Autorisation gérée par ASP.NET C#

Bonjour à tous,

J'ai une petite question concernant les autorisations par rapport aux connexions d'un utilisateur sur mon application. On s'y connecte par authentification Windows à travers Active Directory.
L'admin aura tous les droits tandis que les autres utilisateurs (inscrits et dans un groupe d'active directory) ne pourront voir que certaines rubriques de mon site.

J'aimerai savoir comment traduire en C#:

"Si administrateur alors:
Requête SQL donnant tous les droits
Si utilisateurs du groupe alors:
Autres requêtes d'affichage SQL
Sinon:
Pas d'affichage du site web"

ça fait très basique mais j'aimerai tout simplement savoir si on peut utiliser le nom d'un groupe active directory dans le code ASP.NET C# pour gérer les autorisations et si oui comment? Sachant que la connexion se fait par authentification Windows.
Au niveau des requêtes, je sais lesquelles écrire. Il me manque juste la "traductions" des instructions If/Else en fait...

Merci de votre aide.

Si tu n'utilises que l'authentification Windows alors c'est assez simple. Tu peux t'inspirer du code suivant :

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17

var context = new PrincipalContext(ContextType.Domain, "TONDOMAINE"); // On crée un contexte pour le domaine var user = UserPrincipal.FindByIdentity(context, "TonUserName"); // On cherche l'utilisateur var groupAdmin = GroupPrincipal.FindByIdentity(context, "LeGroupeAdmin"); // On cherche le groupe Admin var groupIT = GroupPrincipal.FindByIdentity(context, "LeGroupeIT"); // On cherche le groupe IT   if (user != null && user.IsMemberOf(group)) // On vérifie si l'utilisateur fait partie du groupe Admin { // Il en fait partie, donc on fait quelque chose ici... } else if (user != null && user.IsMemberOf(groupIT)) // Sinon on vérifie si l'utilisateur fait partie du groupe IT { // Il en fait pas partie, donc on fait autre chose ici... } else // Sinon, s'il ne fait partie d'aucun groupe { // On fait autre chose ici... }

---

Tu peux le récupérer comme ceci :

Code:

---

var userLogin = Page.User.Identity.Name;

---

En s'assurant que IsAuthenticated vaut True, il est aussi possible d'utiliser :

Code:

---

var userLogin = HttpContext.Current.User.Identity.Name;

---

Ou encore ceci :

Code:

---

var userLogin = HttpContext.Current.Request.LogonUserIdentity.Name;

---

Dans tous les cas en principe tu devrais récupérer le domaine et le login sous cette forme : "DOMAIN\Login", donc il ne faut pas oublier de supprimer le domaine.

Wahou Merci DotNetMatt, ça m'aide beaucoup!!

Juste une petite question (encore), pour le var user, comment fait-on pour récupérer directement le nom d'utilisateur que l'utilisateur rentre directement?

Et j'ai une seconde question aussi.. Que dois-je mettre à la place de PrincipalContext(); UserPrincipal; et GroupPrincipal? Est-ce que ce sont des méthodes qu'il faut que je code? Car sinon, ça me le souligne me demandant une directive using, sauf que rien n'est proposé comme référence...

Pour la première question voir ma dernière réponse.

Pour le reste, il faut ajouter une référence dans ton projet vers l'assembly System.DirectoryServices.AccountManagement.

Excuse moi, j'éditais mon message au moment où tu m'as répondu. Merci beaucoup pour ton aide! J'ai juste une petite erreur quand je lance mon application à partir de IIS qui est:

System.DirectoryServices.DirectoryServicesCOMException: Une erreur d’opération s’est produite.

Pourtant quand je lance depuis mon visual studio, cela fonctionne nickel..

En tout cas, je te remercie de ton aide, j'ai appris et surtout compris vachement de trucs!

L'utilisateur de ton application pool n'a pas être pas les droits suffisant pour intérroger l'AD...

Je confirme les propos de Dokho1000.

Tu as plusieurs options :
- Si l'application pool tourne avec un compte de service, tu peux lui donner les permissions pour lire dans l'AD.
- Si l'application pool tourne avec un compte local, tu peux le basculer sur un compte de service qui a les droits de lire dans l'AD.

- Tu peux tenter "l'impersonification", mais cela peut avoir des effets de bord, par exemple au niveau de la base de données, selon la manière dont tu as géré la sécurité... Pour cela il faut ajouter ce qui suit dans le noeud System.Web de ton web.config :

Code:

---

<identity impersonate="true" />

---

Désolée pour la réponse tardive,

J'ai testé justement le:

Code:

---

<identity impersonate="true" />

---

Car dans plusieurs discussions, ils disaient que c'était un moyen de régler le problème. Mais personnellement, ça me cause encore plus d'erreurs.

Du coup, je voulais savoir comment donner les permissions à mon IIS pour lire dans l'AD?

Et j'ai une autre petite question: est-il possible, tout comme nous l'avons fais avec l'utilisateur, de récupérer le nom du groupe auquel il appartient? (faire la chose à l'envers en fait).

Merci à vous deux en tout cas, vous m'aidez beaucoup!!

EDIT: Mon pool d'application a comme identité "ApplicationPoolIdentity". Est-ce ici que je dois faire quelque chose? Comment autoriser AD? Je tiens également à préciser que dans mon application (dans IIS), les règles d'autorisation autorisent tous les utilisateurs à accéder au contenu web...

L' "impersonification" n'est pas forcément la bonne solution ;) Ca peut aider dans certains scénarios mais ca peut aussi mettre le bazar.

Le mieux c'est que tu crées un compte de service dans l'AD. Ensuite tu remplaces l'identité de ton application pool par ce compte de service. Plus d'infos sur les comptes de service : Managed Service Accounts: Understanding, Implementing, Best Practices, and Troubleshooting.

Merci pour toute ton aide DotNetMatt .
Je m'y penche mais j'avoue être débutante dans l'utilisation d'AD et d'IIS, donc je suis un peu perdue.
Il faut obligatoirement créer un compte de service pour pouvoir ajouter les permissions sur IIS? Avec mon compte actuel d'AD où je créais mes utilisateurs et tout, ce n'est pas possible?
Désolée si mes questions paraissent bêtes, j'essaye juste de comprendre la technique car je ne voudrais pas faire quelque chose sans comprendre la cause...

Merci encore beaucoup pour ta grande aide!

Au niveau des comptes utilisateur, il faut distinguer 2 types :
- Les comptes locaux, qui sont propres à ton PC
- Les comptes "réseau", qui sont stockés dans l'AD et qui peuvent être utilisés sur tout le réseau (domaine).

Quand avec IIS tu utilises le compte par défaut (ApplicationPoolIdentity), celui-ci ne fait pas partie de l'AD donc il n'a aucune permission de lecture/écriture au sein de l'AD.

En utilisant un compte de service, celui-ci faisant partie de l'AD, tu peux alors lire et/ou écrire dans, et en prime il est bien plus simple de gérer les accès à d'autres ressources du réseau. Par exemple si tu veux que ton application Web puisse aller lire sur un dossier partagé, alors tu pourras autoriser ton compte de service à y accéder beaucoup plus simplement.

Wahou, Merci beaucoup pour toutes tes explications :) . Je comprend vraiment "la chose" maintenant, et le fonctionnement de ces comptes de service.


Maintenant je tente juste de créer un compte de service dans l'AD. J'ai regardé l'aide sur Microsoft, ça a l'air compliqué, ils demandent d'utiliser le PowerShell (que je n'ai jamais utilisé pour le moment...) ...
Dans ma naïveté, je pensais qu'il suffisait juste de faire Action -> Nouveau pour faire la manip'. Bref.

Tu n'es pas obligée d'utiliser PowerShell, ils montrent juste les 2 facons de faire.

Re-Bonjour,

Je suis enfin parvenue à mes fins :) Et je vous remercie beaucoup pour votre aide, particulièrement DotNetMatt! J'ai mis du temps mais j'y suis parvenue...
J'ai juste une dernière question:
Est-il possible de récupérer le nom du groupe auquel l'utilisateur appartient (comme nous le faisons avec l'utilisateur d'ailleurs) en supposant qu'il n'appartienne qu'à un seul groupe??

Oui bien sûr, c'est faisable qu'il appartienne à 0 ou n groupes :

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18

private IEnumerable<GroupPrincipal> GetGroups(string userName) { var domain = new PrincipalContext(ContextType.Domain); var user = UserPrincipal.FindByIdentity(domain, userName);   if (user != null) { var groups = user.GetAuthorizationGroups(); foreach (var p in groups) { // On ne garde que les objets de type GroupPrincipal if (p is GroupPrincipal) { yield return (GroupPrincipal)p; } } } }

---

A noter il faudra rajouter une référence à l'assembly System.DirectoryServices dans ton projet.

Je te remercie DotNetMatt pour ton bout de code.

Je suis dessus depuis le début de l'après-midi, mais après maintes reprises, peu importe le nom d'utilisateur que je met en paramètre à cette méthode, il me renvoie:

"Responsable.Accueil+d_0"
Accueil correspond au nom de ma page.
Sachant que mes groupes d'utilisateurs ressemblent à "Responsable_NomGroupe", c'est-à-dire qu'ils sont tous préfixés par "Responsable_" comme par exemple "Responsable_Rayons".
As-tu une idée d'où cela peut provenir? Est-ce le Under score qui pose soucis? Car j'ai beau l'enlever, cela ne change rien...

Aucune idée, tu as peut-être un problème d'encodage quand tu crées ton groupe ?

Quand tu affiches les groupes dans l'AD tu vois aussi le suffixe +d_0 ?

Nop je ne vois pas le suffixe..
Par contre, pour afficher (vérifier) le nom du groupe, je l'affiche dans un label et du coup je suis obligée de convertir en ToString:

Code:

---

label.Text = Convert.ToString(GetGroups("NomUtilisateur")

---

Peut-être cela vient d'ici aussi... ? Car impossible de mettre des points d'arrêts dans la méthode ou autre pour voir la véritable valeur...

Mon idée est juste, par rapport au premier code que tu m'as passé (deuxième message), remplacé le "GroupIT" par cette méthode, pour ne pas avoir à écrire ce bout de code pour chaque groupe créé. Je sais pas si je réussis à me faire comprendre :? . Donc est-ce que c'est vraiment possible de cette manière?
Parce qu'imaginons que je remplace la ligne 4 par:

Code:

---

var groupIT = GroupPrincipal.FindByIdentity(context, GetGroups(userLogin));

---

J'ai l'erreur "La méthode surchargée possède des arguments non valides." Alors je dois sûrement mal la placer car dans la méthode GetGroups(), on fait déjà ce bout de code. Mais si j'écris tout simplement:

Code:

---

var groupIT = GetGroups(userLogin);

---

C'est cette ligne qui m'affiche une erreur:

Code:

---

else if (user != null && user.IsMemberOf(groupIT))

---

avec le même message précédent...

Le pire c'est que j'ai l'impression de m'embrouiller à fond là. Mais bon, le premier soucis est tout de même que je n'arrive pas à obtenir simplement le nom du groupe auquel appartient mon utilisateur..

Citation:

---

Envoyé par Linsay

Le pire c'est que j'ai l'impression de m'embrouiller à fond là.

---

:mouarf: Oui tu t'embrouilles.

Dans l'AD un utilisateur peut faire partir de 1 ou n groupes. Comme on ne peut pas le savoir, on récupère tous les groupes. Donc la méthode GetGroups que je t'ai donné renvoie une liste.

Ensuite pour trouver un groupe spécifique, il faut parcourir cette liste, avec une boucle foreach ou via LinQ.

Je pense que tu as le +d_0 à la fin car ca doit être ajouté par la méthode ToString du type de base Principal.

Donc concrètement, je pense que tu peux solutionner ce problème en faisant quelque chose comme suit :

D'abord on appelle GetGroups pour récupérer tous les groupes de l'utilisateur. Ensuite on filtre pour ne garder que le groupe qui s'appelle "NomDuGroupeIT" :

Code:

---

1 2 3

var groupIT = GetGroups("user") .Where(group => group.Name == "NomDuGroupeIT") .FirstOrDefault();

---

Ensuite pour récupérer son nom, tu peux faire :

Code:

---

1 2 3 4

if (groupIT != null) { var groupITName = groupIT.Name; }

---

A noter si l'utilisateur ne fait pas partie du groupe IT alors la variable groupIT vaudra null...

C'est ce que tu cherches à faire ?


[EDIT]
Après relecture de ton post, si tu cherches juste à savoir si l'utilisateur fait partie d'un groupe particulier tu peux faire plus simple :

Code:

---

1 2 3

var isITGroupMember = GetGroups("user") .Where(group => group.Name == "NomDuGroupeIT") .Any();

---

Si isITGroupMember vaut true, c'est qu'il en fait partie, si false, il n'en fait pas partie.

Citation:

---

Envoyé par DotNetMatt

:mouarf: Oui tu t'embrouilles.

---

Je sais :roll: . Je crois qu'une pause s'imposait! ^^
Merci encore pour ton post, ça m'aide pas mal.

Si tu veux pour être claire, mon but est que, j'ai plusieurs responsables d'un magasin. Imaginons que j'ai le responsables des légumes, responsables des fruits... Bref. Quand ils s'authentifient et qu'ils sont autorisés à accéder au contenu (c'est-à-dire qu'ils font partis d'un groupe "Responsable_Nomgroupe"), ils peuvent y voir un Gridview mais que des produits dont ils sont responsables, et sont libres de pouvoir supprimer, modifier, ajouter. Seul l'admin peut accéder à tous les produits. Et en fait, au lieu de faire une longue série de "else if" pour chaque groupe du type:

Code:

---

1 2 3 4

Si Utilisateur fait partie du groupe "Responsable_Legume" alors: Requête avec comme condition Produit_libelle="legume" Sinon si il fait partie du groupe "Responsable_Fruit" alors: Requête avec comme condition Produit_libelle="fruit"

---

Et devoir retaper un code à chaque fois que je créais un autre groupe, je voudrais tout simplement faire un:

Code:

---

1 2 3 4 5

Si utilisateur est authentifié alors: Si son groupe ne vaut pas nul alors: Requête avec comme condition Produit_nomGroupe=SonGroupe Sinon si le groupe vaut nul alors: Accès impossible au Gridview

---

En ayant rajouter une propriété "Produit_Nomgroupe" qui correspond au nom du groupe Responsable des produits, dans ma table produit...

J'espère avoir apporter un peu plus de clarté dans mes propos ^^ . Je vais tenter avec tes explications de transformer mon bout d'algo en code :) .
Merci encore DotNetMatt pour ta patience et toute ton aide!!

EDIT: Le seul soucis posé par rapport à ton code c'est le:

Code:

---

.Where(group => group.Name == "NomDuGroupeIT")

---

où une directive using est absente (mais non proposé en référence). C'est du LinQ? (Désolée je n'en ai jamais fais, je suis plutôt SQL).

Citation:

---

Envoyé par Linsay

J'espère avoir apporter un peu plus de clarté dans mes propos ^^ . Je vais tenter avec tes explications de transformer mon bout d'algo en code :) .

---

C'est un peu plus clair, mais encore une fois il ne faut pas oublier qu'un utilisateur peut faire partie de X groupes. Donc attention si tu pars sur l'idée qu'il ne fait partie que d'un seul et unique groupe, ton code va foirer si ca change. Il vaut mieux se plier à la nature du produit plutôt que d'introduire ce genre de règle. Demain si pour une raison X ou Y tu as besoin de rajouter tes utilisateurs à d'autres groupes, tu seras bien embêtée...

Citation:

---

Envoyé par Linsay

Le seul soucis posé par rapport à ton code c'est le:

Code:

---

.Where(group => group.Name == "NomDuGroupeIT")

---

où une directive using est absente (mais non proposé en référence). C'est du LinQ? (Désolée je n'en ai jamais fais, je suis plutôt SQL).

---

Oui c'est du LinQ, ca permet de filtrer sur la liste des groupes.

Du coup tu me conseillerais plutôt de rester sur la première solution? Recoder à chaque fois ma requête SQL et rajouter des conditions?

Et quelle est la directive using à ajouter pour ce bout de code? J'ai rajouter une référence à l'assembly System.Data.Linq et System.Xml.Linq mais j'ai toujours la même erreur...

Citation:

---

Envoyé par Linsay

Du coup tu me conseillerais plutôt de rester sur la première solution? Recoder à chaque fois ma requête SQL et rajouter des conditions?

---

En fait au début je pensais que tu avais déjà développé quelque chose pour gérer tes utilisateurs et que tu bloquais sur la gestion des rôles, mais là je me rends compte que tu n'as aucun cadre autour de ca... Je te suggère de regarder ce lien : Enabling Windows Authentication within an Intranet ASP.NET Web application. En bref ca explique comment utiliser la Windows Authentication avec ton site, en configurant le web.config et ensuit en utilisant des fonctionnalités dèjà toutes prêtes. Ce que je te suggère c'est de supprimer le code que je t'ai donné, et d'utiliser celui de cet article.

Ensuite concernant ton algo, tu dois rester sur ce principe :

Citation:

---

Si utilisateur est authentifié alors:
Si son groupe ne vaut pas nul alors:
Requête avec comme condition Produit_nomGroupe=SonGroupe
Sinon si le groupe vaut nul alors:
Accès impossible au Gridview

---

Donc en gros au niveau du code :

Code:

---

1 2 3 4 5 6 7 8 9 10 11

// Je suppose ici que la méthode GetResults retourne une liste de ResultObject... var results = new List<ResultObject>();   if (User.IsInRole(@"DOMAIN\Responsable_Legume")) { result = GetResults(@"Responsable_Legume"); } else if (User.IsInRole(@"DOMAIN\Responsable_Fruits")) { result = GetResults(@"Repsonsable_Fruits"); }

---

Citation:

---

Envoyé par Linsay

Et quelle est la directive using à ajouter pour ce bout de code? J'ai rajouter une référence à l'assembly System.Data.Linq et System.Xml.Linq mais j'ai toujours la même erreur...

---

Tu dois rajouter using System.Linq;

Je te remercie grandement pour toute ton aide, ta patience et tes explications si claires DotNetMatt :) .
J'avais déjà configurer mon Web.config de la sorte, mais je vais suivre tes conseils :) .

Merci encore, tu m'as fais faire un pas de géant! :D

Juste un dernier truc, j'ai un peu le même soucis que précédemment. Je veux tester plusieurs solutions, et lorsque j'utilise ce code:

Code:

---

1 2 3

var groupIT = GetGroups(userLogin) .Where(group => group.Name=="NomGroupe") .FirstOrDefault();

---

En localhost, tout se passe pour le mieux, par contre sous IIS, j'ai cette erreur:
System.DirectoryServices.AccountManagement.PrincipalOperationException: Une erreur (5) s'est produite lors de la tentative de récupération des groupes d'autorisations.

Aurais-tu une idée du pourquoi et comment régler cela? J'ai essayé Google et le forum, mais je n'ai pas trouvé grand monde à qui cela été arrivé.

A priori tu retombes sur le même problème qu'au début ! Vérifie le compte avec lequel tourne ton Application Pool : a-t-il suffisamment de droits pour lire l'AD ?

Si non alors reprends les posts précédents à ce sujet.
Si oui, as-tu activé l'impersonation dans le web-config ? Pourquoi ?

J'ai exactement fait comme tu as dis par rapport à l'AD par rapport aux précédents posts. Comment puis-je vérifier les droits de mon pool d'application??

J'ai tenté d'activer l'impersonation dans le web.config mais rien n'y fait. Je l'ai donc enlever par la suite.
J'ai même tenté de passé à une authentification de base en désactivant l'authentification Windows mais j'ai exactement la même erreur... Alors qu'une authentification de base pose beaucoup moins de barrière que l'authentification Windows...
Je ne comprend pas :(

Reprend la discussion à partir d'ici : http://www.developpez.net/forums/d14...p/#post8132250

Le soucis est que j'ai déjà réalisé tout cela puisque j'ai eu le même problème auparavant...

Est-ce que tu as une inner exception ? Si oui peux-tu nous dire quel est le message qu'elle contient ?

Voici le détail de mon exception:

Citation:

---

[PrincipalOperationException: Une erreur (5) s'est produite lors de la tentative de récupération des groupes d'autorisations.]
System.DirectoryServices.AccountManagement.AuthZSet..ctor(Byte[] userSid, NetCred credentials, ContextOptions contextOptions, String flatUserAuthority, StoreCtx userStoreCtx, Object userCtxBase) +335418
System.DirectoryServices.AccountManagement.ADStoreCtx.GetGroupsMemberOfAZ(Principal p) +317
System.DirectoryServices.AccountManagement.UserPrincipal.GetAuthorizationGroups() +53
ProjetRayon.<GetGroups>d__0.MoveNext() in z:\ProjetRayon\Accueil.aspx.cs:214
System.Linq.WhereEnumerableIterator`1.MoveNext() +196
System.Linq.Enumerable.FirstOrDefault(IEnumerable`1 source) +247
ProjetRayon.Accueil.Page_Init(Object sender, EventArgs e) in z:\ProjetRayon\Accueil.aspx.cs:279
System.Web.UI.Page.OnInit(EventArgs e) +102
System.Web.UI.Control.InitRecursive(Control namingContainer) +186
System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +2098

---

Hmm ok, est-ce que le compte que tu utilises pour ton application pool fait partie du groupe Windows Authorization Access Group dans l'AD ? (pour référence : KB331951 - Some applications and APIs require access to authorization information on account objects)