WCF 보안 - 초보자 질문 -

Question

저는 하루 종일 WCF 보안에 대해 읽었으며 편안하다고 말할 수 없습니다.

일부 WCF 서비스를 개발하여 테스트 서버에 배포했으며 클라이언트에서 호출 할 수 있습니다. 양측 C#/VS 2010. 서비스는 IIS 6에서 호스팅됩니다. 최근에 갈 옵션이 없습니다.

그래서 저는 IIS 6에서만 HTTP를 사용할 수 있다고 읽었습니다 - 저는 basicHttpBinding 또는 wsHttpBinding을 바인딩으로 제한합니다.

나는 basicHttpBinding이 아니지만 wsHttpBinding을 사용하여 유선을 통해 전송 된 XML이 암호화되었음을 읽었습니다.

그래서 나는 일종의 인증을 원할 것이고 wsHttpBinding과 같이 가고 싶고 사용자 이름/암호가 들어오는 메시지와 함께 전달된다고 생각합니다.

첫 번째 질문은 - wsHttpBinding을 사용하면 클라이언트가 https를 사용하여 호출해야합니까? 그런 다음 서버의 인증서 등을 걱정해야합니까?

두 번째 질문은 - 어떤 보안 옵션을 사용할 수 있습니까? 발신자가 서버의 Windows 사용자 여야 만합니까? 아니면 자신의 사용자 이름/암호를 만들어 서비스 및 서비스의 해당 부분에 유효성 검사를 수행하고 Windows 사용자와 관련이 없어도됩니까? Windows 사용자와 함께해야만하는 경우 서버에 하나의 사용자 계정을 설정하고 모든 발신자가 사용하는 것이 일반적이라고 생각하십니까?

기본 아이디어는 선택한 발신자에게이 서비스를 개방해야하지만 누구도 서비스를 발견하고 호출 할 수 없도록하려는 것입니다. 누가 서비스를 호출하는지 어떻게 든 제어해야합니다. 사용자 이름/암호가이를 수행하는 표준 방법입니까? 예를 들어 모든 호출자가 전달해야하는 GUID를 정의 할 수 있습니까?

Answer 1

첫 번째 질문에 대한 답변입니다. wsHttpBinding은 이 아니며 HTTPS가 필요합니다. SecurityMode를 Message 또는 None으로 설정하면 HTTP를 사용할 수 있습니다. 그러나 서비스 호출과 함께 사용자 이름과 암호를 보내도록 제안 했으므로이를 분명히해서는 안됩니다. 그렇게하면 누구나 전송중인 메시지를보고 사용자 이름과 암호를 읽을 수 있으며 보안이 완전히 손상됩니다. 인증서를 가져와 HTTPS를 사용해야 할 것 같습니다. 그렇게 나쁘지는 않지만 웹에서 당신을 도울 많은 자원이 있습니다.

그런데 basicHttpBinding과 wsHttpBinding을 사용하여 HTTPS를 수행 할 수 있습니다. 또한 단순성을 위해 REST 사용을 고려해야합니다. WCF는이를 잘 지원하며 (webHttpBinding) Web API과 함께 더 나은 지원을 제공합니다.

두 번째 질문에 대한 대답으로, 호출자가 서버의 Windows 사용자가 아니어도되며 사용자 이름과 암호를 사용할 수 있습니다. 이를 기본 인증이라고합니다. 다시 말하지만, 웹상에는 그것에 관해 많은 것들이 있습니다. 시작 here.

이렇게하면 분명히 유효성을 검사하고 서비스에 대한 액세스를 거부 할 수 있도록 사용자 이름과 암호를 저장하는 데이터베이스가 있어야합니다. WCF를 사용하여이 작업을 수행하는 가장 간단한 방법은 기본값 인 membership providers 중 하나를 사용하는 것입니다.