asp.net - WCF 安全 - 我不明白的内容列表

Question

我在 WCF 和安全性方面绕来绕去，因此我在这里列出了一些问题，以便获得清晰的了解。

1. 我有兴趣获得有关传输与消息级安全性的更好解释。

2. 我认为我有一个在 SSL 下运行的服务，该服务将根据用户的 Windows 凭据对用户进行身份验证。我还认为我了解如何通过PrincipalPermission 限制对服务方法的访问。但是我如何实际检索当前的 IPrinciple，以便根据谁调用该服务返回不同的结果？

3. 我已经弄清楚如何打开跟踪，并且可以使用“Microsoft 服务跟踪日志查看器”查看跟踪日志，但如果我能弄清楚正在显示的内容，那就太糟糕了。有一个像样的资源解释如何使用这个东西吗？

4. 使用“证书”clientCredentialType 时，这与 SSL 有何不同？

5. 使用“Windows”clientCredentialType 时，如何查看正在传递的 Windows 用户？

6. 我的要求意味着我必须使用 basicHttpBindings - 我的假设是否正确:

• 我只能使用传输级安全吗？
• 我无法为此绑定(bind)实现自定义用户名/密码？

编辑

如何以与 .asmx 服务类似的方式将自定义 SOAP header 添加到我的服务中？这是一种有效的方法吗？

编辑

除了上述问题，我想知道是否可以通过检查 Active Directory 根据其 Windows 用户来验证 Windows 移动设备。就我目前发现的所有情况来看，这似乎不太可能。

注意对于那些不知道 Windows CE 版本的 WCF 可用的内容的人来说，它是:仅传输级安全性，以及客户端凭据类型的无/证书。因此，CE 的 WCF 默认情况下似乎不允许这样做，但我可以在消息中安全地发送此信息(通过方法签名)吗？这是否是发送此类信息的可接受方式？

Answer 1

我不知道所有答案，但以下是我知道的答案

1. 传输安全是指在传输消息时对通信进行加密，使其无法被读取和/或篡改。消息安全性意味着消息本身的内容在传输过程中被加密，但不一定。例如，消息安全性可以与 HTTP 一起使用，而传输安全性则需要使用 HTTPS(或其他绑定(bind))。
2. IPrincipal 主体 = Thread.CurrentPrincipal;
3. 无人应答
4. 是的，尽管 SSL 本身使用证书，但它并不相同。您可以让客户端发送一个服务已知的证书或由受信任的机构签名的证书，以便服务知道客户端是谁以及是否允许他们进行调用。使用SSL只能确保第三方无法通过拦截网络包来读取客户端和服务之间的通信。
5. IPrincipal 主体 = Thread.CurrentPrincipal;主体.身份.名称;
6. 没有。
   • 您可以选择“无”、“传输”、“消息”和“混合”安全性，但传输安全性将要求使用 HTTPS 调用端点，因为这是协议(protocol)的安全版本
   • 编辑:查看 this forum 上的讨论.

这些问题当然并不愚蠢。

附注我可以推荐这本书programming WCF services由 Juval Lowy 撰写，它非常深入，并且附带了一个非常有用的框架，扩展了 WCF/简化了某些事情。