer une entité de sécurité basée sur l'objet identité (p1) Définir l'entité de sécurité du thread courant... try { System.Threading.Thread.CurrentPrincipal = p1; Ajouter les demandes d d'autorisations ti déclaratives ou impératives. Thread.CurrentPrincipal =p1; methode1(); catch (Exception ex) {Console.WriteLine(ex.GetType().ToS tring()+" déclenchée par" + Thread.CurrentPrincipal.Identity.Na me); 15 [PrincipalPermission(SecurityAction.Demand, Role = "développeur")] void methode1() { Console.WriteLine(Thread.CurrentPri CurrentPri ncipal.identity.name + " est un développeur");

16 Exercice 1. Ecrire un programme qui affiche les informations suivantes, sur l'utilisateur Windows courant: Le nom d'utilisateur Le SID La liste des groupes dans lesquels il est membre. 2. Autorisations basées sur le rôle. créer une calculatrice qui réalise les opérations arithmétiques de base, en tenant compte des restrictions suivantes Uniquement les membres du groupe "utilisateurs" sont autorisés à effectuer une addition i Uniquement les administrateurs doivent avoir accès à l'opération de division Uniquement l'utilisateur user1 est autorisé à effectuer une multiplication. Afficher uniquement les boutons de commande qui correspondent aux opérations accessibles à l'utilisateur en cours 16