Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Authentifizierung und Autorisierung 491
Dieses Element hat ein erforderliches Attribut, impersonate. Setzen Sie dieses Attribut auf
"true", um den ASP.NET-Identitätswechsel zu aktivieren, oder auf "false" (Standardwert),
um ihn zu deaktivieren.
Die folgenden optionalen Attribute können Sie verwenden, wenn Sie wollen, dass die Anwendung
immer die Identität eines bestimmten Benutzers annimmt:
userName ist der Name des Benutzers, dessen Identität angenommen wird.
password ist das verschlüsselte Kennwort.
Formularauthentifizierung
Formularauthentifizierung erlaubt der Website, die Schnittstelle zu steuern, die der Benutzer
zum Eingeben der Anmeldeinformationen angezeigt bekommt, statt es (wie bei Standardauthentifizierung
und Digestauthentifizierung) dem Browser zu überlassen, das Anmeldedialogfeld
anzuzeigen. Ein Zugriff auf eine Seite, die Formularauthentifizierung erfordert,
wird anfangs auf eine Anmeldeseite umgeleitet, normalerweise ein Webformular, wo die
Anmeldeinformationen eingegeben werden können. Falls der Server die Anmeldeinformationen
als gültig anerkennt, wird im Browser ein Cookie gesetzt und der Browser wird
zurück auf die Seite geleitet, die er ursprünglich angefordert hat. Wenn das Cookie richtig
gesetzt ist, wird die Seite angezeigt, die durch Formularauthentifizierung geschützt ist.
Eine Beispielanmeldeseite und der zugehörige Code wird an vielen Stellen angeboten, zum
Beispiel unter http://support.microsoft.com/kb/301240.
Die Konfiguration für die Formularauthentifizierung ist in der Web.config-Datei der Website
oder des virtuellen Verzeichnisses unter dem folgenden Abschnitt gespeichert:
Das Element authentication sollte das Attribut mode mit dem Wert "Forms" enthalten. Falls
Sie nicht die Standardwerte verwenden, müssen Sie ein forms-Attribut unter dem authentication-Element
einfügen, das folgende Attribute hat:
cookieless hat den Standardwert "UseDeviceProfile" (Authentifizierungsinformationen
werden in Cookies gespeichert, wenn bekannt ist, dass der Browser sie unterstützt, andernfalls
in den URIs). Andere mögliche Werte sind "UseCookies" (Authentifizierungsinformationen
werden immer in Cookies gespeichert), "UseUri" (Authentifizierungsinformationen
werden immer in der URI gespeichert) und "AutoDetect" (der Browser
wird untersucht, um festzustellen welche Möglichkeit genutzt werden kann).
loginUrl hat den Standardwert "login.aspx". Dies ist eine URL relativ zur Ebene, auf
der Sie die Authentifizierungskonfiguration festlegen, zu der der Browser umgeleitet
wird, um die Anmeldeinformationen einzugeben.
name hat den Standardwert ".ASPXAUTH". Dies ist der Name des Cookies (oder der URI-
Komponente), das nach Authentifizierungsinformationen abgefragt wird.