authentication - ASP.NET Core Windows 身份验证和应用程序角色

Question

我正在尝试创建一个相当简单的 Intranet 应用程序，它将使用 Active Directory 进行身份验证，并将使用 AspNetRoles 表来检查用户是否处于某个应用程序角色。此应用程序只是一个内部彩票，其中一些用户可以创建事件/竞赛，然后其他用户可以提交参赛作品。我正在考虑从 2 个基本角色开始:

管理员 - 可以对“事件”或
“竞赛”实体

参赛者 - 可以执行 GET 操作
“竞赛”实体，并且可以创建新的“参赛”实体。

这就是我卡住的地方:我让 Windows 身份验证在某种意义上工作，从 Controller ，我可以做 User.Identity.Name并查看我的域登录名。此外，我可以通过执行 User.IsInRole("Domain Users") 来验证帐户是否属于域组。 .如果我想避免为我的应用程序中的每个角色创建新的 AD 组(假设设计更改需要额外的角色)，我如何在 Controller 上使用授权来检查应用程序角色？

这是我想使用的示例 Controller :

[Route("api/[controller]")]
[Authorize(Roles = "Contestant")]
public class EventTypesController : Controller
{
    private IRaffleRepository _repository;
    private ILogger<EventTypesController> _logger;

    public EventTypesController(IRaffleRepository repository, ILogger<EventTypesController> logger)
    {
        _repository = repository;
        _logger = logger;
    }

    [HttpGet("")]
    public IActionResult Get()
    {
        try
        {
            var results = _repository.GetAllEventTypes();
            return Ok(Mapper.Map<IEnumerable<EventTypeViewModel>>(results));
        }
        catch (Exception ex)
        {
            _logger.LogError($"Failed to get all event types: {ex}");
            return BadRequest("Error occurred");
        }
    }
}

在我的 Startup.cs 中，在 ConfigureServices 中，我按如下方式连接 Identity:

services.AddIdentity<RaffleUser, ApplicationRole>()
            .AddEntityFrameworkStores<RaffleContext>();

我的 RaffleUser 类实际上只是 IdentityUser 的默认实现:

public class RaffleUser : IdentityUser
{

}

我的 ApplicationRole 类也只是 IdentityRole 的默认实现。我还尝试在种子类中播种一些数据:

if (!await _roleManager.RoleExistsAsync("Administrator"))
{
    var adminRole = new ApplicationRole()
    {
        Name = "Administrator"
    };
    await _roleManager.CreateAsync(adminRole);
    await _context.SaveChangesAsync();
}

if (await _userManager.FindByNameAsync("jmoor") == null)
{
    using (var context = new PrincipalContext(ContextType.Domain))
    {
        var principal = UserPrincipal.FindByIdentity(context, "DOMAIN\\jmoor");
        if (principal != null)
        {
            var user = new RaffleUser()
            {
                Email = principal.EmailAddress,
                UserName = principal.SamAccountName
            };

            await _userManager.CreateAsync(user);
            await _context.SaveChangesAsync();

            var adminRole = await _roleManager.FindByNameAsync("Administrator");
            if (adminRole != null)
            {
                await _userManager.AddToRoleAsync(user, adminRole.Name);
                await _context.SaveChangesAsync();
            }
        }
    }
}

数据进入表，但似乎在 Controller 级别，我需要将经过身份验证的用户转换为 IdentityUser。我需要一些中间件类来为我做这件事吗？这是使授权可在所有 Controller 上重用的最佳方式吗？

Answer 1

首先，我最终创建了一个自定义 ClaimsTransformer，它返回一个填充了 UserClaims 和 RoleClaims 的 ClaimsPrincipal(在重构我的应用程序之后，我决定使用基于策略的授权，并且可以在角色或用户级别添加访问声明):

public async Task<ClaimsPrincipal> TransformAsync(ClaimsTransformationContext context)
{
    var identity = (ClaimsIdentity)context.Principal.Identity;
    var userName = identity.Name;
    if (userName != null)
    {
        var user = await _userManager.FindByLoginAsync("ActiveDirectory", userName);
        if (user != null)
        {
            identity.AddClaims(await _userManager.GetClaimsAsync(user));
            var roles = await _userManager.GetRolesAsync(user);
            identity.AddClaims(await GetRoleClaims(roles));
        }
    }
    return context.Principal;
}

private async Task<List<Claim>> GetRoleClaims(IList<string> roles)
{
    List<Claim> allRoleClaims = new List<Claim>();
    foreach (var role in roles)
    {
        var rmRole = await _roleManager.FindByNameAsync(role);
        var claimsToAdd = await _roleManager.GetClaimsAsync(rmRole);
        allRoleClaims.AddRange(claimsToAdd);
    }
    return allRoleClaims;
}

我在 Startup.cs 中将其连接起来:

services.AddScoped<IClaimsTransformer, Services.ClaimsTransformer>();

我还使用了基于策略的授权:

services.AddAuthorization(options =>
{
    options.AddPolicy("Administrator", policy => policy.RequireClaim("AccessLevel", "Administrator"));
    options.AddPolicy("Project Manager", policy => policy.RequireClaim("AccessLevel", "Project Manager"));
});

因此，用户或角色可以具有名称为“AccessLevel”并指定值的声明集。为了完成所有工作，我还创建了一个自定义 UserManager，它仅在 CreateAsync 期间使用 ActiveDirectory 中的其他详细信息填充 User 对象。