作法：鎖定企業的端點

大型企業通常需要在遵循企業安全性原則的環境中開發應用程式。 下列主題討論如何開發與安裝用戶端端點驗證器，以用於驗證所有安裝在電腦上的 Windows Communication Foundation (WCF) 用戶端應用程式。

在這種情況下，驗證程式會是用戶端驗證程式，因為這個端點行為會加入 machine.config 檔案中的用戶端 <commonBehaviors> 區段。 WCF 只會為用戶端應用程式載入通用端點行為，並且只會為服務應用程式載入通用服務行為。 若要為服務應用程式安裝這個相同的驗證器，驗證器必須是服務行為。 如需詳細資訊，請參閱 <commonBehaviors> 一節。

若要建立端點驗證器

1. 以 IEndpointBehavior 方法中所需的驗證步驟建立 Validate。 下列程式碼提供一個範例。 (InternetClientValidatorBehavior 是取自安全性驗證範例。)

   public class InternetClientValidatorBehavior : IEndpointBehavior
   {
       public void AddBindingParameters(ServiceEndpoint serviceEndpoint, System.ServiceModel.Channels.BindingParameterCollection bindingParameters) { }
       public void ApplyClientBehavior(ServiceEndpoint serviceEndpoint, System.ServiceModel.Dispatcher.ClientRuntime behavior) { }
       public void ApplyDispatchBehavior(ServiceEndpoint serviceEndpoint, System.ServiceModel.Dispatcher.EndpointDispatcher endpointDispatcher) { }
   
       public void Validate(ServiceEndpoint endpoint)
       {
           BindingElementCollection elements = endpoint.Binding.CreateBindingElements();
   
           if (EndpointIsDual(endpoint, elements))
               throw new InvalidOperationException("InternetClientValidator: endpoint uses 'dual' mode. This mode is disallowed for use with untrusted services.");
   
           if (EndpointAllowsNtlm(endpoint, elements))
               throw new InvalidOperationException("InternetClientValidator: endpoint allows NTLM. This mode is disallowed for use with untrusted services.");
   
           if (EndpointAllowsTransactionFlow(endpoint, elements))
               throw new InvalidOperationException("InternetClientValidator: endpoint flows transaction ids. This mode is disallowed for use with untrusted services.");
       }
   

2. 建立新的 BehaviorExtensionElement，它會註冊步驟 1 中建立的端點驗證器。 下列程式碼範例會顯示這點。 (這個範例的原始程式碼位於安全性驗證範例中。)

   public class InternetClientValidatorElement : BehaviorExtensionElement
   {
       public override Type BehaviorType
       {
           get { return typeof(InternetClientValidatorBehavior); }
       }
   
       protected override object CreateBehavior()
       {
           return new InternetClientValidatorBehavior();
       }
   }
   

3. 請務必以強式名稱簽署編譯的組件。 如需詳細資訊，請參閱強式名稱工具 (SN.EXE) 和您語言的編譯器命令。

若要將驗證器安裝至目標電腦

1. 使用適當的機制安裝端點驗證器。 在企業中，您可以使用群組原則和 Systems Management Server (SMS) 安裝端點驗證器。

2. 使用 Gacutil.exe (全域組件快取工具) 將強式名稱的組件安裝至全域組件快取中。

3. 使用 System.Configuration 命名空間型別以：

   1. 使用完整類型名稱將延伸模組加入 <behaviorExtensions> 區段，並鎖定元素。

      // Register our validator configuration element.
      ExtensionsSection extensions
        = machine.GetSection(@"system.serviceModel/extensions") as ExtensionsSection;
      if (extensions == null)
        throw new Exception("not extensions section.");
      ExtensionElement validator
        = new ExtensionElement(
          "internetClientValidator",
          "Microsoft.ServiceModel.Samples.InternetClientValidatorElement, InternetClientValidator, Version=0.0.0.0, Culture=neutral, PublicKeyToken=null"
        );
      validator.LockItem = true;
      if (extensions.BehaviorExtensions.IndexOf(validator) < 0)
        extensions.BehaviorExtensions.Add(validator);
      

   2. 將行為元素加入 <commonBehaviors> 區段的 EndpointBehaviors 屬性，並鎖定元素。 (若要在服務上安裝驗證器，驗證器必須是 IServiceBehavior 並加入至 ServiceBehaviors 屬性。)下列程式碼範例將示範如何在步驟 a. 和 b. 後進行適當的設定，唯一的例外是沒有強式名稱時。

      // Add a new section for our validator and lock it down.
      // Behaviors for client applications must be endpoint behaviors.
      // Behaviors for service applications must be service behaviors.
      CommonBehaviorsSection commonBehaviors
        = machine.GetSection(@"system.serviceModel/commonBehaviors") as CommonBehaviorsSection;
      InternetClientValidatorElement internetValidator = new InternetClientValidatorElement();
      internetValidator.LockItem = true;
      commonBehaviors.EndpointBehaviors.Add(internetValidator);
      

   3. 儲存 machine.config 檔。 下列程式碼範例執行步驟 3 中所有的工作，但將修改過的 machine.config 檔案複本儲存在本機上。

      // Write to disk.
      machine.SaveAs("newMachine.config");
      
      // Write our new information.
      SectionInformation cBInfo = commonBehaviors.SectionInformation;
      Console.WriteLine(cBInfo.GetRawXml());
      Console.WriteLine(extensions.SectionInformation.GetRawXml());
      Console.Read();
      

範例

下列程式碼範例示範如何將通用行為新增至 machine.config 檔案，並將複本儲存至磁碟上。 InternetClientValidatorBehavior 是取自安全性驗證範例。

Configuration machine = ConfigurationManager.OpenMachineConfiguration();
// Register our validator configuration element.
ExtensionsSection extensions
  = machine.GetSection(@"system.serviceModel/extensions") as ExtensionsSection;
if (extensions == null)
  throw new Exception("not extensions section.");
ExtensionElement validator
  = new ExtensionElement(
    "internetClientValidator",
    "Microsoft.ServiceModel.Samples.InternetClientValidatorElement, InternetClientValidator, Version=0.0.0.0, Culture=neutral, PublicKeyToken=null"
  );
validator.LockItem = true;
if (extensions.BehaviorExtensions.IndexOf(validator) < 0)
  extensions.BehaviorExtensions.Add(validator);

// Add a new section for our validator and lock it down.
// Behaviors for client applications must be endpoint behaviors.
// Behaviors for service applications must be service behaviors.
CommonBehaviorsSection commonBehaviors
  = machine.GetSection(@"system.serviceModel/commonBehaviors") as CommonBehaviorsSection;
InternetClientValidatorElement internetValidator = new InternetClientValidatorElement();
internetValidator.LockItem = true;
commonBehaviors.EndpointBehaviors.Add(internetValidator);
// Write to disk.
machine.SaveAs("newMachine.config");

// Write our new information.
SectionInformation cBInfo = commonBehaviors.SectionInformation;
Console.WriteLine(cBInfo.GetRawXml());
Console.WriteLine(extensions.SectionInformation.GetRawXml());
Console.Read();

.NET Framework 安全性

您可能也要加密組態檔項目。 如需詳細資訊，請參閱「請參閱」一節。

另請參閱

• 使用 DPAPI 的加密組態檔項目
• 使用 RSA 的加密組態檔項目