ASP.NET Core Identity 2.0 Authorize filter

Question

コントローラーを特定の役割のみに制限したいとします。具体的には、adminとしましょう。 adminロールを持つユーザーを設定した後、私は彼がIsInRoleAsyncメソッドを使用してその役割を果たしていることを検証できます（真を返します）。 [Authorize(Roles = "admin")]で属性を設定すると、まったく同じユーザーで404が取得されます。私はベアラトークンを使用しています（これは関係ないと思いますが、とにかくです）、ここでデバッグを試みました。

コントローラなし[Authorize]：リソースが返されます。 [Authorize]で[OK]

コントローラー：でも役割のセットを持つユーザーでログインした後、私が手に：私は[Authorize(Roles = "admin")]とAuthentication: Bearer [access token] [OK]

コントローラーを使用のみときに、リソースが返されます

public void ConfigureServices(IServiceCollection services) 
{ 
    services.AddMvc(); 

    // Add framework services. 
    services.AddDbContext<ApplicationDbContext>(options => 
    { 
     options.UseSqlServer(Configuration.GetConnectionString("DefaultConnection")); 
     options.UseOpenIddict(); 
    }); 
    services.AddIdentity<ApplicationUser, IdentityRole>() 
     .AddEntityFrameworkStores<ApplicationDbContext>() 
     .AddDefaultTokenProviders(); 

    services.AddOpenIddict(opt => 
    { 
     opt.AddEntityFrameworkCoreStores<ApplicationDbContext>(); 
     opt.AddMvcBinders(); 
     opt.EnableTokenEndpoint("/api/token"); 
     opt.AllowPasswordFlow(); 
     opt.DisableHttpsRequirement(); //for dev only! 
     opt.UseJsonWebTokens(); 
     opt.AddEphemeralSigningKey(); 
     opt.AllowRefreshTokenFlow(); 
     opt.SetAccessTokenLifetime(TimeSpan.FromMinutes(5)); 
    }); 

    services.AddAuthentication(options => 
    { 
     options.DefaultScheme = OAuthValidationDefaults.AuthenticationScheme; 
     options.DefaultAuthenticateScheme = OAuthValidationConstants.Schemes.Bearer; 
     options.DefaultSignInScheme = IdentityConstants.ExternalScheme; 
    }) 
     .AddJwtBearer(options => 
     { 
      options.Authority = "http://localhost:44337/"; 
      options.Audience = "resource_server"; 
      options.RequireHttpsMetadata = false; 
      options.TokenValidationParameters = new TokenValidationParameters 
      { 
       NameClaimType = OpenIdConnectConstants.Claims.Subject, 
       RoleClaimType = OpenIdConnectConstants.Claims.Role 
      };     
     }); 
    services.Configure<IdentityOptions>(options => 
    { 
     // Password settings 
     options.Password.RequireDigit = true; 
     options.Password.RequiredLength = 8; 
     options.Password.RequireNonAlphanumeric = false; 
     options.Password.RequireUppercase = true; 
     options.Password.RequireLowercase = false; 

     // Lockout settings 
     options.Lockout.DefaultLockoutTimeSpan = TimeSpan.FromMinutes(30); 
     options.Lockout.MaxFailedAccessAttempts = 10; 
     // User settings 
     options.User.RequireUniqueEmail = true; 
     // Add application services. 
     options.ClaimsIdentity.UserNameClaimType= OpenIdConnectConstants.Claims.Name; 
     options.ClaimsIdentity.UserIdClaimType = OpenIdConnectConstants.Claims.Subject; 
     options.ClaimsIdentity.RoleClaimType = OpenIdConnectConstants.Claims.Role; 
    }); 

    services.AddSingleton(typeof(RoleManager<ApplicationUser>)); 
    // Add application services. 
    services.AddTransient<IEmailSender, AuthMessageSender>(); 
    services.AddTransient<ISmsSender, AuthMessageSender>(); 

Answer 1

デフォルトの認証、サインイン/サインアウト、チャレンジ/禁止のスキームとして自動的に設定されたIDはservices.AddIdentity()によって自動的に設定されるため、アクセス拒否ページ（デフォルトではAccount/AccessDenied）にリダイレクトしようとしますが、これはおそらくアプリケーションには存在しません。 JWTは、マッピング機能が無効になっていると主張してください、あなたの第二の問題を解決するには

services.AddAuthentication(options => 
{ 
    // ... 
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme; 
    options.DefaultForbidScheme = JwtBearerDefaults.AuthenticationScheme; 
}); 

---

：それはあなたの問題を修正かどうかを確認するために、デフォルトの挑戦/禁断のスキームをオーバーライドする

してみてください。そうでない場合、JWTハンドラはroleのクレームをすべてClaimTypes.Roleに "変換"します。これは、ClaimsPrincipal.IsInRole(...)（RoleClaimType = OpenIdConnectConstants.Claims.Role）によって使用されるロールクレームとしてroleを使用するように設定したときは機能しません。

services.AddAuthentication(options => 
{ 
    options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme; 
}) 
.AddJwtBearer(options => 
{ 
    // ... 
    options.SecurityTokenValidators.Clear(); 
    options.SecurityTokenValidators.Add(new JwtSecurityTokenHandler 
    { 
     // Disable the built-in JWT claims mapping feature. 
     InboundClaimTypeMap = new Dictionary<string, string>() 
    }); 
}); 

Answer 2

私は何が必要だと思う：404 [NOK]

私はここに私はいくつかの設定を欠けている場合は知らないが、私のConfigureServicesですロールではなく、主張をチェックすることです。追加AuthorizeAttributeのような請求項が要求するポリシーを設定し、その後

[Authorize(Policy = "AdminOnly")] 

そして：

services.AddAuthorization(options => 
{ 
    options.AddPolicy("AdminOnly", policy => 
         policy.RequireClaim(OpenIdConnectConstants.Claims.Role, "Admin")); 
}); 

あるいは、目的やより高度な検証をデバッグするために、あなたが持っている可能性があり：

services.AddAuthorization(options => 
{ 
    options.AddPolicy("AdminOnly", policy => 
         policy.RequireAssertion(ctx => 
    { 
     //do your checks 
     return true; 
    })); 
});