方法: カスタム承認ポリシーを作成する

[アーティクル]
04/06/2023

Windows Communication Foundation (WCF) の ID モデルインフラストラクチャでは、クレームベースの承認モデルがサポートされています。クレームは、トークンから抽出され、状況に応じてカスタム承認ポリシーによって処理されてから、承認決定を行う際に確認できる AuthorizationContext に格納されます。カスタムポリシーを使用して、入力トークンからのクレームを、アプリケーションが要求するクレームに変換することができます。この方法で、WCF がサポートするさまざまなトークンの種類から抽出される個々のクレームの詳細から、アプリケーションレイヤーを分離できます。このトピックでは、カスタム承認ポリシーの実装方法と、サービスで使用するポリシーのコレクションにカスタム承認ポリシーを追加する方法について説明します。

カスタム承認ポリシーを実装するには

IAuthorizationPolicy から派生する新しいクラスを定義します。
クラスのコンストラクター内で一意の文字列を生成し、プロパティがアクセスされたときにその文字列を返すことによって、読み取り専用の Id プロパティを実装します。
ポリシーの発行者を表す Issuer を返すことによって、読み取り専用の ClaimSet プロパティを実装します。これは、アプリケーションを表す ClaimSet、または組み込み ClaimSet (静的な ClaimSet プロパティから返される System など) にすることができます。
次の手順に従って、Evaluate(EvaluationContext, Object) メソッドを実装します。

Evaluate メソッドを実装するには

このメソッドには、EvaluationContext クラスのインスタンスとオブジェクト参照の 2 つのパラメーターが渡されます。
カスタム承認ポリシーにより、EvaluationContext の現在の内容とは無関係に ClaimSet インスタンスが追加される場合は、AddClaimSet(IAuthorizationPolicy, ClaimSet) メソッドを呼び出して各 ClaimSet を追加し、Evaluate メソッドから true を返します。 true を返すことは、承認インフラストラクチャに対して、承認ポリシーがその処理を完了したため、もう一度呼び出す必要がないことを知らせることになります。
カスタム承認ポリシーで EvaluationContext 内に特定のクレームが既に存在するときにのみクレームセットを追加する場合は、ClaimSet プロパティから返された ClaimSets インスタンスを調べて、該当するクレームを見つけます。クレームが見つかった場合は、AddClaimSet(IAuthorizationPolicy, ClaimSet) メソッドを呼び出して新しいクレームセットを追加します。追加するクレームセットがない場合は、true を返し、承認インフラストラクチャに承認ポリシーがその処理を完了したことを知らせます。クレームが存在しない場合は false を返し、他の承認ポリシーで EvaluationContext にさらにクレームセットを追加する場合は、もう一度承認ポリシーを呼び出す必要があることを知らせます。
より複雑な処理シナリオでは、Evaluate(EvaluationContext, Object) メソッドの 2 番目のパラメーターを使用して、特定の評価のために Evaluate(EvaluationContext, Object) メソッドに対するその後の呼び出し時に承認インフラストラクチャから返される状態変数を格納します。

構成を使用してカスタム承認ポリシーを指定するには

policyType 要素の add 要素にある authorizationPolicies 要素の serviceAuthorization 属性でカスタム承認ポリシーの種類を指定します。

<configuration>  
 <system.serviceModel>  
  <behaviors>  
    <serviceAuthorization serviceAuthorizationManagerType=  
              "Samples.MyServiceAuthorizationManager" >  
      <authorizationPolicies>  
        <add policyType="Samples.MyAuthorizationPolicy" />  
      </authorizationPolicies>  
    </serviceAuthorization>  
  </behaviors>  
 </system.serviceModel>  
</configuration>

コードを使用してカスタム承認ポリシーを指定するには

List<T> の IAuthorizationPolicy を作成します。
カスタム承認ポリシーのインスタンスを作成します。
リストに承認ポリシーインスタンスを追加します。
カスタム承認ポリシーごとに手順 2. と 3. を繰り返します。

ExternalAuthorizationPolicies プロパティにリストの読み取り専用バージョンを割り当てます。

// Add a custom authorization policy to the service authorization behavior.
List<IAuthorizationPolicy> policies = new List<IAuthorizationPolicy>();
policies.Add(new MyAuthorizationPolicy());
serviceHost.Authorization.ExternalAuthorizationPolicies = policies.AsReadOnly();

' Add custom authorization policy to service authorization behavior.
Dim policies As List(Of IAuthorizationPolicy) = New List(Of IAuthorizationPolicy)()
policies.Add(New MyAuthorizationPolicy())
serviceHost.Authorization.ExternalAuthorizationPolicies = policies.AsReadOnly()

例

完成した IAuthorizationPolicy の実装例を次に示します。

public class MyAuthorizationPolicy : IAuthorizationPolicy
{
    string id;

    public MyAuthorizationPolicy()
    {
        id = Guid.NewGuid().ToString();
    }

    public bool Evaluate(EvaluationContext evaluationContext, ref object state)
    {
        bool bRet = false;
        CustomAuthState customstate = null;

        // If the state is null, then this has not been called before so
        // set up a custom state.
        if (state == null)
        {
            customstate = new CustomAuthState();
            state = customstate;
        }
        else
        {
            customstate = (CustomAuthState)state;
        }

        // If claims have not been added yet...
        if (!customstate.ClaimsAdded)
        {
            // Create an empty list of claims.
            IList<Claim> claims = new List<Claim>();

            // Iterate through each of the claim sets in the evaluation context.
            foreach (ClaimSet cs in evaluationContext.ClaimSets)
                // Look for Name claims in the current claimset.
                foreach (Claim c in cs.FindClaims(ClaimTypes.Name, Rights.PossessProperty))
                    // Get the list of operations the given username is allowed to call.
                    foreach (string s in GetAllowedOpList(c.Resource.ToString()))
                    {
                        // Add claims to the list.
                        claims.Add(new Claim("http://example.org/claims/allowedoperation", s, Rights.PossessProperty));
                        Console.WriteLine("Claim added {0}", s);
                    }

            // Add claims to the evaluation context.
            evaluationContext.AddClaimSet(this, new DefaultClaimSet(this.Issuer, claims));

            // Record that claims were added.
            customstate.ClaimsAdded = true;

            // Return true, indicating that this method does not need to be called again.
            bRet = true;
        }
        else
        {
            // Should never get here, but just in case, return true.
            bRet = true;
        }

        return bRet;
    }

    public ClaimSet Issuer
    {
        get { return ClaimSet.System; }
    }

    public string Id
    {
        get { return id; }
    }

    // This method returns a collection of action strings that indicate the
    // operations the specified username is allowed to call.
    private IEnumerable<string> GetAllowedOpList(string username)
    {
        IList<string> ret = new List<string>();

        if (username == "test1")
        {
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Add");
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Multiply");
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Subtract");
        }
        else if (username == "test2")
        {
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Add");
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Subtract");
        }
        return ret;
    }

    // Internal class for keeping track of state.
    class CustomAuthState
    {
        bool bClaimsAdded;

        public CustomAuthState()
        {
            bClaimsAdded = false;
        }

        public bool ClaimsAdded
        {
            get { return bClaimsAdded; }
            set { bClaimsAdded = value; }
        }
    }
}


Public Class MyAuthorizationPolicy
    Implements IAuthorizationPolicy
    Private id_Value As String


    Public Sub New()
        id_Value = Guid.NewGuid().ToString()

    End Sub


    Public Function Evaluate(ByVal evaluationContext As EvaluationContext, ByRef state As Object) As Boolean _
        Implements IAuthorizationPolicy.Evaluate
        Dim bRet As Boolean = False
        Dim customstate As CustomAuthState = Nothing

        ' If the state is null, then this has not been called before, so set up
        ' our custom state.
        If state Is Nothing Then
            customstate = New CustomAuthState()
            state = customstate
        Else
            customstate = CType(state, CustomAuthState)
        End If
        ' If claims have not been added yet...
        If Not customstate.ClaimsAdded Then
            ' Create an empty list of Claims.
            Dim claims as IList(Of Claim) = New List(Of Claim)()

            ' Iterate through each of the claimsets in the evaluation context.
            Dim cs As ClaimSet
            For Each cs In evaluationContext.ClaimSets
                ' Look for Name claims in the current claimset...
                Dim c As Claim
                For Each c In cs.FindClaims(ClaimTypes.Name, Rights.PossessProperty)
                    ' Get the list of operations that the given username is allowed to call.
                    Dim s As String
                    For Each s In GetAllowedOpList(c.Resource.ToString())
                        ' Add claims to the list.
                        claims.Add(New Claim("http://example.org/claims/allowedoperation", s, Rights.PossessProperty))
                        Console.WriteLine("Claim added {0}", s)
                    Next s
                Next c
            Next cs ' Add claims to the evaluation context.
            evaluationContext.AddClaimSet(Me, New DefaultClaimSet(Me.Issuer, claims))

            ' Record that claims were added.
            customstate.ClaimsAdded = True

            ' Return true, indicating that this does not need to be called again.
            bRet = True
        Else
            ' Should never get here, but just in case...
            bRet = True
        End If


        Return bRet

    End Function

    Public ReadOnly Property Issuer() As ClaimSet Implements IAuthorizationPolicy.Issuer
        Get
            Return ClaimSet.System
        End Get
    End Property

    Public ReadOnly Property Id() As String Implements IAuthorizationPolicy.Id
        Get
            Return id_Value
        End Get
    End Property
    ' This method returns a collection of action strings that indicate the
    ' operations the specified username is allowed to call.

    ' Operations the specified username is allowed to call.
    Private Function GetAllowedOpList(ByVal userName As String) As IEnumerable(Of String)
        Dim ret As IList(Of String) = new List(Of String)()
        If username = "test1" Then
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Add")
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Multiply")
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Subtract")
        ElseIf username = "test2" Then
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Add")
            ret.Add("http://Microsoft.ServiceModel.Samples/ICalculator/Subtract")
        End If
        Return ret
    End Function

    ' internal class for keeping track of state

    Class CustomAuthState
        Private bClaimsAdded As Boolean


        Public Sub New()
            bClaimsAdded = False

        End Sub


        Public Property ClaimsAdded() As Boolean
            Get
                Return bClaimsAdded
            End Get
            Set
                bClaimsAdded = value
            End Set
        End Property
    End Class
End Class

方法: カスタム承認ポリシーを作成する

カスタム承認ポリシーを実装するには

Evaluate メソッドを実装するには

構成を使用してカスタム承認ポリシーを指定するには

コードを使用してカスタム承認ポリシーを指定するには

例

関連項目

その他のリソース