方法 : カスタムトークンを作成する

[アーティクル]
09/12/2008

ここでは、SecurityToken を使用してカスタムのセキュリティトークンを作成する方法と、作成したトークンを、カスタムセキュリティトークンプロバイダおよび認証システムと統合する方法について説明します。

"セキュリティトークン" とは、基本的に、Windows Communication Foundation (WCF) セキュリティフレームワークが SOAP メッセージ内の送信者に関するクレームを表すために使用する XML 要素です。WCF セキュリティは、システム指定の認証モードで使用するさまざまなトークンを提供します**。たとえば、X509SecurityToken クラスによって表される X.509 証明書セキュリティトークンや、UserNameSecurityToken クラスによって表されるユーザー名セキュリティトークンなどがあります。

認証モードや資格情報は、指定した種類のトークンではサポートされないことがあります。そのような場合は、SOAP メッセージ内部のカスタム資格情報の XML 表現を提供するカスタムセキュリティトークンを作成する必要があります。

以下の手順は、カスタムセキュリティトークンの作成方法と、これを WCF セキュリティインフラストラクチャに統合する方法を示しています。ここでは、クライアントのクレジットカードに関する情報をサーバーに渡す際に使用するクレジットカードトークンを作成します。

カスタム資格情報とセキュリティトークンマネージャ詳細については、、「方法 : カスタムクライアントおよびサービスの資格情報を作成する」を参照してください。

セキュリティトークンを表すさまざまなクラスについては、「System.IdentityModel.Tokens 名前空間」を参照してください。

資格情報、セキュリティトークンマネージャ、およびプロバイダクラスと認証システムクラス詳細については、、「セキュリティアーキテクチャ」を参照してください。

手順

クライアントアプリケーションには、セキュリティインフラストラクチャにクレジットカード情報を指定する方法を設ける必要があります。この情報は、カスタムのクライアント資格情報クラスによりアプリケーションに提供されます。最初に、カスタムクライアント資格情報のクレジットカード情報を表すクラスを作成します。

クライアント資格情報内のクレジットカード情報を表すクラスを作成するには

クレジットカード情報を表す新しいクラスをアプリケーションに定義します。次の例は、CreditCardInfo クラスを示しています。
適切なプロパティをクラスに追加し、カスタムトークンに必要な情報をアプリケーションで設定できるようにします。次の例では、CardNumber、CardIssuer、および ExpirationDate の 3 つのプロパティをクラスに割り当てます。

次に、カスタムセキュリティトークンを表すクラスを作成する必要があります。このクラスは、セキュリティトークンプロバイダ、認証システム、およびシリアライザの各クラスが、WCF セキュリティインフラストラクチャとの間で、セキュリティトークンに関する情報を受け渡しする際に使用します。

カスタムセキュリティトークンクラスを作成するには

SecurityToken クラスから派生する新しいクラスを定義します。CreditCardToken という名前のクラスを作成する例を次に示します。
Id プロパティをオーバーライドします。このプロパティを使用して、SOAP メッセージ内の他の要素からセキュリティトークンの XML 表現をポイントするためのセキュリティトークンのローカル識別子を取得します。次の例では、トークン識別子をコンストラクタパラメータとしてこのプロパティに渡すことも、セキュリティトークンインスタンスを作成するたびに新しいランダムな識別子を生成することもできます。
SecurityKeys プロパティを実装します。このプロパティは、セキュリティトークンインスタンスが表すセキュリティキーのコレクションを返します。これらのキーを使用して、WCF は、SOAP メッセージの一部に署名したり、暗号化したりできます。次の例では、クレジットカードセキュリティトークンにはセキュリティキーを含めることができません。そのため、実装は、常に空のコレクションを返します。
ValidFrom プロパティと ValidTo プロパティをオーバーライドします。これらのプロパティを使用して、WCF は、セキュリティトークンインスタンスの有効性を判別します。次の例では、クレジットカードセキュリティトークンに有効期限のみが含まれているため、ValidFrom プロパティは、インスタンスの作成日時を表す DateTime を返します。

セキュリティトークンの新しい種類を作成したときは、SecurityTokenParameters クラスの実装が必要です。この実装をセキュリティバインディング要素構成で使用して、新しいトークンの種類を表します。セキュリティトークンのパラメータクラスは、メッセージを処理するときに実際のセキュリティトークンインスタンスを一致させるためのテンプレートとして使用できます。このテンプレートは、セキュリティトークンを使用したり、認証したりする際に適合する必要がある条件を指定するためにアプリケーションで使用できる追加のプロパティを提供します。次の例では、追加のプロパティを指定しないため、使用または検証するセキュリティトークンインスタンスを WCF インフラストラクチャが検索するときに、該当するセキュリティトークンの種類だけが一致項目になります。

カスタムセキュリティトークンパラメータクラスを作成するには

SecurityTokenParameters クラスから派生する新しいクラスを定義します。
CloneCore メソッドを実装します。クラスで内部フィールドが定義されている場合は、それらをすべてコピーします。次の例では、追加のフィールドを定義しません。
SupportsClientAuthentication の読み取り専用プロパティを実装します。このクラスで表されているセキュリティトークンの種類を使用して、サービスに対するクライアントの認証が可能な場合、このプロパティは true を返します。次の例では、クレジットカードセキュリティトークンを使用して、サービスに対するクライアントの認証を行うことができます。
SupportsServerAuthentication の読み取り専用プロパティを実装します。このクラスで表されているセキュリティトークンの種類を使用して、クライアントに対するサービスの認証が可能な場合、このプロパティは true を返します。次の例では、クレジットカードセキュリティトークンを使用して、クライアントに対するサービスの認証を行うことができません。
SupportsClientWindowsIdentity の読み取り専用プロパティを実装します。このクラスで表されているセキュリティトークンの種類を Windows アカウントに割り当てることができる場合、このプロパティは true を返します。その場合、認証結果が WindowsIdentity クラスインスタンスによって表されます。次の例では、Windows アカウントにトークンを割り当てることができません。
CreateKeyIdentifierClause メソッドを実装します。このメソッドは、セキュリティトークンパラメータクラスによって表されるセキュリティトークンインスタンスへの参照が必要なときに WCF セキュリティフレームワークによって呼び出されます。このメソッドには、実際のセキュリティトークンインスタンスと、要求されている参照の型を指定する SecurityTokenReferenceStyle の両方が引数として渡されます。次の例では、内部参照だけがクレジットカードセキュリティトークンでサポートされます。SecurityToken クラスは、内部参照を作成する機能を備えているため、実装には追加のコードが必要ありません。
InitializeSecurityTokenRequirement メソッドを実装します。WCF は、このメソッドを呼び出して、セキュリティトークンパラメータクラスインスタンスを SecurityTokenRequirement クラスのインスタンスに変換します。変換結果は、適切なセキュリティトークンインスタンスを作成するためにセキュリティトークンプロバイダによって使用されます。

セキュリティトークンは、SOAP メッセージ内で送信されますが、そのためには、セキュリティトークンのインメモリ表現とネットワーク上表現の間での変換機構が必要です。WCF では、セキュリティトークンシリアライザを使用してこのタスクを実行します。すべてのカスタムトークンには、カスタムセキュリティトークンを SOAP メッセージからシリアル化および逆シリアル化できるカスタムセキュリティトークンシリアライザを関連付ける必要があります。

メモ :
派生キーは、既定で有効になっています。カスタムセキュリティトークンを作成し、プライマリトークンとして使用する場合、WCF では、そのトークンからキーが派生します。キーを派生する一方、カスタムセキュリティトークンシリアライザが呼び出され、DerivedKeyToken をシリアル化しながら、そのカスタムセキュリティトークンの SecurityKeyIdentifierClause をネットワークに送出します。受信側では、ネットワーク外でのトークンの逆シリアル化時に、DerivedKeyToken シリアライザは、トークンのすぐ下のトップレベルの子として SecurityTokenReference 要素を必要とします。カスタムセキュリティトークンシリアライザによる句型のシリアル化時に SecurityTokenReference 要素が追加されていなかった場合、例外がスローされます。

派生キーは、既定で有効になっています。カスタムセキュリティトークンを作成し、プライマリトークンとして使用する場合、WCF では、そのトークンからキーが派生します。キーを派生する一方、カスタムセキュリティトークンシリアライザが呼び出され、DerivedKeyToken をシリアル化しながら、そのカスタムセキュリティトークンの SecurityKeyIdentifierClause をネットワークに送出します。受信側では、ネットワーク外でのトークンの逆シリアル化時に、DerivedKeyToken シリアライザは、トークンのすぐ下のトップレベルの子として SecurityTokenReference 要素を必要とします。カスタムセキュリティトークンシリアライザによる句型のシリアル化時に SecurityTokenReference 要素が追加されていなかった場合、例外がスローされます。

カスタムセキュリティトークンシリアライザを作成するには

WSSecurityTokenSerializer クラスから派生する新しいクラスを定義します。
XmlReader に基づいて XML ストリームを読み取る CanReadTokenCore メソッドをオーバーライドします。シリアライザ実装が現在の要素に基づいてセキュリティトークンを逆シリアル化できる場合、このメソッドは true を返します。次の例では、このメソッドが、XML リーダーの現在の XML 要素が正しい要素名と名前空間を持っているかどうかをチェックします。持っていない場合は、このメソッドの基本クラスの実装を呼び出して、XML 要素を処理します。
ReadTokenCore メソッドをオーバーライドします。このメソッドは、セキュリティトークンの XML コンテンツを読み取り、その適切なメモリ内表現を構築します。渡された XML リーダーの基盤となる XML 要素を認識できない場合は、基本クラスの実装を呼び出して、システム指定のトークンの種類を処理します。
CanWriteTokenCore メソッドをオーバーライドします。引数として渡されるトークンのメモリ内表現を XML 表現に変換できる場合、このメソッドは true を返します。変換できない場合は、基本クラスの実装を呼び出します。
WriteTokenCore メソッドをオーバーライドします。このメソッドは、セキュリティトークンのメモリ内表現を XML 表現に変換します。変換できない場合は、基本クラスの実装を呼び出します。

上記の 4 つの手順を完了したら、カスタムセキュリティトークンをセキュリティトークンプロバイダ、セキュリティトークン認証システム、セキュリティトークンマネージャ、クライアント資格情報、およびサービス資格情報と統合します。

カスタムセキュリティトークンをセキュリティトークンプロバイダと統合するには

セキュリティトークンプロバイダは、必要に応じて、トークンのインスタンスを作成、変更、および返却します。カスタムセキュリティトークンのカスタムプロバイダを作成するには、SecurityTokenProvider クラスを継承するクラスを作成します。GetTokenCore メソッドをオーバーライドして、CreditCardToken のインスタンスを返す例を次に示します。カスタムセキュリティトークンプロバイダ詳細については、、「方法 : カスタムセキュリティトークンプロバイダを作成する」を参照してください。

カスタムセキュリティトークンをセキュリティトークン認証システムと統合するには

セキュリティトークン認証システムは、セキュリティトークンがメッセージから抽出されたときにトークンの内容を検証します。カスタムセキュリティトークンのカスタム認証システムを作成するには、SecurityTokenAuthenticator クラスを継承するクラスを作成します。ValidateTokenCore メソッドをオーバーライドする例を次に示します。カスタムセキュリティトークン認証システム詳細については、、「方法 : カスタムセキュリティトークン認証システムを作成する」を参照してください。

カスタムセキュリティトークンをセキュリティトークンマネージャと統合するには

セキュリティトークンマネージャは、トークンプロバイダ、セキュリティ認証システム、およびトークンシリアライザの適切なインスタンスを作成します。カスタムトークンマネージャを作成するには、ClientCredentialsSecurityTokenManager クラスを継承するクラスを作成します。このクラスの主要なメソッドは SecurityTokenRequirement を使用して、適切なプロバイダとクライアント資格情報またはサービス資格情報を作成します。カスタムセキュリティトークンマネージャ詳細については、、「方法 : カスタムクライアントおよびサービスの資格情報を作成する」を参照してください。

カスタムセキュリティトークンをカスタムのクライアント資格情報およびサービス資格情報と統合するには

アプリケーションに API を提供し、事前に作成したカスタムセキュリティトークンインフラストラクチャで、カスタムセキュリティトークンの内容を提供および認証する際に使用するカスタムトークン情報を指定できるようにするには、カスタムのクライアント資格情報とサービス資格情報を追加する必要があります。この方法を次の例に示します。カスタムのクライアント資格情報とサービス資格情報詳細については、、「方法 : カスタムクライアントおよびサービスの資格情報を作成する」を参照してください。

事前に作成したカスタムセキュリティトークンパラメータクラスを使用して、サービスとの通信時にカスタムセキュリティトークンを使用する必要があることを WCF セキュリティフレームワークに伝えます。この方法を次の手順に示します。

カスタムセキュリティトークンをバインディングと統合するには

SecurityBindingElement クラスで公開されるトークンパラメータコレクションの 1 つで、カスタムセキュリティトークンパラメータクラスを指定する必要があります。次の例では、SignedEncrypted によって返されるコレクションを使用します。このコードでは、クライアントからサービスに送信されるすべてのメッセージにクレジットカードのカスタムトークンを追加し、メッセージの内容に自動的に署名して暗号化します。

次の方法で共有

方法 : カスタムトークンを作成する

手順

関連項目

タスク

リファレンス

概念

その他のリソース

次の方法で共有

方法 : カスタム トークンを作成する

手順

関連項目

タスク

リファレンス

概念

その他のリソース

方法 : カスタムトークンを作成する