ASP.NET Core 実装（Web Apps + SSO）

通常の Web アプリ向けシングルサインオン（SSO）アーキテクチャ シナリオの ASP.NET Core 実装

ASP.NET Core 実装の完全なソースコードは、こちらのGitHubリポジトリで確認できます。

​

Cookie と OIDC ミドルウェアを設定する

このガイドでは、シンプルなホスト型ログインを使用します。ASP.NET Core で利用できる標準の Cookie および OIDC ミドルウェアを使用するため、NuGet パッケージをインストールしておいてください。

Install-Package Microsoft.AspNetCore.Authentication.Cookies
Install-Package Microsoft.AspNetCore.Authentication.OpenIdConnect

次に、アプリケーションのミドルウェア パイプラインで、Cookie と OIDC のミドルウェアを構成します。

上のコードから、2種類の認証ミドルウェアを構成していることがわかります。

1つ目は、UseCookieAuthentication の呼び出しで登録した Cookie ミドルウェアです。2つ目は、UseOpenIdConnectAuthentication の呼び出しで構成する OIDC ミドルウェアです。

ユーザーが OIDC ミドルウェアを使って Auth0 にサインインすると、その情報は自動的に セッション cookie に保存されます。必要なのは上記のようにミドルウェアを構成することだけで、ユーザーセッションの管理はミドルウェアが自動的に行います。

また、OpenID Connect (OIDC) ミドルウェアは、ユーザーの認証後に Auth0 から送信される ID Token からすべてのクレームも取り出し、それらを ClaimsIdentity にクレームとして追加します。

​

ログアウトを実装する

AuthenticationManager クラスの SignOutAsync メソッドに、サインアウト対象の認証スキームを渡すことで、アプリケーションのセッションと Auth0 のセッションの両方を制御できます。

たとえば Cookie ミドルウェアからサインアウトして、アプリケーションの認証 Cookie を削除するには、次のように呼び出します。

await HttpContext.Authentication.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);

同様に、SignOutAsyncメソッドを呼び出し、サインアウトする認証スキームとしてAuth0を渡すことで、Auth0 からユーザーをログアウトできます。

await HttpContext.Authentication.SignOutAsync("Auth0");

ただし、上記を機能させるには、OIDC ミドルウェアの登録時に、OnRedirectToIdentityProviderForSignOut イベントを処理する追加の設定も必要です。イベント内では、Auth0 の Cookie をクリアするために、Auth0 の logout エンドポイント にリダイレクトする必要があります。

app.UseOpenIdConnectAuthentication(new OpenIdConnectOptions("Auth0")
{
    // 一部のコードは省略
    Events = new OpenIdConnectEvents
    {
        OnRedirectToIdentityProviderForSignOut = context =>
        {
            context.Response.Redirect($"https://{auth0Settings.Value.Domain}/v2/logout?client_id={auth0Settings.Value.ClientId}&returnTo={context.Request.Scheme}://{context.Request.Host}/");
            context.HandleResponse();

            return Task.FromResult(0);
        }
    }
});

また、Auth0 Dashboard で、アプリケーションの Allowed Logout URLs にアプリケーションの URL を追加しておく必要があります。詳しくは、Logout を参照してください。

​

管理者権限を実装する

グループを ASP.NET Core アプリケーションに統合する最も簡単な方法は、ASP.NET Core に用意されている組み込みの Role-based Authorization を使用することです。そのためには、次の型の Claim を追加する必要があります

http://schemas.microsoft.com/ws/2008/06/identity/claims/role

ユーザーに割り当てられている各グループに対して。

クレームが追加されたら、[Authorize(Roles = "Admin")]属性を付与することで、特定の操作をAdminユーザーだけが利用できるように簡単に制限できます。コントローラー内でUser.IsInRole("Admin")を呼び出せば、ユーザーが特定のroleに属しているかどうかをコードから確認することもできます。

ASP.NET OIDCミドルウェアは、JWTで返されたすべてのクレームを、自動的にClaimsIdentityにクレームとして追加します。したがって、authorizationクレームから情報を抽出し、そのクレームのJSON本体をデシリアライズして、各グループについてhttp://schemas.microsoft.com/ws/2008/06/identity/claims/roleクレームをClaimsIdentityに追加する必要があります。

app.UseOpenIdConnectAuthentication(new OpenIdConnectOptions("Auth0")
{
    // 簡略化のため一部の設定を省略

    Events = new OpenIdConnectEvents
    {
        OnTicketReceived = context =>
        {
            var options = context.Options as OpenIdConnectOptions;

            // ClaimsIdentityを取得する
            var identity = context.Principal.Identity as ClaimsIdentity;
            if (identity != null)
            {
                // グループをロールとして追加する
                var authzClaim = context.Principal.FindFirst(c => c.Type == "authorization");
                if (authzClaim != null)
                {
                    var authorization = JsonConvert.DeserializeObject<Auth0Authorization>(authzClaim.Value);
                    if (authorization != null)
                    {
                        foreach (var group in authorization.Groups)
                        {
                            identity.AddClaim(new Claim(ClaimTypes.Role, group, ClaimValueTypes.String, options.Authority));
                        }
                    }
                }
            }

            return Task.FromResult(0);
        }
    }
});

続いて、管理者がタイムシートを承認できるようにするアクションを追加できます。

[Authorize(Roles = "Admin")]
public IActionResult TimesheetApproval()
{          
    return View();
}