인증 및 권한 부여

인증은 엔티티의 신원을 검색한다.

자격증명은 유효성 검사를 통해 신원을 확인하는 프로세스다.

권한 부여는 현재 신원 정보로 요청된 작업을 수행할 수 있는지 여부를 결정하는 프로세스다.

역활 기반 보안은 접근 제어를 위한 비즈니스 또는 엔터프라이즈 응용프로그램에서 사장 일반적으로 사용되는 보안 모델.

Identity 및 principal 개체는 역할 기반의 보안을 구현하기 위하여 .Net Framework에서 제공하는 추상적인 개념.

사용자 정의 시나리오를 위하여, Net. Framework 4.5의 GenericIdentity와 GenericPrincipal 클래스를 사용할 수 있다. 또 WINDOW 인증을 위해서 WindowsIdentity와 WindowsPrincipal 클래스를 사용할 수 있다.

클레임 기반 보안 모델에서 사용자는 응용프로그램에 자격증명을 제공하지 않고 단지 클레임만 제공한다.

역활 기반의 접근 제어와 클레임 기반의 접근 제어의 근본적인 차이점은 역할 기반의 접근 제어를 위해서는 반드시 사용자를 작업을 수행할 수 있는 권한이 있는 역할에 할당해야 한다는 것이고, 반면에 클레임 기반의 접근 제어를 위해서는 사용자가 권한을 부여 받을 수 있도록 응용프로그램이 확인할 수 있는 올바른 값으로 클레임을 제공해야 한다는 것이다. 클레임 기반의 접근 제어가 좀 더 제어하기가 쉽고 유지 관리 또한 쉽다.

클레임은 보안 토큰의 형태로 발급 기관에 의해 응용프로그램에 발급된다. 보안 토큰은 기본적으로 서명디어 있고 보안 전송을 위해 암호화 처리된 클레임의 집합이다.  보안 토큰은 Security Assertion Markup Language(SAML), Simple Web Token(SWT),  JSON Web Token(JWT) 세 가지 유형이 있다.

출처: 프로 ASP.NET 웹 API 보안 책.