ASP.netアプリケーションとWCFサービスの間にセキュリティが必要ですか？

Question

[これはかなり主観的で、さまざまな考慮事項に依存しているので、私は人々がその主題についてどのような考えをしているのかを確認するためのアイデアを完成させています...]

asp.netアプリケーションは公開されています（ユーザー名/パスワード認証が必要です）。また、バックエンドで一連のWCFサービスが使用されます。

これらのサービスにどのバインディングを使用するか、具体的にはどのセキュリティ要素（もしあれば）を使うべきかを決定しようとしています。

すべてのアプリケーション（Webフロントエンドとすべてのサービス）は、Webアプリケーション以外のサービスへのすべてのアクセスをブロックするファイアウォールの背後にある同じサーバーファームに存在します。 このような状況では、セキュリティ要素を持たないことが許容できると言います（したがって、パフォーマンスが向上していると思われます）。

完全に言えば、外部的には、しかし、これは認証のためにフェデレーションされたアイデンティティを含む高度なセキュリティ要素を使用して、別のアドレスを持つ別のエンドポイントで行われます。

Answer 1

セキュリティは壁のようです。より多くの壁が良い。

私たちは内部的なものだがウェブアプリケーションからアクセスできるデータベースに対して安全なパスワードを持っており、そのデータベースの機密データを暗号化するのはこのためです。

セキュリティに大きな苦労がない場合は、追加してください。

Answer 2

ダイジェスト認証などのように、サービスもユーザ名とパスワードで保護する必要があります。提供されるユーザ名とパスワードは、アプリケーション内部で処理されます。したがって、セキュリティ層を増やします。