共用方式為

HOW TO：建立安全性權杖服務

  • 發行項

安全性權杖服務實作於 WS-Trust 規格定義的通訊協定。此通訊協定定義用來核發、更新、取消及驗證安全性權杖的訊息格式以及訊息交換模式。指定的安全性權杖服務提供一個或一個以上的這些功能。此主題檢視最常見的狀況：實作權杖核發。

核發權杖

WS-Trust 根據 RequestSecurityToken XML Schema 定義語言 (XSD) 結構描述項目以及執行權杖核發的 RequestSecurityTokenResponse XSD 結構描述項目，定義訊息的格式。除此之外，它還定義關聯的動作統一資源識別源 (URI)。與 RequestSecurityToken 訊息關聯的動作 URI 為 https://schemas.xmlsoap.org/ws/2005/02/trust/RST/Issue。與 RequestSecurityTokenResponse 訊息關聯的動作 URI 為 https://schemas.xmlsoap.org/ws/2005/02/trust/RSTR/Issue。

要求訊息結構

發出要求訊息結構通常包括下列項目：

此外，也許存在一些其他項目：

  • 用戶端提供的金錀資料。
  • 表示將使用已發行權杖之目標服務的範圍資訊。

安全性權杖服務在建構發出回應 (Issue Response) 訊息時，使用發出要求訊息內的資訊。

回應訊息結構

發出回應訊息結構通常包括下列項目：

  • 例如，核發的安全性權杖為 SAML 1.1 判斷提示。
  • 與安全性權杖相關聯的證明權杖。就對稱金鑰而言，這經常是金鑰資料的加密格式。
  • 核發的安全性權杖的參照。一般而言，安全性權杖服務會於已核發權杖出現於用戶端發出的後續訊息時，傳回可使用的參照，以及另一個當後續訊息無權杖時可使用的參照。

此外，也許存在一些其他項目：

  • 安全性權杖服務提供的金錀資料。
  • 要計算共用金鑰所需的演算法。
  • 核發權杖的存留期資訊。

處理要求訊息

安全性權杖服務檢查各個要求訊息以處理核發要求，並且確保能核發滿足要求的權杖。在建構要核發的權杖前，安全性權杖服務必須決定下列項目：

  • 所謂要求其實是核發權杖的要求。
  • 安全性權杖服務支援要求的權杖類型。
  • 要求者獲得授權提出要求。
  • 安全性權杖服務可滿足要求者對金鑰資料的期望。

建構權杖的兩個重要部分為決定要使用什麼金鑰簽署權杖，以及共用金鑰要用什麼金鑰加密。權杖需要簽署，這樣當用戶端對目標服務提出權杖時，該服務才能判斷此權杖是否為自己信賴之安全性權杖服務所核發的權杖。金鑰資料需要以目標服務能解密金鑰資料的方式進行加密。

簽署 SAML 判斷提示包括建立 SigningCredentials 執行個體。此類別的建構函式接受下列項目：

  • SecurityKey 用於金鑰簽署 SAML 判斷提示。
  • 識別要使用之簽署演算法的字串。
  • 識別要使用之摘要演算法的字串。
  • 或者，SecurityKeyIdentifier 識別要用來簽署判斷提示的金鑰。

加密共用金鑰包含將金鑰資料以金鑰加密，目標服務能使用此金鑰解密共用金鑰。一般而言，會使用目標服務的公開金鑰。

除此之外，加密金鑰還需要 SecurityKeyIdentifier。

然後使用 SecurityKeyIdentifier 建立 SamlSubject 作為 SamlToken 的一部分。

如需詳細資訊，請參閱 Federation Sample。

建立回應訊息

一旦安全性權杖服務處理發出的要求，並且建構出要核發之權杖以及證明金鑰後，就需要建構回應訊息，至少包括要求的權杖、證明權杖以及核發的權杖參照。此核發的權杖一般而言是 SamlSecurityToken 自 SamlAssertion 所建造，如以下範例所示。

當安全性權杖服務提供共用金鑰資料時，證明權杖就是由建立 BinarySecretSecurityToken 加以建構。

如需 關於如何在用戶端與安全性權杖服務都提供共用金鑰的金鑰資料時，如何建構證明權杖的資訊，請參閱 Federation Sample。

核發的權杖參照以建立 SecurityKeyIdentifierClause 類別執行個體而建構。

然後將這些不同的值序列化成回應訊息傳回用戶端。

範例

如需有關安全性權杖服務的完整程式碼，請參閱 Federation Sample。

請參閱

參考

SigningCredentials
SecurityKey
SecurityKeyIdentifier
SamlSecurityToken
SamlAssertion
BinarySecretSecurityToken
SecurityKeyIdentifierClause

其他資源

Federation Sample