poco : [ASP.NET] impersonate(가장)과 cookie(쿠키)를 사용한 폼 인증

2007년 06월 20일

[ASP.NET] impersonate(가장)과 cookie(쿠키)를 사용한 폼 인증

[출처 : 마이크로소프트]
http://msdn.microsoft.com/library/kor/default.asp?url=/library/KOR/cpguide/html/cpconaspnetdataflow.asp

impersonate (가장)

네트워크 클라이언트가 IIS에 액세스 요청을 제출합니다.
IIS는 기본, 다이제스트, 또는 Windows NT 통합 인증(NTLM 또는 Kerberos)을 사용하여 이 클라이언트를 인증합니다.
이 클라이언트가 인증되면, IIS는 인증된 요청을 ASP.NET으로 전달합니다.
ASP.NET 응용 프로그램은 IIS에서 전달한 액세스 토큰을 사용하여 요청하는 클라이언트를 가장하고 NTFS 파일 권한을 통해 액세스를 허용합니다. ASP.NET 응용 프로그램에서는 ASP.NET 구성 파일에서 가장 사용 가능 지시문이 true로 설정되어 있는지 확인만 하면 되며, ASP.NET 보안 코드를 작성하지 않아도 됩니다.
가장이 활성화되지 않으면 해당 응용 프로그램은 IIS 프로세스 ID로 실행합니다. Microsoft Windows 2000 Server 및 Windows XP의 경우 기본 ID는 ASP.NET이 설치될 때 자동으로 만들어지는 ASPNET이라는 사용자 계정입니다. Microsoft Windows Server 2003의 경우 기본 ID는 Network Service 계정입니다. 액세스를 제한하려면 URL 권한 부여 같은 다른 인증 방법을 사용해야 합니다.
ASP.NET 응용 프로그램에서 가장 사용에 대한 자세한 내용은 가장 및 ASP.NET 가장과 함께 IIS 인증 사용을 참조하십시오.
액세스가 허용되면 ASP.NET 응용 프로그램은 IIS를 통해 요청된 페이지를 반환합니다.

cookie(쿠키)
참고 IIS 익명 액세스 설정을 선택하지 않은 경우, IIS 인증 기준에 맞지 않는 요청은 거부되어 ASP.NET 응용 프로그램에 전달되지 않습니다.

클라이언트가 보호되는 리소스를 요청합니다.
IIS에서 이 요청을 받고 요청자를 인증하거나 IIS 익명 액세스가 선택되어 있으면 ASP.NET 응용 프로그램으로 요청이 전달됩니다. 이 경우 ASP.NET 응용 프로그램의 인증 모드가 폼으로 설정되어 있으므로 IIS 인증은 사용되지 않습니다.
요청에 첨부된 쿠키가 없으면 ASP.NET에서는 해당 요청을 이 응용 프로그램의 구성 파일에 저장된 로그온 페이지 경로로 리디렉션합니다. 로그온 페이지에서 클라이언트 사용자는 필요한 자격 증명(일반적으로 이름과 암호)을 입력합니다.
응용 프로그램 코드는 대개 이벤트 처리기에서 자격 증명을 검사하여 해당 인증을 확인합니다. 자격 증명이 인증되면 응용 프로그램 코드는 암호가 아닌 사용자 이름이 포함된 티켓을 쿠키로 첨부합니다. 인증이 실패하면 대개 액세스 거부 메시지와 함께 해당 요청이 반환되거나 로그온 폼이 다시 표시됩니다.
응용 프로그램에서 티켓을 발급하면, ASP.NET은 메시지 인증 검사를 사용하여 티켓이 유효한지 확인합니다. 응용 프로그램은 *.config 파일에 자격 증명을 필요로 하지 않습니다. 실제로 ASP.NET은 쿠키가 발급되고 나면 자격 증명이 있는 경우에도 이것을 확인하지 않습니다.
사용자가 인증되면 ASP.NET은 권한을 확인한 후, 응용 프로그램 디자인에 따라서 원래 요청했던 보호되는 리소스에 액세스를 허용하거나 다른 페이지로 요청을 리디렉션합니다. 또한, 보호되는 리소스에 액세스할 수 있는 권한을 부여하기 위해 자격 증명을 테스트하는 사용자 지정 인증 모듈로 요청을 연결할 수도 있습니다. 인증이 실패하면 ASP.NET은 항상 로그온 페이지로 리디렉션합니다.
사용자에게 권한이 부여되면, 보호되는 리소스에 액세스할 수 있습니다. 또는, 응용 프로그램 디자인에 따라 응용 프로그램은 보호되는 리소스에 액세스할 수 있는 권한을 부여하기 전에 자격 증명에 대한 추가 테스트를 요구할 수도 있습니다.