Discussion :

[topolino]

Bonjour,

Je souhaite mettre en place une authentification pour acceder a plusieurs services. (cette partie fonctionne)

En gros: Je me logue (login / password), et cela va me donner acces par exemple a creer un utilisateur, gerer un utilisateur, modififer....(CRUD users).

Ma questions se porte surtout sur comment savoir sans redemander à la personne logué son login/password a quelles actions il a droit. Faut il creer une session ? un token ? Comment cela fonctionne ?

Et comment gerer a quoi il a droit, par exemple une personne loguée ne pourra elle pas effacer un utilisateur donc ne pas lui montrer ce service.

Merci pour vos conseils

[Nathanael Marchand]

Le plus simple reste d'authentifier a chaque fois: ca présente l'avantage d'avoir des services stateless et donc d'être plus facilement scalable.

[topolino]

Et comment donner acces a telles ou telles methodes et services en fonction de la personnes loguees ?

[squelos]

Il faut que tu te renseignes concernant les différents modes de fonctionnement. Ca implique pas mal de choses différentes.

Pour repondre rapidement : avec le balisage, tu indiques s'il faut qu'une session ai été établi ou non pour que le client ai accès a la méthode. C'est le SessionRequired.
Apres tu as le SessionAllowed, et le dernier j'imagine que ca doit etre SessionNotAllowed.

Mais beaucoup de choses entre en jeu, car tu peux créer une instance de contexte par client si tu veux en configurant ton service en PerSession. C'est interessant pour stocker de manière temporaire des données liés au client.
Il faut également savoir comment fonctionnent les endpoints, car tu aura surement besoin de configurer plusieurs endpoints (publication des métadonnées, service) afin de disposer d'un endpoint mettant à disposition des méthodes qui ne requiert aucune authentification du point de vue WCF, et un autre utilisant des sessions par exemple.


Pour cela, pas de secret, il faut lire et se renseigner. Je me suis lancé dans la grande aventure WCF il y a quelques semaines, et tout ce que je peux te conseiller, c'est renseigne toi bien sur le sujet. Car certains tutos peuvent faire penser que c'est simple, mais finalement tu te rend compte que c'est bien plus vaste que tu ne le penses .

PS : quelques liens que tu as du voir, mais si ce n'est pas le cas, il faut au minimum que tu comprennes ces trois tuto :
http://badger.developpez.com/tutorie...atez-avec-WCF/
http://vincentlaine.developpez.com/tuto/dotnet/wcf/
http://webman.developpez.com/articles/dotnet/wcf/intro/

[The_badger_man]

Et comment gerer a quoi il a droit, par exemple une personne loguée ne pourra elle pas effacer un utilisateur donc ne pas lui montrer ce service.

Quel intéret ? Même s'il "voit" la méthode, du moment qu'il n'a pas les droits pour l'executer c'est bon, non ?

[topolino]

Comme je suis en basicHttpBinding je ne peux pas utiliser les sessions.

Donc à chaque appel de methodes je dois donc verifier à chaque fois le login/pwd et ses autorisations ? wow pas tres pratique donc.

Je vais essayer.

[WOLO Laurent]

Tu te lances dans un domaine sur lequel microsoft a déjà suffisamment réfléchi.

1- Tu n'as pas besoin de créer tout un système d'authentification/authorization puisse que tu peux utiliser le bloc de sécurité fourni avec Asp.Net;

2- Enterprise Librairy est une très bonne librairie pour la gestion de l'authentification et l'authorization;

3- Tu créées un tocken lors de l'authentification, tu le conserves en mémoire et tu peux l'utiliser pendant un temps défini;

4-Pour les authorizations, tu créées des règles. Ces règles vont être affectées à des methodes.

5-Chaque règle sera appliquée à un ou plusieurs rôles et les utilisateurs feront parti des rôles.

[topolino]

Merci pour tes explications.

Pour l'instant pour acceder à mes services WCF je dois m'autentifier, j'ai implementé l'interface IHttpModule.
J'utilise le BasicHttpBinding et j'ai cru comprendre que je ne pouvais pas utiliser les sessions, par consequent comment puis je garder en memoire le token generé ?

[WOLO Laurent]

Tu peux les logger dans une base de données par exemple ou utiliser Enterprise Librairy pour faire du caching sauf que tu risque de te lancer dans des concept tout à fait pointus.