ASP.NET Core でのロール ベースの認可

identity が作成されると、1 つまたは複数のロールに属することができます。 たとえば、Tracy は Administrator ロールと User ロールに属していて、Scott は User ロールのみに属している場合があります。 これらのロールを作成および管理する方法は、認可プロセスのバッキング ストアによって異なります。 ロールは、ClaimsPrincipal クラスの IsInRole メソッドを介して開発者に提示されます。 AddRoles は、ロール サービスに追加する必要があります。

ロールは要求ですが、すべての要求がロールであるとは限りません。 identity 発行者に応じて、ロールは、グループ メンバーに対する要求を適用できるユーザーのコレクションである場合もあれば、identity に対する実際の要求である場合もあります。 ただし、要求は、個々のユーザーに関する情報として使用されます。 ロールを使用してユーザーに要求を追加すると、ユーザーと個々の要求の境界が混同されるおそれがあります。 このような混乱が、SPA テンプレートがロールを中心に設計されていない理由です。 さらに、オンプレミスのレガシ システムから移行する組織では、ロールが何年にもわたって急増しているということは、ロール要求が大きすぎて、SPA で使用できるトークン内に含めることができない場合があることを意味します。 SPA をセキュリティで保護するには、Identity を使用し、SPA の Web API バックエンドをセキュリティで保護する方法に関するページを参照してください。

Identity にロール サービスを追加する

アプリの Identity 構成のロールの種類を使用して AddRoles を呼び出して、ロールベースの承認サービスを Program.cs に登録します。 次の例のロールの種類は、IdentityRole です。

builder.Services.AddDefaultIdentity<IdentityUser>( ... )
    .AddRoles<IdentityRole>()
    ...

上記のコードには、Microsoft.AspNetCore.Identity.UI パッケージと、Microsoft.AspNetCore.Identity 用の using ディレクティブが必要です。

ロール チェックの追加

ロールベースの承認チェックとは:

• 宣言型で、現在のユーザーが要求されたリソースにアクセスするためにメンバーである必要があるロールを指定します。
• コントローラー内の Razor Pages、コントローラー、またはアクションに適用されます。
• Razor Page ハンドラー レベルで適用することは "できません"。Page に適用する必要があります。

たとえば、次のコードは、AdministrationController のアクションへのアクセスを、Administrator ロールのメンバーであるユーザーに制限します。

[Authorize(Roles = "Administrator")]
public class AdministrationController : Controller
{
    public IActionResult Index() =>
        Content("Administrator");
}

複数のロールは、コンマ区切りの一覧として指定できます。

[Authorize(Roles = "HRManager,Finance")]
public class SalaryController : Controller
{
    public IActionResult Payslip() =>
                    Content("HRManager || Finance");
}

HRManager ロール またはFinance ロールのメンバーからアクセスできるのは SalaryController だけです。

複数の属性が適用されている場合、アクセスするユーザーは、指定された "すべて" のロールのメンバーである必要があります。 次の例では、ユーザーが PowerUser "と" ControlPanelUser ロールの "両方" のメンバーである必要があります。

[Authorize(Roles = "PowerUser")]
[Authorize(Roles = "ControlPanelUser")]
public class ControlPanelController : Controller
{
    public IActionResult Index() =>
        Content("PowerUser && ControlPanelUser");
}

アクション レベルで追加のロール認可属性を適用すると、アクションへのアクセスを制限できます。

[Authorize(Roles = "Administrator, PowerUser")]
public class ControlAllPanelController : Controller
{
    public IActionResult SetTime() =>
        Content("Administrator || PowerUser");

    [Authorize(Roles = "Administrator")]
    public IActionResult ShutDown() =>
        Content("Administrator only");
}

上記の ControlAllPanelController コントローラーのでは次のようになります:

• Administrator ロールまたは PowerUser ロールのメンバーはコントローラーと SetTime アクションにアクセスできます。
• Administrator ロールのメンバーだけが ShutDown アクションにアクセスできます。

コントローラーはセキュリティで保護できますが、個々のアクションへの認証されていない匿名アクセスが許可されます。

[Authorize]
public class Control3PanelController : Controller
{
    public IActionResult SetTime() =>
        Content("[Authorize]");

    [AllowAnonymous]
    public IActionResult Login() =>
        Content("[AllowAnonymous]");
}

Razor Pages の場合、[Authorize] は次のいずれかの方法で適用できます。

• 規則の使用、または
• [Authorize] を PageModel インスタンスに適用

[Authorize(Policy = "RequireAdministratorRole")]
public class UpdateModel : PageModel
{
    public IActionResult OnPost() =>
         Content("OnPost RequireAdministratorRole");
}

重要

AuthorizeAttribute を含むフィルター属性は PageModel にのみ適用できます。また、特定のページ ハンドラー メソッドには適用できません。

ポリシー ベースのロール チェック

ロールの要件は、ポリシー構文を使って表すこともできます。開発者は、認可サービス構成の一部としてアプリケーションの起動時にポリシーを登録します。 これは通常、次のように Program.cs ファイルで発生します。

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddRazorPages();
builder.Services.AddControllersWithViews();

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireAdministratorRole",
         policy => policy.RequireRole("Administrator"));
});

var app = builder.Build();

if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseAuthentication();
app.UseAuthorization();

app.MapDefaultControllerRoute();
app.MapRazorPages();

app.Run();

ポリシーは、[Authorize] 属性の Policy プロパティを使って適用されます。

[Authorize(Policy = "RequireAdministratorRole")]
public IActionResult Shutdown()
{
    return View();
}

要件で複数の許可ロールを指定する場合は、RequireRole メソッドのパラメーターとして指定します。

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddRazorPages();
builder.Services.AddControllersWithViews();

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ElevatedRights", policy =>
          policy.RequireRole("Administrator", "PowerUser", "BackupAdministrator"));
});

var app = builder.Build();

上記のコードは、Administrator、PowerUser または BackupAdministrator ロールに属しているユーザーを承認します。