Разработка HTTP-модуля для работы с внешним провайдером аутентификации

Утверждение (Claim)

Единица информации о пользователе, использующаяся для его идентификации на сайте, например, имя, фамилия, право на выполнение определенных действий. Используется для создания токена безопасности.

Для подключения внешнего провайдера аутентификации к веб-доступу необходимо создать HTTP-модуль, который содержит обработчик события AuthenticateRequest. Функция обработчика получает реквизиты пользователя, передаваемые провайдером, и на их основе создает объект класса ClaimsIdentity.

Объект класса ClaimsIdentity содержит ряд утверждений (claim), описывающих пользователя, например, логин и пароль. Список утверждений зависит от применяемого типа аутентификации в DIRECTUM (не путать с аутентификацией у провайдера):

Для реализации внутренней аутентификации веб-доступ поддерживает следующий список утверждений:

Обязательным утверждением для любого типа аутентификации является утверждение, которое определяет тип внутренней аутентификации: http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod.

Постановка задачи

Внешний провайдер аутентификации в cookie MyCustomIdP_UserCredentials возвращает данные пользователя в формате:

«ТипАутентификации,ЛогинПользователя,ПарольПользователя»

Необходимо создать HTTP-модуль, который обеспечивает интерфейс между провайдером аутентификации и сайтом веб-доступа.

Программный код

Imports System.Security.Principal
Imports System.Text.RegularExpressions
Imports System.Threading
Imports System.Web
Imports System.Text
Imports System.Security.Claims
Imports System.Configuration
Imports System.IdentityModel.Tokens
 
Public Class MyIdPAuthenticationModule
 Implements IHttpModule
 
''' <summary>
''' Освобождение ресурсов.
''' </summary>
''' <remarks></remarks>
Public Sub Dispose() Implements IHttpModule.Dispose
 
End Sub
 
''' <summary>
''' Инициализация.
''' </summary>
''' <param name="context"></param>
''' <remarks></remarks>
Public Sub Init(context As HttpApplication) Implements IHttpModule.Init
   AddHandler context.AuthenticateRequest, AddressOf OnAuthentication
End Sub
 
''' <summary>
''' Обработчик события аутентификации.
''' </summary>
''' <param name="Source"></param>
''' <param name="e"></param>
''' <remarks></remarks>
Public Sub OnAuthentication(Source As Object, e As EventArgs)
  Dim Application As HttpApplication = CType(Source, HttpApplication)
  Dim Request As HttpRequest = Application.Context.Request
  Dim Certificate As HttpClientCertificate = Request.ClientCertificate
  Dim Claims As New List(Of Claim)
 
   Try
    If HttpContext.Current IsNot Nothing Then
      If HttpContext.Current.User Is Nothing OrElse Not HttpContext.Current.User.Identity.IsAuthenticated Then
        Dim AuthCookie As HttpCookie = HttpContext.Current.Request.Cookies("MyCustomIdP_UserCredentials")
        If AuthCookie IsNot Nothing Then
          'Извлечь реквизиты пользователя из cookie.
          Dim UserCredentials As String() = AuthCookie.Value.Split(","c)
 
          'Заполнить список утверждений по предоставленным реквизитам
          'пользователя.
           Claims.Add(New Claim("http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod", AuthenticationMethods.Password))
           Claims.Add(New Claim(ClaimTypes.Name, UserCredentials(1)))
           Claims.Add(New Claim("http://schemas.npo.comp/ws/2015/identity/claims/secret", UserCredentials(2)))
 
          'Создать объект идентификации пользователя.
          Dim Identity As New ClaimsIdentity(Claims, "MyIdPIdentityKey")
          'Создать объект участника контекста безопасности.
          Dim Principal = New ClaimsPrincipal(Identity)
          'Установить объект участника контекста в HTTP-контексте.
           HttpContext.Current.User = CType(Principal, IPrincipal)
           Application.Context.User = CType(Principal, IPrincipal)
           Thread.CurrentPrincipal = CType(Principal, IPrincipal)
        End If
      End If
    End If
   Catch ex As Exception
    'TODO: Обработать исключения
  End Try
End Sub
End Class

Подключите HTTP-модуль к веб-доступу:

<add type="MyIdPAuthenticationModule.MyIdPAuthenticationModule, MyIdPAuthenticationModule" name="MyIdPAuthenticationModule" />

Результат

Пользователь аутентифицируется на странице внешнего провайдера и перенаправляется на сайт веб-доступа. HTTP-модуль извлекает токен безопасности пользователя и по нему создает объект класса ClaimsIdentity, который используется веб-доступом для проведения внутренней аутентификации.