|การพิสูจน์ตัวตนผ่านพร็อกซีแบบผสานรวม: บัญชีบริการและการสวมรอย
|ตรวจสอบบริบทด้านความปลอดภัยเบื้องหลังการพิสูจน์ตัวตนผ่านพร็อกซีแบบผสานรวม เมื่อแอปพลิเคชันเดียวกันทำงานแบบโต้ตอบได้ แต่ล้มเหลวเมื่อเป็นบริการเว็บหรือกระบวนการตามกำหนดเวลา
“ใช้ข้อมูลรับรอง Windows ของฉัน” ต้องมีผู้กระทำ ในโปรแกรมเดสก์ท็อป ผู้กระทำอาจเป็นคนที่รันมัน ในบริการ ผู้กระทำอาจเป็นบัญชีของบริการ ในแอปพลิเคชันเว็บ การลงชื่อเข้าใช้สำเร็จของผู้เยี่ยมชมไม่ได้แทนที่บริบทด้านความปลอดภัยของคำขอขาออกโดยอัตโนมัติ
สิ่งนี้อธิบายว่าทำไมเบราว์เซอร์และโค้ดฝั่งเซิร์ฟเวอร์บนเครื่องเดียวกันจึงอาจได้ผลลัพธ์ต่างกันจากพร็อกซีที่ใช้การพิสูจน์ตัวตนแบบผสานรวม พวกมันอาจแสดงตัวตนที่แตกต่างกัน
ตั้งชื่อตัวตนก่อนแก้ไขโค้ด
- บุคคลที่ลงชื่อเข้าใช้ในเบราว์เซอร์เดสก์ท็อป
- บัญชีที่โฮสต์กระบวนการของแอปพลิเคชัน
- ตัวตนที่สวมรอยซึ่งทำงานอยู่สำหรับการดำเนินการขาออก
- บัญชีที่พร็อกซียอมรับหรือปฏิเสธจริง ๆ
บนเส้นทางการพิสูจน์ตัวตนแบบผสานรวมที่ .NET รองรับ DefaultCredentials เกี่ยวข้องกับบริบทด้านความปลอดภัยปัจจุบัน ไม่ใช่ชื่อแทนทั่วไปสำหรับทุกคนที่เปิดหน้าเว็บบนเครื่องอื่น
หากผลิตภัณฑ์ทำหน้าที่เป็นผู้ใช้โดยเจตนา การสวมรอยและข้อกำหนดใด ๆ เกี่ยวกับการมอบหมายผ่านเครือข่ายต้องมีรูปแบบที่รองรับของตนเอง การเปิดสวิตช์ทั่วไปสำหรับใช้ข้อมูลรับรองเริ่มต้นไม่ได้สร้างรูปแบบนั้น ในทางกลับกัน งานเบื้องหลังที่ตั้งใจให้ทำงานในฐานะตัวตนของบริการไม่ควรขึ้นอยู่กับการที่ใครคนใดคนหนึ่งเปิดเบราว์เซอร์ก่อน
เปรียบเทียบการเริ่มต้นแบบโต้ตอบกับการปรับใช้แล้วโดยนำความลับออก: บริบทของบัญชี จุดปลายทางของพร็อกซี วิธีที่ประกาศ และตัวตนที่ถูกปฏิเสธ หลีกเลี่ยงการคัดลอกรหัสผ่านเดสก์ท็อปไปยังแอปพลิเคชันเพียงเพราะมันทำให้คำขอครั้งเดียวสำเร็จ กำหนดค่าบัญชีที่แอปพลิเคชันควรใช้ แล้วรักษาความเป็นเจ้าของนั้นให้มองเห็นได้ในบันทึกการปรับใช้