Artigo: 306590 - �ltima revis�o: segunda-feira, 29 de Outubro de 2007 - Revis�o: 3.14

INFO: Descri��o geral de seguran�a do ASP.NET

Clique aqui para exibir o artigo traduzido e o artigo original em ingl�s, lado a lado.

Ver isen��o de responsabilidades para tradu��o autom�tica

Ver produtos para os quais este artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Este artigo faz refer�ncia � seguinte Microsoft .NET Framework Class Library espa�os de nomes:

System.Web.Security
System.Web.Principal

Sum�rio

Este artigo fornece uma introdu��o ao ASP.NET seguran�a.

Para descri��es gerais do ASP.NET adicionais, consulte o seguinte artigo da base de dados de conhecimento da Microsoft:

305140� (http://support.microsoft.com/kb/305140/EN-US/ ) INFO: Plano de ASP.NET

Voltar ao topo

ASP.NET d�-lhe mais controlo para implementar seguran�a para a aplica��o. Seguran�a do ASP.NET funciona em conjunto com a seguran�a do ISS (Servi�os de informa��o Internet Information Services) e inclui servi�os de autentica��o e autoriza��o para implementar o modelo de seguran�a do ASP.NET. O ASP.NET inclui tamb�m uma funcionalidade de seguran�a baseada em fun��es que pode implementar para Microsoft Windows e contas de utilizador do Windows n�o.

Este artigo est� dividido nas seguintes sec��es:

Flow of Security with a Request
Related Configuration Settings
Authentication
Forms AuthenticationWindows AuthenticationPassport AuthenticationDefault Authentication
Authorization
FileAuthorizationUrlAuthorization
Role-Based Security

Voltar ao topo

Fluxo de seguran�a com um pedido

Os passos seguintes descrevem a sequ�ncia de eventos quando um cliente faz um pedido:

Um cliente pede uma p�gina .aspx que resida no IIS servidor.
As credenciais do cliente s�o passadas para o IIS.
O IIS autentica o cliente e reencaminha o token autenticado juntamente com o pedido do cliente para o processo de trabalho do ASP.NET.
Com base no token autenticado do IIS e as defini��es de configura��o da aplica��o da Web, o ASP.NET decide se deve representar um utilizador num thread que est� a processar o pedido. Uma diferen�a distinta entre Microsoft Active Server Pages (ASP) e ASP.NET, o ASP.NET representa j� n�o o utilizador autenticado por predefini��o. Para activar a representa��o, tem de definir o atributo representar a sec��o de identidade no ficheiro Web.config para true .

Para obter mais informa��es sobre o fluxo de seguran�a, consulte o t�pico seguinte no .NET Framework Software Development Kit (SDK) documenta��o:

Fluxo de dados do ASP.NET
http://msdn.microsoft.com/en-us/library/xa68twcb(vs.71).aspx (http://msdn.microsoft.com/en-us/library/xa68twcb(vs.71).aspx)

Para obter informa��es adicionais sobre representar no ASP.NET, clique no n�mero de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft:

306158� (http://support.microsoft.com/kb/306158/EN-US/ ) INFO: Implementar representa��o de uma aplica��o do ASP.NET

Voltar ao topo

Defini��es de configura��o relacionados

O IIS mant�m defini��es de configura��o relacionados com a seguran�a do IIS da metabase. No entanto, o ASP.NET mant�m a seguran�a (e outros) defini��es de configura��o nos ficheiros de configura��o XML (Extensible Markup Language). Apesar de Isto geralmente simplifica a implementa��o da aplica��o do ponto de vista da seguran�a, o modelo de seguran�a que adopta a aplica��o necessita a configura��o correcta do tanto a metabase do IIS e a aplica��o do ASP.NET atrav�s do respectivo ficheiro de configura��o (Web.config).

As seguintes sec��es de configura��o relacionados com a seguran�a do ASP.NET:

sec��o <authentication>
http://msdn.microsoft.com/en-us/library/532aee0e(vs.71).aspx (http://msdn.microsoft.com/en-us/library/532aee0e(vs.71).aspx)
sec��o <authorization>
http://msdn.microsoft.com/en-us/library/8d82143t(vs.71).aspx (http://msdn.microsoft.com/en-us/library/8d82143t(vs.71).aspx)
sec��o <identity>
http://msdn.microsoft.com/en-us/library/72wdk8cc(vs.71).aspx (http://msdn.microsoft.com/en-us/library/72wdk8cc(vs.71).aspx)
<machinekey> sec��o
http://msdn.microsoft.com/en-us/library/w8h3skw9(vs.71).aspx (http://msdn.microsoft.com/en-us/library/w8h3skw9(vs.71).aspx)

Voltar ao topo

Autentica��o

A autentica��o � o processo atrav�s do qual obter credenciais de identifica��o como o nome do utilizador e palavra-passe e validar essas credenciais atrav�s de uma autoridade.

O ASP.NET fornece quatro fornecedores de autentica��o:

Forms authentication
Windows authentication
Passport authentication
Default authentication

Autentica��o de formul�rios

Autentica��o por formul�rios refere-se a um sistema no qual pedidos n�o autenticados s�o redireccionados para um formul�rio de HTML (Hypertext Markup Language) na qual os utilizadores escrever as respectivas credenciais. Depois do utilizador fornece credenciais e submete o formul�rio, a aplica��o autenticar o pedido e o sistema emite uma permiss�o de autoriza��o sob a forma de um cookie. Este cookie cont�m as credenciais ou uma chave para readquirir a identidade. Os pedidos subsequentes a partir do browser incluem automaticamente o cookie.

Para obter mais informa��es sobre autentica��o de formul�rios, consulte o t�pico seguinte no .NET Framework SDK documenta��o:

O fornecedor de autentica��o de formul�rios
http://msdn.microsoft.com/en-us/library/907hb5w9(vs.71).aspx (http://msdn.microsoft.com/en-us/library/907hb5w9(vs.71).aspx)

Para obter informa��es adicionais autentica��o de formul�rios no ASP.NET, clique no n�mero de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft:

301240� (http://support.microsoft.com/kb/301240/EN-US/ ) COMO: Implementar Forms-Based Authentication in a aplica��o do ASP.NET utilizando o C# .NET

Autentica��o do Windows

Na autentica��o do Windows, o IIS executa a autentica��o e o token autenticado � reencaminhado para o processo de trabalho do ASP.NET. A vantagem de utilizar o Windows � de autentica��o que requer um m�nimo de codifica��o. Poder� pretender utilizar o Windows autentica��o para representar a conta de utilizador do Windows que o IIS autentica antes de entregar o pedido para o ASP.NET.

Para obter mais informa��es sobre a autentica��o do Windows, consulte o t�pico seguinte na documenta��o do .NET Framework SDK:

O fornecedor WindowsAuthenticationModule
http://msdn.microsoft.com/en-us/library/907hb5w9(vs.71).aspx (http://msdn.microsoft.com/en-us/library/907hb5w9(vs.71).aspx)

Autentica��o de Passport

Autentica��o por conta Passport � um autentica��o centralizada servi�o, que fornece a Microsoft, que oferece uma sess�o �nica e servi�os de perfil principal para sites membros. Normalmente, autentica��o por conta Passport � utilizada quando tiver sess�o �nica capacidade em v�rios dom�nios.

Para obter mais informa��es sobre autentica��o por conta Passport, consulte o t�pico seguinte na documenta��o do .NET Framework SDK:

O fornecedor de autentica��o de Passport
http://msdn.microsoft.com/en-us/library/f8e50t0f(vs.71).aspx (http://msdn.microsoft.com/en-us/library/f8e50t0f(vs.71).aspx)

Autentica��o predefinida

Autentica��o predefinida � utilizada quando n�o pretender que qualquer seguran�a no seu aplicativo da Web; o acesso an�nimo � necess�rio para este fornecedor de seguran�a. Entre todos os fornecedores de autentica��o, predefini��o autentica��o fornece desempenho m�ximo para a aplica��o. Este fornecedor de autentica��o tamb�m � utilizado quando utiliza o m�dulo de seguran�a personalizado.

Voltar ao topo

Autoriza��o

Autoriza��o � o processo que verifica se o utilizador autenticado tem acesso a recursos pedidos.

O ASP.NET oferece os seguintes fornecedores de autoriza��o:

FileAuthorization
UrlAuthorization

FileAuthorization

A classe FileAuthorizationModule executa autoriza��o de ficheiros e est� activa quando utiliza a autentica��o do Windows. FileAuthorizationModule � respons�vel por efectuar verifica��es de controlo de acesso do Windows listas (ACL) para determinar se um utilizador deve t�m acesso.

UrlAuthorization

A classe UrlAuthorizationModule efectua a autoriza��o de URL (Uniform Resource Locator), que controla a autoriza��o com base no espa�o de nomes de URI. Espa�os de nomes URI podem ser bastante diferentes dos caminhos de pasta e ficheiro f�sicos que utilizam as permiss�es de NTFS.

UrlAuthorizationModule implementa tanto declara��es de autoriza��o positivos e negativos; ou seja, pode utilizar o m�dulo para selectivamente permitir ou negar acesso a partes arbitr�rios do espa�o de nomes de URI para utilizadores, fun��es (tais como o Gestor, os t�cnicos de testes e administradores) e verbos (tal como GET e POST).

Para mais informa��es sobre autoriza��o no ASP.NET, consulte o t�pico seguinte na documenta��o do .NET Framework SDK:

Autoriza��o do ASP.NET
http://msdn.microsoft.com/en-us/library/wce3kxhd(vs.71).aspx (http://msdn.microsoft.com/en-us/library/wce3kxhd(vs.71).aspx)

Voltar ao topo

Seguran�a baseada em fun��es

Seguran�a baseada em ASP.NET � semelhante a seguran�a baseada em fun��es que utilizarem o Microsoft COM + e Microsoft Transaction Server (MTS), apesar de existirem diferen�as importantes. Seguran�a baseada em ASP.NET n�o est� limitada a contas e grupos do Windows. Por exemplo, se a autentica��o do Windows e de representa��o estiver activada, a identidade do utilizador � uma identidade do Windows (User.Identity.Name = "Domain\username"). Pode verificar as identidades de associa��o a fun��es espec�ficas e restringir o acesso em conformidade. Por exemplo:

c�digo do Visual Basic .NET

If User.IsInRole("BUILTIN\Administrators") Then
   Response.Write("You are an Admin")
Else If User.IsInRole("BUILTIN\Users") then
   Response.Write("You are a User")
Else
   Response.Write("Invalid user")
End if

C�digo visual C# .NET

if ( User.IsInRole("BUILTIN\\Administrators"))
   Response.Write("You are an Admin");
else if (User.IsInRole("BUILTIN\\Users"))
   Response.Write("You are a User");
else
   Response.Write("Invalid user");

se estiver a utilizar autentica��o de formul�rios, as fun��es n�o est�o atribu�das ao utilizador autenticado; tem de efectuar este procedimento atrav�s de programa��o. Para atribuir fun��es para o utilizador autenticado, utilize o evento OnAuthenticate do m�dulo de autentica��o (os formul�rios que � o m�dulo de autentica��o neste exemplo) para criar um novo objecto GenericPrincipal e atribuir � propriedade de utilizador do HttpContext. O seguinte c�digo ilustra isto:

c�digo do Visual Basic .NET

Public Sub Application_AuthenticateRequest(s As Object, e As EventArgs)
   If (Not(HttpContext.Current.User Is Nothing)) Then
      If HttpContext.Current.User.Identity.AuthenticationType = "Forms" Then
         Dim id as System.Web.Security.FormsIdentity = HttpContext.Current.User.Identity
         Dim myRoles(3) As String
         myRoles(0)= "managers"
         myRoles(1)= "testers"
         myRoles(2)= "developers"
         HttpContext.Current.User = new System.Security.Principal.GenericPrincipal(id,myRoles) 
      End If
   End If
End Sub

C�digo visual C# .NET

public void Application_AuthenticateRequest(Object s, EventArgs e)      
{
   if (HttpContext.Current.User != null)
   {
      if (HttpContext.Current.User.Identity.AuthenticationType == "Forms" ) 
      {
         System.Web.Security.FormsIdentity id = HttpContext.Current.User.Identity;
         String[] myRoles = new String[3];
         myRoles[0]= "managers";
         myRoles[1]= "testers";
         myRoles[2]= "developers";
         HttpContext.Current.User = new System.Security.Principal.GenericPrincipal(id,myRoles);
      }
   }
}

para verificar se o utilizador est� numa fun��o espec�fica e restringir o acesso em conformidade, utilize o seguinte c�digo (ou outra semelhante) nas p�ginas .aspx:

c�digo do Visual Basic .NET

If User.IsInRole("managers") Then
   Response.Write("You are a Manager")
Else If  User.IsInRole("testers") Then
   Response.Write("You are a Tester")
Else If User.IsInRole("developers") Then
   Response.Write("You are a Developer")
End if

Visual C# .NET Code

if (User.IsInRole("managers"))
   Response.Write("You are a Manager");
else if (User.IsInRole("testers"))
   Response.Write("You are a Tester");
else if (User.IsInRole("developers"))
   Response.Write("You are a Developer");

Para obter informa��es adicionais, clique no n�mero de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft:

306238� (http://support.microsoft.com/kb/306238/EN-US/ ) COMO: Implementar com fun��o de seguran�a com autentica��o baseada em formul�rios na sua aplica��o do ASP.NET utilizando o Visual Basic .NET

Para mais informa��es sobre seguran�a baseada em fun��es, consulte o t�pico seguinte na documenta��o do .NET Framework SDK:

Seguran�a baseada em fun��es
http://msdn.microsoft.com/en-us/library/52kd59t0(vs.71).aspx (http://msdn.microsoft.com/en-us/library/52kd59t0(vs.71).aspx)

Voltar ao topo

Refer�ncias

Para obter informa��es sobre directrizes de seguran�a do ASP.NET, consulte a seguinte documenta��o t�cnica da MSDN:

Autentica��o no ASP.NET: orienta��es de seguran�a do .NET
http://msdn.microsoft.com/en-us/library/ms978378.aspx (http://msdn.microsoft.com/en-us/library/ms978378.aspx)

Para mais informa��es gerais sobre ASP.NET, consulte o newsgroup MSDN seguinte:

microsoft.public.dotnet.framework.aspnet (http://msdn.microsoft.com/newsgroups/default.aspx?query=microsoft.public.dotnet.framework.aspnet&dg=&cat=en-us-msdn&lang=en&cr=US&pt=&catlist=774F24A2-F71F-425F-AC2B-DC48AB0DA5C9&dglist=&ptlist=&exp=&sloc=en-us)

Para obter informa��es adicionais, clique nos n�meros de artigo existentes abaixo para visualizar os artigos na Microsoft Knowledge Base:

311094� (http://support.microsoft.com/kb/311094/EN-US/ ) Erro: Mensagem de erro "ConfigurationException" quando representada contas ler configura��o

306359� (http://support.microsoft.com/kb/306359/EN-US/ ) PROBLEMA: Request.ServerVariables("LOGON_USER") devolve cadeia vazia no ASP.NET

313091� (http://support.microsoft.com/kb/313091/EN-US/ ) COMO: Criar chaves utilizando o Visual Basic .NET para utilizar na autentica��o de formul�rios

313116� (http://support.microsoft.com/kb/313116/EN-US/ ) PROBLEMA: N�o s�o dirigidos pedidos de autentica��o de formul�rios para loginUrl p�gina

Para mais informa��es, consulte os seguintes livros:

Reilly, j. Douglas Designing Microsoft ASP.NET Applications (http://www.microsoft.com/mspress/books/toc/5136.aspx) . A Microsoft Press, 2001.

Esposito, Dino. Building Web Solutions with ASP.NET and ADO.NET (http://www.microsoft.com/learning/en/us/Books/5727.aspx) . A Microsoft Press, 2001.

Voltar ao topo

A informa��o contida neste artigo aplica-se a:

Microsoft ASP.NET 1.0
Microsoft ASP.NET 1.1

Voltar ao topo

kbmt kbproductlink kbarttyperoadmap kbconfig kbinfo kbsecurity kbweb KB306590 KbMtpt

Voltar ao topo

Tradu��o autom�tica

IMPORTANTE: Este artigo foi traduzido por um sistema de tradu��o autom�tica (tamb�m designado por Machine translation ou MT), n�o tendo sido portanto revisto ou traduzido por humanos. A Microsoft tem artigos traduzidos por aplica��es (MT) e artigos traduzidos por tradutores profissionais. O objectivo � simples: oferecer em Portugu�s a totalidade dos artigos existentes na base de dados do suporte. Sabemos no entanto que a tradu��o autom�tica n�o � sempre perfeita. Esta pode conter erros de vocabul�rio, sintaxe ou gram�tica? erros semelhantes aos que um estrangeiro realiza ao falar em Portugu�s. A Microsoft n�o � respons�vel por incoer�ncias, erros ou estragos realizados na sequ�ncia da utiliza��o dos artigos MT por parte dos nossos clientes. A Microsoft realiza actualiza��es frequentes ao software de tradu��o autom�tica (MT). Obrigado.

Clique aqui para ver a vers�o em Ingl�s deste artigo: 306590� (http://support.microsoft.com/kb/306590/en-us/ )

Voltar ao topo

This site in other countries/regions:

INFO: Descri��o geral de seguran�a do ASP.NET

Nesta p�gina

Sum�rio

Mais Informa��o

Fluxo de seguran�a com um pedido

Defini��es de configura��o relacionados

Autentica��o

Autentica��o de formul�rios

Autentica��o do Windows

Autentica��o de Passport

Autentica��o predefinida

Autoriza��o

FileAuthorization

UrlAuthorization

Seguran�a baseada em fun��es

Refer�ncias

A informa��o contida neste artigo aplica-se a:

Palavras-chave:�

Outros Sites de Suporte

Comunidades

Obtenha Ajuda Agora

Tradu��es de Artigos