Windows 認証と JWT を ASP.NET Core の特定のルートに制限する

アプローチ 1: カスタム ミドルウェアを使用して認証を変更する

このソリューションは、カスタム ミドルウェアを使用して、JWT Bearer Authentication と Windows Authentication (Negotiate) を ASP.NET Core バックエンドの特定のルートに制限します。ミドルウェアは、ルートの認証要件に基づいて、適切な WWW-Authenticate ヘッダーのみが含まれるようにします。

public class AuthenticationSchemeMiddleware
{
    private readonly RequestDelegate _next;
    public AuthenticationSchemeMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var path = context.Request.Path;
        var authentication = context.RequestServices.GetRequiredService<IAuthenticationService>();
        if (path.StartsWithSegments("/api/jwt"))
        {
            context.Request.Headers["Authorization"] = "Bearer <your-token>";
        }
        else if (path.StartsWithSegments("/api/windows"))
        {
            context.Request.Headers["Authorization"] = "Negotiate";
        }
        await _next(context);
    }
}

public static class AuthenticationSchemeMiddlewareExtensions
{
    public static IApplicationBuilder UseAuthenticationSchemeMiddleware(this IApplicationBuilder builder)
    {
        return builder.UseMiddleware<AuthenticationSchemeMiddleware>();
    }
}

public void Configure(IApplicationBuilder app)
{
    app.UseAuthenticationSchemeMiddleware();
    app.UseAuthentication();
    app.UseAuthorization();
}

アプローチ 2: きめ細かい制御を備えたポリシーベースの認可

このソリューションは、承認ポリシーを使用して、ASP.NET Core のさまざまなルートに対して個別に認証スキームを構成します。このポリシーを使用すると、ルートに基づいて JWT Bearer Authentication または Windows Authentication を選択的に適用できます。

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(options =>
    {
        options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    })
    .AddJwtBearer(options =>
    {
        options.RequireHttpsMetadata = false;
        options.SaveToken = true;
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Issuer"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    })
    .AddNegotiate();

    services.AddAuthorization(options =>
    {
        options.AddPolicy("JwtAuthPolicy", policy =>
        {
            policy.AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme);
            policy.RequireAuthenticatedUser();
        });
        options.AddPolicy("WinAuthPolicy", policy =>
        {
            policy.AddAuthenticationSchemes(NegotiateDefaults.AuthenticationScheme);
            policy.RequireAuthenticatedUser();
        });
    });
}

public void Configure(IApplicationBuilder app)
{
    app.UseAuthentication();
    app.UseAuthorization();
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
        endpoints.MapControllerRoute(
            name: "jwt",
            pattern: "api/jwt/{action}",
            defaults: new { controller = "Jwt" });
        endpoints.MapControllerRoute(
            name: "windows",
            pattern: "api/windows/{action}",
            defaults: new { controller = "Windows" });
    });
}

アプローチ 3: ルートに基づいた条件付き WWW-Authenticate ヘッダー

このアプローチでは、ASP.NET Core は、応答をインターセプトし、条件に応じてヘッダーを調整することにより、ルートに基づいて適切な `WWW-Authenticate` ヘッダーのみを含めるように構成されます。この方法では、ミドルウェアを利用してヘッダーの制御をより柔軟に行います。

public class AuthenticationHeaderMiddleware
{
    private readonly RequestDelegate _next;
    public AuthenticationHeaderMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var path = context.Request.Path;
        await _next(context);
        if (path.StartsWithSegments("/api/jwt"))
        {
            context.Response.Headers["WWW-Authenticate"] = "Bearer";
        }
        else if (path.StartsWithSegments("/api/windows"))
        {
            context.Response.Headers["WWW-Authenticate"] = "Negotiate";
        }
    }
}

public static class AuthenticationHeaderMiddlewareExtensions
{
    public static IApplicationBuilder UseAuthenticationHeaderMiddleware(this IApplicationBuilder builder)
    {
        return builder.UseMiddleware<AuthenticationHeaderMiddleware>();
    }
}

public void Configure(IApplicationBuilder app)
{
    app.UseAuthenticationHeaderMiddleware();
    app.UseAuthentication();
    app.UseAuthorization();
}

ASP.NET Core の JWT と Windows 認証に関するよくある質問

1. ASP.NET Core の `AddJwtBearer` メソッドの目的は何ですか?
2. の AddJwtBearer メソッドは、ASP.NET Core で JWT Bearer 認証を構成するために使用されます。これにより、トークン発行者、対象者、署名キーなどのパラメーターの設定を含め、JWT トークンの検証方法を指定できます。これは、JWT トークンを使用して API を保護し、認証されたユーザーのみが保護されたリソースにアクセスできるようにするために不可欠です。
3. JWT でデフォルトの WWW-Authenticate ヘッダーを抑制するにはどうすればよいですか?
4. を扱うことで、 OnChallenge JWT Bearer 設定のイベントでは、デフォルトの WWW-Authenticate ヘッダーを抑制できます。これは電話で行うことができます context.HandleResponse()これにより、デフォルトの動作が回避され、JSON エラー メッセージとともに 401 ステータス コードを送信するなどのカスタム応答が手動で設定されます。
5. ASP.NET Core 認証のコンテキストでは、`AddNegotiate()` メソッドは何を行いますか?
6. の AddNegotiate() このメソッドは、Negotiate プロトコルを使用して Windows 認証を構成します。これにより、アプリケーションは、通常、ユーザーがすでに Windows ドメインにログインしているエンタープライズ環境で、Windows 資格情報に基づいてユーザーを認証できるようになります。
7. 複数の認証スキームを異なるルートに適用するにはどうすればよいですか?
8. ポリシーベースの認可を使用して、特定の認証スキームをさまざまなルートに適用できます。たとえば、次のように定義できます。 JwtAuthPolicy JWT で保護されたルートの場合、 WinAuthPolicy Windows 認証で保護されたルートの場合。次に、 [Authorize(Policy = "PolicyName")] 属性を使用すると、各ルートをそれぞれの認証スキームにバインドできます。
9. 「WWW-Authenticate」ヘッダーをカスタマイズすることが重要なのはなぜですか?
10. カスタマイズする WWW-Authenticate ヘッダーにより、関連する認証方法のみがクライアントにアドバタイズされるようになります。たとえば、JWT ルートが Negotiate メソッドを提案することは望ましくありません。これにより、クライアントが混乱したり、不必要な認証プロンプトが表示される可能性があります。このカスタマイズは、より明確な認証フローを提供することで、セキュリティを最適化し、ユーザー エクスペリエンスを向上させるのに役立ちます。
11. ポリシーベースの認可は、複数の認証スキームの管理にどのように役立ちますか?
12. ポリシーベースの認可を使用すると、それぞれが特定の認証スキームを使用して、さまざまなルートに対してカスタム認可ポリシーを定義できます。これにより、懸念事項が分離され、各ルートに適切なセキュリティ対策が確実に適用されるため、コードの柔軟性と保守性が向上します。ルートごとに異なるスキームと要件を定義して、適切なリソースに正しいメカニズムが適用されるようにすることができます。
13. JWT 構成の「OnChallenge」イベントを他の認証スキームに使用できますか?
14. はい、 OnChallenge イベントは、他のスキームにおける認証チャレンジへの応答をカスタマイズするためにも使用できます。たとえば、これを使用して、デフォルトのヘッダーを抑制したり、クライアントに返されるエラー メッセージを変更したりすることで、ネゴシエート認証スキームの動作をカスタマイズできます。このイベントは、認証チャレンジを制御する強力な方法を提供します。
15. ASP.NET Core における「UseAuthentication」ミドルウェアの役割は何ですか?
16. の UseAuthentication ミドルウェアは、ASP.NET Core アプリケーションで認証を有効にするために使用されます。これにより、受信リクエストが有効な認証トークンまたは資格情報であるかどうかが確実にチェックされます。このミドルウェアは、 UseAuthorization ミドルウェアは、認可チェックを実行する前にユーザーを適切に認証します。
17. ASP.NET Core で API の認証と承認を構成するにはどうすればよいですか?
18. API の認証と認可を構成するには、 AddAuthentication そして AddAuthorization 「Program.cs」ファイル内のメソッド。これらのメソッドは、認証スキーム (JWT やネゴシエートなど) を設定し、どのルートをどの認証スキームで保護する必要があるかを指定するポリシーを定義します。次に、 [Authorize] 属性を使用してルートを保護します。
19. Web API で JWT Bearer Authentication を使用する利点は何ですか?
20. JWT ベアラー認証は、サーバー上でセッション状態を維持せずにユーザーを認証するためのスケーラブルで安全な方法を提供するステートレスな認証方法です。これは、HTTP リクエストで簡単に渡すことができるトークンを使用してユーザーを認証できるため、API にとって特に便利であり、最新の Web アプリケーションやモバイル クライアントに最適です。

特定のルートに対する適切な認証ヘッダーの確保

最新の ASP.NET Core アプリケーションでは、JWT や Windows 認証などの認証スキームをさまざまなルートに対して制御することで、よりクリーンで安全な実装を実現できます。ここでの重要な課題は、 WWW認証 ヘッダーは、各ルートの適切な認証方法のみをアドバタイズします。認証スキームを正しく構成し、各ルートの応答ヘッダーをカスタマイズすることで、競合を排除し、アプリケーションのセキュリティを向上させることができます。 🌐

あなたの場合、解決策には、JWT と Windows 認証の両方にカスタム承認ポリシーを使用することが含まれます。これらのポリシーを利用すると、ルートごとにどの認証スキームを使用するかを制御できます。デフォルトを抑制することで WWW認証 ヘッダーを介して オンチャレンジ JWT 構成内のイベントを使用すると、JWT ルートの Bearer ヘッダーと Windows 認証ルートの Negotiate ヘッダーのみを表示するように応答を調整できます。このアプローチにより、関連するヘッダーのみが応答で送信されるようになり、認証プロセスが合理化され、ユーザー エクスペリエンスが向上します。 🔒

これらの手法を使用すると、ユーザーにとってよりクリーンな認証フローを実現し、不必要な認証プロンプトを回避できます。さらに、アプリケーションのセキュリティ体制をより適切に制御できます。これは、ASP.NET Core で認証を微調整することで、よりカスタマイズされた、堅牢で安全な Web アプリケーションがどのように可能になるかを示す好例です。 💻