Zosobnění klienta a delegování
Za určitých okolností musí serverová aplikace předložit identitu klienta prostředkům, ke které přistupuje jménem klienta, obvykle kvůli kontrole přístupu nebo ověřování vůči identitě klienta. V určitém rozsahu může server jednat pod identitou klienta – akce označovaná jako zosobnění klienta.
zosobnění je schopnost vlákna spustit v kontextu zabezpečení, který se liší od procesu, který je vlastníkem vlákna. Vlákno serveru používá přístupový token představující přihlašovací údaje klienta a s tím může přistupovat k prostředkům, ke kterým má klient přístup.
Použití zosobnění zajišťuje, že server dokáže přesně to, co může klient dělat. Přístup k prostředkům může být omezen nebo rozšířen v závislosti na tom, k čemu má klient oprávnění.
Při připojování k databázi můžete zvolit zosobnění serveru, aby se databáze mohla ověřit a autorizovat klienta. Nebo pokud vaše aplikace přistupuje k souborům chráněným popisovačem zabezpečení a umožňuje klientovi získat autorizovaný přístup k informacím v těchto souborech, může aplikace před přístupem k souborům zosobnit klienta.
Zosobnění vyžaduje zapojení klienta i serveru (a v některých případech správců systému). Klient musí označit svou ochotu nechat server používat svou identitu a server musí explicitně předpokládat identitu klienta programově. Podrobnosti najdete v tématech Client-Side Požadavky na zosobnění a Server-Side Požadavky na zosobnění.
Aby bylo možné efektivně používat nejvýkonnější formu zosobnění, delegování, což je zosobnění klientů přes síť, musí být uživatelské účty klienta a serveru správně nakonfigurované ve službě Active Directory, aby ji podporovaly (kromě autority pro udělování klientů pro zosobnění na úrovni delegáta), následujícím způsobem:
- Identita serveru musí být ve službě Active Directory označena jako Důvěryhodná pro delegování.
- Identita klienta nesmí být označena jako "Účet je citlivý a nelze ji delegovat" ve službě Active Directory.
Tyto funkce konfigurace poskytují správci domény vysoký stupeň kontroly nad delegování, což je žádoucí vzhledem k tomu, kolik důvěryhodnosti (a tedy bezpečnostní riziko) je zapojeno. Další podrobnosti o delegování najdete v tématu Delegování a zosobnění.
Spolu s autoritou klient uděluje serveru prostřednictvím úrovně zosobnění, schopnost zosobnění serveru do značné míry určuje, jak se bude zosobnění chovat. Cloaking ovlivňuje, jakou identitu skutečně prezentuje server, když provádí volání jménem klienta – vlastní nebo klient. Podrobnosti naleznete v tématu cloaking.
Zosobnění může výrazně ovlivnit výkon a škálování. Zosobnění klienta na volání je obecně dražší než přímé volání. Tady jsou některé problémy, které je potřeba vzít v úvahu:
- Výpočetní režie související s předáváním identity ve složitých vzorech, zejména v případě, že je povolené dynamické maskování.
- Obecná složitost vynucování redundantní kontroly zabezpečení na mnoha místech, nikoli jen centrálně ve střední vrstvě.
- Prostředky, jako jsou připojení k databázi, při otevření zosobnění klienta, se nedají opakovaně použít ve více klientech – což je velmi velký překážkou škálování.
Někdy je jediným efektivním řešením problému použití zosobnění, ale toto rozhodnutí by mělo být pečlivě zvažováno. Další informace o těchto problémech najdete v tématu vícevrstvézabezpečení aplikací .
součásti zařazené do fronty nepodporují zosobnění. Když klient provede volání objektu ve frontě, volání se ve skutečnosti provede pro záznam, který ho zabalí jako součást zprávy na server. Naslouchací proces pak přečte zprávu z fronty a předá ji přehrávači, který vyvolá skutečnou součást serveru a provede stejné volání metody. Proto, když server přijme volání, původní token klienta není dostupný prostřednictvím zosobnění. Zabezpečení založené na rolích ale stále platí a programové zabezpečení pomocí rozhraní ISecurityCallContext bude fungovat. Podrobnosti najdete v tématu zabezpečení komponent zařazených do fronty.
-
Application Security knihovny
-
vícevrstvé zabezpečení aplikací
-
zabezpečení programových komponent
-
správy zabezpečeníRole-Based