|Autenticació de proxy integrada: comptes de servei i suplantació
|Examineu el context de seguretat darrere de l'autenticació de proxy integrada quan la mateixa aplicació funciona interactivament i falla com a servei web o procés programat.
“Utilitza les meves credencials de Windows” necessita un subjecte. En un programa d'escriptori, pot ser la persona que l'executa. En un servei, pot ser el compte del servei. En una aplicació web, l'inici de sessió correcte d'un visitant no substitueix automàticament el context de seguretat de la petició sortint.
Això explica per què un navegador i codi de servidor a la mateixa màquina poden rebre resultats diferents d'un proxy amb autenticació integrada. Poden estar presentant identitats diferents.
Anomeneu les identitats abans de canviar el codi
- La persona que ha iniciat sessió al navegador d'escriptori.
- El compte que allotja el procés de l'aplicació.
- Qualsevol identitat suplantada activa per a l'operació sortint.
- El compte que el proxy ha acceptat o rebutjat realment.
A les rutes d'autenticació integrada admeses pel .NET, DefaultCredentials fa referència al context de seguretat actual. No és un àlies global per a qui hagi obert una pàgina en una altra màquina.
Si el producte actua deliberadament com a usuari, la suplantació i qualsevol requisit de delegació de xarxa necessiten el seu propi disseny admès. Activar un interruptor genèric d'ús de credencials predeterminades no estableix aquest disseny. A la inversa, una tasca en segon pla pensada per executar-se com a identitat de servei no hauria de dependre que algú obri primer un navegador.
Compareu l'execució interactiva i la desplegada sense secrets: context del compte, punt final del proxy, mètode anunciat i identitat rebutjada. Eviteu copiar una contrasenya d'escriptori a l'aplicació només perquè ha fet que una petició puntual tingués èxit. Configureu el compte que l'aplicació ha d'utilitzar i manteniu aquesta propietat visible al registre de desplegament.