1. 관리되는 코드와 ASP.NET 서버 확장 API 를 사용하는 방식.
2. 네이티브 코드와 IIS7 네이티브 서버 확장 API 를 사용하는 방식.

• ASP.NET API 를 사용하여 관리되는 모듈을 개발해봅니다.
• 관리되는 모듈을 서버에 배포해봅니다.

1. 브라우저가 특정 URL 에 대한, 신원 정보가 존재하지 않는 요청을 생성합니다.
2. 만약, 지정한 URL 이 인증을 요구한다면, 서버는 헤더에 401 접근 제한 메시지와 기본 인증 체계를 지원한다는 지시자가 추가된 응답을 생성합니다.
3. 브라우저가 이 응답을 받으면, 설정 상태에 따라, 사용자 이름과 비밀번호를 입력하는 프롬프트를 출력하고, 이 신원 정보는 다음 요청시에 요청 헤더 내부에 평문으로 포함됩니다.
4. 마지막으로, 서버는 헤더에 포함된 사용자 이름과 비밀번호를 이용하여 인증을 시도합니다.

public class BasicAuthenticationModule : System.Web.IHttpModule

{

    void Init(HttpApplication context)

    {



    }



    void Dispose()

    {



    }

}

public void Init(HttpApplication context)

{

    // 

    // Subscribe to the authenticate event to perform the 

    // authentication.

    // 

    context.AuthenticateRequest += new

        EventHandler(this.AuthenticateUser);



    // 

    // Subscribe to the EndRequest event to issue the 

    // challenge if necessary.

    // 

    context.EndRequest += new 

        EventHandler(this.IssueAuthenticationChallenge);

}

1. 전송된 요청의 헤더에 기본 인증 정보가 존재하는 경우, 해당 정보를 추출해냅니다. 이 작업의 실제 구현은 ExtractBasicAuthenticationCredentials 메서드를 참고하십시오.
2. 멤버쉽 (기본 멤버쉽 제공자로 설정된) 을 이용하여 제공된 신원 정보의 유효성을 검증합니다. 이 작업의 실제 구현은 ValidateCredentials 메서드를 참고하십시오.
3. 인증에 성공하면, 사용자를 증명하는 사용자 보안 주체를 생성하고, 이를 요청과 연결합니다.

1. 요청이 거부되었는지를 파악하기 위해 응답 상태 코드를 점검합니다.
2. 만약, 요청이 거부되었다면, 응답에 기본 인증 챌린지 헤더를 기록하여 클라이언트측 인증 과정을 유도합니다.

• ExtractBasicCredentials 메서드. 이 메서드는 인증 요청 헤더로부터 기본 인증 체계에 따라 기본 인증 신원 정보를 추출합니다.
• ValidateCredentials 메서드. 이 메서드는 멤버쉽을 사용하여 사용자의 신원 정보 유효성을 검증합니다. 멤버쉽 API 는 기반 신원 증명 저장소를 추상화해주고, 구성 설정을 통해 멤버쉽 제공자를 추가하거나 제거하여 신원 증명 저장소 구현을 설정할 수 있게 해줍니다.

• 모듈을 구현한 소스 파일을 응용 프로그램의 /App_Code 디렉터리에 복사합니다. 이 방식은 모듈을 컴파일할 필요가 없으며, 응용 프로그램이 시작될 때 ASP.NET 이 자동적으로 모듈을 컴파일하고 로드합니다. 별다른 처리없이 단지 소스 코드를 BasicAuthenticationModule.cs 라는 이름으로 응용 프로그램의 /App_Code 디렉터리에 저장합니다. 다른 방식에 익숙하지 않다면 이 방식을 선택하면 됩니다.
• 모듈을 별도의 어셈블리로 컴파일하고, 응용 프로그램의 /BIN 폴더에 복사합니다. 이 방식은 응용 프로그램에서 모듈을 사용하고는 싶지만, 모듈의 소스 코드는 포함시키고 싶지 않을 때 선택할 수 있는 가장 일반적인 방법입니다. 다음 명령어를 명령 프롬프트상에서 실행시키면 모듈 소스 파일을 컴파일 할 수 있습니다.:
  
  <PATH_TO_FX_SDK>csc.exe /out:BasicAuthenticationModule.dll /target:library BasicAuthenticationModule.cs
  
  여기서 <PATH_TO_FX_SDK> 는 CSC.EXE 컴파일러가 위치한 .NET 프레임워크 SDK 의 경로입니다.
• 모듈을 강력한 이름의 어셈블리로 컴파일하고, GAC 에 등록합니다. 이 방식은 하나의 머신에서 모듈을 사용하는 복수의 응용 프로그램을 운영하고자 하는 경우 유용합니다. 강력한 이름의 어셈블리를 구축하는 방법에 대한 보다 자세한 내용은 MSDN 문서를 참고하시기 바랍니다.

%windir%\system32\inetsrv\APPCMD.EXE unlock config /section:windowsAuthentication

%windir%\system32\inetsrv\APPCMD.EXE unlock config /section:anonymousAuthentication

<configuration> 

    <system.webServer> 

        <modules> 

        </modules> 

        <security> 

            <authentication> 

                <windowsAuthentication enabled="false"/> 

                <anonymousAuthentication enabled="false"/> 

            </authentication> 

        </security> 

    </system.webServer> 

</configuration> 

<add name="MyBasicAuthenticationModule" type="IIS7Demos.BasicAuthenticationModule" />

http://localhost/

*	IIS7 에서 구성 설정 섹션이 서버 수준에서 잠겨 있다는 얘기는, 간단하게 말해서 해당 구성 설정 섹션은 applicationHost.config 파일에서만 설정이 가능하다는 의미다. 따라서, 기본적으로 서버 수준에서 잠겨 있는 구성 설정 섹션은 관리자만 설정이 가능하다고 보면 된다. 그러나, 관리자가 본문에서 설명하는 명령어를 실행하는 등의 방법으로 해당 구성 설정 섹션의 잠금을 풀어주면 web.Config 파일에서도 설정이 가능해진다. 이 기능을 기능 위임이라고 하는데, IIS7 에서 도입된 분산 구성 설정 시스템의 가장 중요한 특징 중 하나이다. 이러한 잠금 관련 설정은 본문에서 설명하고 있는 명령어를 실행하는 방법 외에도 IIS 관리자를 통해서도 설정이 가능하다. IIS 관리자를 실행시키고 트리뷰에서 루트 노드를 선택한 다음, 관리 영역의 기능 위임 아이콘을 더블 클릭해보면, 위의 명령어를 실행시키기 전에는 윈도우 인증과 익명 인증이 다음과 같이 읽기 전용으로 설정되어 있을 것이다. 그러나, 명령어를 실행시키고 새로 고침을 해보면 다음과 같이 읽기/쓰기로 설정이 변경되어 있다. 물론 당연한 얘기겠지만, 방금 얘기한 바와 같이 이 화면에서 직접 기능 위임 설정을 변경할 수도 있으며, 설정을 변경하고자 하는 기능을 선택하고 작업 영역에서 원하는 링크 버튼을 클릭하기만 하면 된다.
**	물론 이 주소는 각자 테스트에 사용한 웹 응용 프로그램에 따라 달라질 것이다. 필자가 테스트 해본 바에 따르면 비스타상에서 다음과 같은 다음과 같은 로그인 대화 상자가 나타났으며 모든 동작이 정상적으로 이루어졌다.

#region Using directives

using System;

using System.Collections;

using System.Text;

using System.Web;

using System.Web.Security;

using System.Security.Principal;

using System.IO;

#endregion



namespace IIS7Demos

{

    /// 

    /// This module performs basic authentication.

    /// For details on basic authentication see RFC 2617.

    /// 

    /// The basic operational flow is:

    /// 

    ///    On AuthenticateRequest:

    ///        extract the basic authentication credentials

    ///        verify the credentials 

    ///        if succesfull, create the user principal with these credentials

    /// 

    ///    On SendResponseHeaders:

    ///        if the request is being rejected with an unauthorized status code (401),

    ///        add the basic authentication challenge to trigger basic authentication.

    ///        

    /// 



    public class BasicAuthenticationModule : IHttpModule

    {

        #region member declarations

        public const String     HttpAuthorizationHeader = "Authorization";  // HTTP1.1 Authorization header

        public const String     HttpBasicSchemeName = "Basic"; // HTTP1.1 Basic Challenge Scheme Name

        public const Char       HttpCredentialSeparator = ':'; // HTTP1.1 Credential username and password separator

        public const int        HttpNotAuthorizedStatusCode = 401; // HTTP1.1 Not authorized response status code

        public const String     HttpWWWAuthenticateHeader = "WWW-Authenticate"; // HTTP1.1 Basic Challenge Scheme Name

        public const String     Realm = "demo"; // HTTP.1.1 Basic Challenge Realm

        #endregion



        #region Main Event Processing Callbacks

        public void AuthenticateUser(Object source, EventArgs e)

        {

            HttpApplication application = (HttpApplication)source;

            HttpContext context = application.Context;

            String userName = null;

            String password = null;

            String realm = null;

            String authorizationHeader = context.Request.Headers[HttpAuthorizationHeader];



            //

            // Extract the basic authentication credentials from the request

            //

            if (!ExtractBasicCredentials(authorizationHeader, ref userName, ref password))

                return;



            //

            // Validate the user credentials

            //

            if (!ValidateCredentials(userName, password, realm))

                return;



            //

            // Create the user principal and associate it with the request

            //

            context.User = new GenericPrincipal(new GenericIdentity(userName), null);

        }

      

        public void IssueAuthenticationChallenge(Object source, EventArgs e)

        {

            HttpApplication application = (HttpApplication)source;

            HttpContext context = application.Context;

      

            //

            // Issue a basic challenge if necessary

            //

            if (context.Response.StatusCode == HttpNotAuthorizedStatusCode)

            {

                context.Response.AddHeader(HttpWWWAuthenticateHeader, "Basic realm =\"" + Realm + "\"");

            }

        }

        #endregion



        #region Utility Methods

        protected virtual bool ValidateCredentials(String userName, String password, String realm)

        {

            //

            //  Validate the credentials using Membership (refault provider)

            //



            // NOTE: Membership is commented out for clarity reasons.  



            // !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

            // WARNING: DO NOT USE THE CODE BELOW IN PRODUCTION

            // !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!



            // return Membership.ValidateUser(userName, password);

            if (userName.Equals("test") && password.Equals("test"))

            {

                return true;

            }

            else

            {

                return false;

            }

        }



        protected virtual bool ExtractBasicCredentials(String authorizationHeader, ref String username, ref String password) 

        {

            if ((authorizationHeader == null) || (authorizationHeader.Equals(String.Empty)))

                return false;



            String verifiedAuthorizationHeader = authorizationHeader.Trim();



            if (verifiedAuthorizationHeader.IndexOf(HttpBasicSchemeName) != 0)

                return false;



            // get the credential payload

            verifiedAuthorizationHeader = verifiedAuthorizationHeader.Substring(HttpBasicSchemeName.Length, verifiedAuthorizationHeader.Length - HttpBasicSchemeName.Length).Trim();



            // decode the base 64 encodeded credential payload

            byte[] credentialBase64DecodedArray = Convert.FromBase64String(verifiedAuthorizationHeader);

            UTF8Encoding encoding = new UTF8Encoding();

            String decodedAuthorizationHeader = encoding.GetString(credentialBase64DecodedArray, 0, credentialBase64DecodedArray.Length);



            // get the username, password, and realm

            int separatorPosition = decodedAuthorizationHeader.IndexOf(HttpCredentialSeparator);

            if (separatorPosition <= 0)

                return false;

      

            username = decodedAuthorizationHeader.Substring(0, separatorPosition).Trim();

            password = decodedAuthorizationHeader.Substring(separatorPosition + 1, (decodedAuthorizationHeader.Length - separatorPosition - 1)).Trim();

 

            if (username.Equals(String.Empty) || password.Equals(String.Empty))

                return false;



            return true;

        }

        #endregion

      

        #region IHttpModule Members

        public void Init(HttpApplication context)

        {

            // 

            // Subscribe to the authenticate event to perform the 

            // authentication.

            // 

            context.AuthenticateRequest += new

                EventHandler(this.AuthenticateUser);



            // 

            // Subscribe to the EndRequest event to issue the 

            // challenge if necessary.

            // 

            context.EndRequest += new 

                EventHandler(this.IssueAuthenticationChallenge);

        }



        public void Dispose()

        {

            //

            // Do nothing here

            //

        }



        #endregion

    }

}

<configuration>

    <system.webServer>

        <modules>

             <add name="MyBasicAuthenticationModule"

                  type="IIS7Demos.BasicAuthenticationModule" />

        </modules>

        <security>

            <authentication>

                <windowsAuthentication enabled="false"/>

                <anonymousAuthentication enabled="false"/>

            </authentication>

        </security>

    </system.webServer>

</configuration>

宋