255
Chương 7: ASP.NET và Web Form
Chế độ
Mô tả
Anonymous
Client không cần cung cấp bất kỳ thông tin nào. Người dùng được đăng
nhập bằng tài khoản nặc danh có sẵn (IUSR_[ServerName]).
Basic
Basic authentication là một phần của chuẩn HTTP 1.0, và nó được hầu hết
các trình duyệt và web-server hỗ trợ. Khi sử dụng Basic authentication,
trình duyệt yêu cầu người dùng nhập username và password. Thông tin này
được chuyển cho IIS, và nó được so trùng với Windows user account cục
bộ. Basic authentication nên luôn được phối hợp với SSL vì nó không bảo
mật thông tin đăng nhập trước khi chuyển giao.
Digest
Digest authentication gửi một digest (tức mã băm mật mã) trên mạng. Do
đó, nó an toàn hơn Basic authentication vì thông tin đăng nhập nếu bị chặn
cũng không thể dùng lại được. Bất lợi chủ yếu là Digest authentication chỉ
được hỗ trợ trên Internet Explorer 5.0 trở lên. Cũng vậy, web-server của
bạn cần sử dụng Active Directory hoặc có thể truy xuất đến một Active
Directory server.
Integrated
Khi sử dụng Integrated authentication thì Internet Explorer gửi logon
token cho người dùng hiện hành một cách tự động, miễn là nó ở trên một
miền đáng tin cậy. Integrated authentication chỉ được hỗ trợ trên Internet
Explorer 2.0 trở lên và không thể làm việc trên các proxy-server.
Một khi đã kích hoạt các thiết lập bảo mật cho thư mục ảo thích hợp, bạn cũng nên bảo đảm
file Web.config được thiết lập là sử dụng Windows authentication. Trong một dự án Visual
Studio .NET, đây là thiết lập mặc định.
<configuration>
<system.web>
<!-- Bỏ qua các thiết lập khác. -->
<authentication mode="Windows" />
</system.web>
</configuration>
Vào lúc này, thư mục ảo của bạn sẽ yêu cầu xác thực người dùng và ứng dụng Web sẽ có thể
lấy thông tin về người dùng. Ngoài ra, bạn có thể thêm các quy tắc phân quyền (authorization
rule) để ngăn người dùng hoặc nhóm nào đó truy xuất các trang web hoặc thư mục con. Bạn
thực hiện điều này bằng cách thêm thẻ
<allow>
và
<deny>
vào phần
<authorization>
của file
Web.config. Ví dụ, bạn có thể tạo một thư mục con với nội dung file Web.config như sau:
<configuration>
<system.web>
<authorization>
<deny roles="Guest,Associate" />
<allow users="nnbphuong81" />
<deny users="*" />
