WS 2007 フェデレーション HTTP バインディング

[アーティクル]
05/10/2023

WS2007FederationHttp のサンプルでは、WS-Trust 仕様のバージョン 1.3 に対応したフェデレーションシナリオを構築するための標準のバインディングである WS2007FederationHttpBinding の使用方法を示します。

Note

このサンプルのセットアップ手順とビルド手順については、このトピックの最後を参照してください。

このサンプルは、コンソールベースのクライアントプログラム (Client.exe)、コンソールベースのセキュリティトークンサービスプログラム (Securitytokenservice.exe)、コンソールベースのサービスプログラム (Service.exe) で構成されています。サービスは、要求/応答通信パターンを定義するコントラクトを実装します。このコントラクトは ICalculator インターフェイスによって定義されており、算術演算 (Add、Subtract、Multiply、Divide) を公開しています。クライアントは、セキュリティトークンをセキュリティトークンサービス (STS) から取得し、指定された算術演算を実行する同期要求をサービスに対して行います。サービスが応答し、結果を返します。クライアントアクティビティは、コンソールウィンドウに表示されます。

このサンプルは、ICalculator 要素を使用して ws2007FederationHttpBinding コントラクトを利用できるようにします。このバインディングのクライアント側の構成は、次のコードに示すとおりです。

<bindings>
  <ws2007FederationHttpBinding>
    <binding name="ServiceFed" >
      <security mode ="Message">
        <message issuedKeyType ="SymmetricKey"
                 issuedTokenType ="http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLV1.1" >
          <!-- Endpoint address and binding for Security Token Service -->
          <issuer address ="http://localhost:8000/sts/windows"
                  binding ="ws2007HttpBinding" />
        </message>
      </security>
    </binding>
  </ws2007FederationHttpBinding>
</bindings>

<security> では、使用するセキュリティモードを security の値で指定します。このサンプルでは、message セキュリティが使用されているため、<security> 内に <message> が指定されています。 <message> 内の <issuer> 要素では、セキュリティトークンをクライアントに発行する STS のアドレスとバインディングを指定します。これにより、クライアントが ICalculator サービスに対して認証されるようになります。

このバインディングのサービス側の構成は、次のコードに示すとおりです。

<bindings>
  <ws2007FederationHttpBinding>
    <binding name="ServiceFed" >
      <security mode ="Message">
        <message issuedKeyType ="SymmetricKey"
                 issuedTokenType ="http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLV1.1" >
          <!-- Metadata address for Security Token Service -->
          <issuerMetadata address ="http://localhost:8000/sts/mex" >
            <identity>
              <certificateReference storeLocation ="CurrentUser"
                                    storeName="TrustedPeople"
                                    x509FindType ="FindBySubjectDistinguishedName"
                                    findValue ="CN=STS" />
            </identity>
          </issuerMetadata>
        </message>
      </security>
    </binding>
  </ws2007FederationHttpBinding>
</bindings>

<security> では、使用するセキュリティモードを security の値で指定します。このサンプルでは、message セキュリティが使用されているため、<security> 内に <message> が指定されています。 ws2007FederationHttpBinding の <message> 内の <issuerMetadata> 要素では、STS のメタデータ取得に使用できるエンドポイントのアドレスと ID を指定します。

このサービスの動作を次のコードに示します。

<behaviors>
  <serviceBehaviors>
    <behavior name ="ServiceBehaviour" >
      <serviceDebug includeExceptionDetailInFaults ="true"/>
      <serviceMetadata httpGetEnabled ="true"/>
      <serviceCredentials>
        <issuedTokenAuthentication>
          <knownCertificates>
            <add storeLocation ="LocalMachine"
                 storeName="TrustedPeople"
                 x509FindType="FindBySubjectDistinguishedName"
                 findValue="CN=STS" />
          </knownCertificates>
        </issuedTokenAuthentication>
        <serviceCertificate storeLocation ="LocalMachine"
                            storeName ="My"
                            x509FindType ="FindBySubjectDistinguishedName"
                            findValue ="CN=localhost"/>
      </serviceCredentials>
    </behavior>
  </serviceBehaviors>
</behaviors>

<issuedTokenAuthentication>> を使用すると、認証時にクライアントが提示できるトークンに関する制約をサービスで指定できます。この構成の指定では、サブジェクト名が CN=STS である証明書によって署名されたトークンがサービスによって受け入れられます。

STS は、標準の WS2007HttpBinding を使用して、単一のエンドポイントを利用できるようにします。このサービスは、クライアントからのトークンの要求に応答し、クライアントが Windows アカウントを使用して認証されている場合は、クライアントのユーザー名がクレームとして含まれているトークンを発行します。 STS は、トークン作成の一環として、CN=STS 証明書に関連付けられている秘密キーを使用して、トークンに署名します。また、対称キーを作成し、CN=localhost 証明書に関連付けられている秘密キーを使用して暗号化します。 STS は、トークンをクライアントに返すときに、対称キーも返します。クライアントは、発行されたトークンを ICalculator サービスに提示し、対称キーを使用してメッセージに署名することで対称キーを認識していることを証明します。

サンプルを実行すると、セキュリティトークン要求が STS のコンソールウィンドウに表示されます。操作要求と応答は、クライアントとサービスのコンソールウィンドウに表示されます。いずれかのコンソールウィンドウで Enter キーを押すと、アプリケーションがシャットダウンします。

Add(100,15.99) = 115.99
Subtract(145,76.54) = 68.46
Multiply(9,81.25) = 731.25
Divide(22,7) = 3.14285714285714
Press <ENTER> to terminate client.

このサンプルに用意されている Setup.bat ファイルを使用すると、適切な証明書を使用してサーバーと STS を構成し、自己ホスト型アプリケーションを実行できるようになります。このバッチファイルにより、LocalMachine/TrustedPeople 証明書ストアに 2 つの証明書が作成されます。片方の証明書は CN=STS のサブジェクト名を持ち、クライアントに発行するセキュリティトークンを署名するために STS が使用します。もう片方の証明書は CN=localhost のサブジェクト名を持ち、サービスが暗号化を解除できるようにシークレットを暗号化するために STS が使用します。

サンプルをセットアップ、ビルド、および実行するには

Windows Communication Foundation サンプルの 1 回限りのセットアップの手順を実行したことを確認します。
管理者特権で Visual Studio の開発者コマンドプロンプトを開き、Setup.bat ファイルを実行して必要な証明書を作成します。

このバッチファイルでは、Windows SDK と共に配布される Certmgr.exe と Makecert.exe が使用されます。ただし、スクリプトでこれらのツールを見つけるには、Visual Studio のコマンドプロンプト内から Setup.bat を実行する必要があります。

ソリューションの C# 版または Visual Basic .NET 版をビルドするには、「 Building the Windows Communication Foundation Samples」の手順に従います。
単一または複数コンピューター構成でサンプルを実行するには、「Windows Communication Foundation サンプルの実行」の手順に従います。 Windows Vista を使用している場合は、Service.exe、Client.exe、SecurityTokenService.exe をシステム特権で実行する必要があります (ファイルを右クリックしてから、 [管理者として実行] をクリックします)。

次の方法で共有

WS 2007 フェデレーション HTTP バインディング

サンプルをセットアップ、ビルド、および実行するには

その他のリソース