Ce livre s’adresse aux équipes de développement qui désirent comprendre le fonctionnement des technologies OAuth 2 et Open ID Connect appliquées à l’écosystème .Net pour sécuriser leurs applications. À travers une exploration détaillée d’ASP.NET 7 et de Identity Server 6, l’auteur vous propose ainsi de découvrir comment créer et gérer un serveur d’authentifi­cation mettant en oeuvre un Single Sign-On (SSO) robuste.

Après avoir étudié les subtilités du Single Sign-On et compris son rôle central dans la gestion des droits d’accès, vous êtes accompagné dans la création d’une application MVC, tout en explorant la configuration précise d’ASP.NET Identity et son intégration fluide avec Entity Framework.

L’auteur étudie ensuite les détails complexes des cookies et vous apprend à les configurer en conformité avec les normes du RGPD, avant de présenter la mise en place de pages de connexion, la création de comptes et la gestion avancée des sessions utilisateur.

La suite du livre aborde l’authentification via des fournisseurs externes, la génération et la consommation de JSON Web Tokens (JWT), ainsi que la mise en oeuvre complète d’Identity Server avec les protocoles d’authentification tels qu’OAuth 2 et OpenID Connect, tout en maîtrisant les flux d’authentification correspondants.

Pour finir, vous apprenez à protéger efficacement vos API web et applications web, y compris celles développées avec Blazor, et explorez des concepts tels que la Multi Factor Authentication (MFA) etle Backend For Frontend (BFF) Framework.

Téléchargements

• Des fichiers complémentaires (139 229 Ko)

Avant-propos

1. Introduction

Qu'est-ce qu'un SSO ?

1. Single Sign-On
2. Un nœud central de droits d'accès

Création d'une application MVC

1. Présentation
2. Création du projet

ASP.Net Identity

1. Présentation
2. Configuration
   1. 1. ClaimsIdentity
   2. 2. Lockout
   3. 3. Password
   4. 4. SignIn
   5. 5. Token
   6. 6. Stores
   7. 7. User
3. Rôles
4. Identity UI

ASP.Net Identity x Entity framework

1. Présentation
2. Le DbContext
3. Étendre un utilisateur
4. ASP.Net Identity : configuration approfondie

L'interface de connexion

1. Introduction
2. Faire le vide
3. Construire sur de nouvelles bases
   1. 1. Layout
   2. 2. Librairies client
   3. 3. Vue par défaut
   4. 4. Contrôleur
4. Page de connexion
   1. 1. Méthode du contrôleur
   2. 2. La vue
   3. 3. La ViewModel
   4. 4. Validation du formulaire
   5. 5. Personnalisation des messages d’erreur
   6. 6. Mise en place des ressources textuelles
      1. a. Globalisation et localisation de l’application
      2. b. ViewModels
      3. c. Views
   7. 7. Soumission du formulaire
      1. a. Validation des données
      2. b. UserManager
      3. c. SignInManager
      4. d. Verrouillage du compte en cas d’échec deconnexion
5. Page compte non confirmé
6. Page création de compte
   1. 1. Mutualisation des ressources
      1. a. Page de connexion
      2. b. Page de création de compte
   2. 2. Les codes d’erreur
   3. 3. IdentityErrors
   4. 4. Mail de confirmation de compte
7. Page Compte créé
8. Confirmer le compte
9. Autoconfirmer le compte
10. Page mot de passe oublié
11. Page réinitialisation du mot de passe
    1. 1. Mot de passe réinitialisé
    2. 2. Mot de passe non réinitialisé
    3. 3. Déconnexion

Les fournisseurs externes d'authentification

1. Qu'est-ce qu'un fournisseur externe d'authentification ?
2. Les fournisseurs « built-in »
3. Les packages NuGet AspNet.Security.OAuth.Providers
4. Fournisseurs personnalisés
   1. 1. Les options obligatoires
   2. 2. Les options facultatives
   3. 3. Les options dont vous ne vous servirez jamais
5. Conclusion

Émettre un JSON Web Token

1. Qu'est-ce qu'un JSON Web Token ?
2. Créer un JWT
3. Valider un JWT

Identity Server

1. Présentation
2. Installation
3. Les protocoles OAuth2 et Open ID Connect (OIDC)
4. Les flux d’authentification
   1. 1. Authorization Code
   2. 2. Proof Key for Code Exchange (PKCE)
   3. 3. Client Credentials
   4. 4. Device Authorization Grant (Device flow)
   5. 5. Refresh Token
   6. 6. Client Initiated Backchannel Authentication (CIBA)
   7. 7. Les modes "Legacy"
5. Les stores
   1. 1. Resource store
   2. 2. Client store
   3. 3. Identity providers store
   4. 4. Persisted grant store
   5. 5. Device flow store
   6. 6. Server-side session store
   7. 7. Signing key store
6. Les ressources
   1. 1. IdentityResource
   2. 2. ApiResource
   3. 3. ApiScope
   4. 4. Claims
7. Les clients
8. IdentityServer et EntityFramework Core
9. Les tokens
   1. 1. JSON Web Token
      1. a. Access token
      2. b. ID token
   2. 2. Reference token
      1. a. Access token
      2. b. Refresh token
10. Endpoints
    1. 1. Discovery Endpoint
    2. 2. JWKS endpoint
    3. 3. Authorize endpoint
    4. 4. Token endpoint
    5. 5. User info endpoint
    6. 6. Introspection endpoint
    7. 7. Revocation endpoint
    8. 8. End session endpoint
    9. 9. Device authorization endpoint
    10. 10. Backchannel authentication endpoint
11. Configuration d'IdentityServer
12. Amorçage de la base de données
    1. 1. Méthode d’initialisation
    2. 2. Migrations
    3. 3. IdentityResources

Protéger une API Web

1. Introduction
2. Créer une API
3. Autoriser les accès à l'API
   1. 1. Accès par JWT
   2. 2. Accès par reference token
   3. 3. Accepter les deux types de tokens
4. Autorisations par scope
   1. 1. Configuration des règles dans l’API
      1. a. La méthode globale
      2. b. La méthode par décorateur
   2. 2. Configuration du client dans le SSO
   3. 3. Isolation des ressources
5. Role Based Access Control
   1. 1. Scope "roles"
   2. 2. ProfileService
   3. 3. Configurer l’API
6. Contrôle d'accès local
   1. 1. Le cycle de vie d’un contrôleur
   2. 2. RoleBasedAuthorizationFilter
7. API Keys
   1. 1. Filtres et attributs
   2. 2. Middleware
   3. 3. Postman
   4. 4. Swagger

Protéger une application web

1. Introduction
2. Créer l'application cliente
   1. 1. Client pour une application web MVC
   2. 2. Créer une application web ASP.Net MVC
   3. 3. Déconnexion
3. Consommer une API
   1. 1. L’API nécessite un utilisateur identifié
   2. 2. L’API se contente de l’identification de l’applicationentrante
   3. 3. Duende Acces Token Management

Protéger une application Blazor

1. Présentation de Blazor
2. Blazor Server
   1. 1. Appels à des API
   2. 2. Duende Acces Token Management
3. Blazor WebAssembly
   1. 1. Appel à des API
   2. 2. IdentityServer simplifié pour Blazor WebAssembly

Multi-Factor Authentication

1. Qu'est-ce que l'authentification multifacteur ?
2. Applications OTP
   1. 1. Page principale
   2. 2. Page ajouter une application OTP
   3. 3. Soumission du code de vérification
   4. 4. Affichage des codes de secours
   5. 5. Désactivation de la double authentification
   6. 6. Générer des codes de secours
   7. 7. Réinitialiser l’application d’authentification
3. Prise en charge de la double authentification
   1. 1. Connexion avec les codes OTP
   2. 2. Connexion avec les codes de secours
4. Double authentification par e-mail et SMS
   1. 1. Service d’envoi de codes par e-mail
   2. 2. Envoi du code par e-mail
   3. 3. Service d’envoi de codes par SMS
   4. 4. Envoi par SMS
5. Faire cohabiter plusieurs modes en simultané
   1. 1. Limiter à un seul fournisseur disponible à lafois

Backend For Frontend (BFF) Framework

1. Présentation
2. Backend
   1. 1. Mise en place d’une application Web API
   2. 2. Authentification
   3. 3. BFF
   4. 4. Server side sessions
3. Client
4. Consommation d'APIS
   1. 1. API locales
   2. 2. API distantes

Client Initiated Backchannel Authentication

1. Présentation
2. Configurer le SSO
   1. 1. Client
   2. 2. BackchannelAuthenticationUserValidator
   3. 3. BackchannelAuthenticationUserNotificationService
   4. 4. ICibaSender
   5. 5. CibaController
   6. 6. Vue Index
   7. 7. Valider la connexion
3. Application cliente
   1. 1. Application MVC
   2. 2. AccountController
      1. a. Login
      2. b. Token