TechDays 2010 (CLO305) : Windows Azure App Fabric

Windows Azure AppFabric Rochdi Chakroun Geoffrey Daniel Thomas Conté

Présentation des intervenants
Rochdi Chakroun , WinWise
[email_address]
http://www.dotnetguru2.org/rochdichakroun
Geoffrey Daniel , WinWise
[email_address]
http://blogs.developpeur.org/neurocypher
Thomas Conté , Microsoft
[email_address]
twitter.com/tomconte
blogs.msdn.com/tconte

Agenda
Présentation & Introduction
Rappel: la plateforme Windows Azure
Présentation de la brique Azure AppFabric
Présentation du projet de démo
Service Bus
Présentation
Démo & code
Access Control Service
Présentation
Démo & code
Conclusion

Windows Azure Petits rappels: Windows Azure SQL Azure Azure AppFabric

Plateforme Azure: vue d’ensemble

Azure AppFabric Service Bus Access Control Service

Le problème
Comment utiliser les services « dans les nuages » pour connecter applications et services, où qu’elle soient?
Établir une passerelle entre nuage, à demeure, hébergé
Faciliter et sécuriser la connexion réseau / sécurité
Gérer identité et contrôle d’accès
Interopérer avec différents langages, plateformes
La solution:
Service Bus Access Control

Connecter les services entre eux, dans le nuage, à demeure, hébergés firewall NAT firewall Votre application Application “partenaire” Service Bus Connecter

Gérer l’identité et les contrôles d’accès Contrôler & sécuriser Token Assertions Transformation des assertions Message + Token Échange de certificats Règles de contrôle d’accès Vérification des assertions Votre application Application “partenaire” Access Control Service

Service Bus

Le principe du relais Service Bus Sender Receiver http://myapp.servicebus.windows.net/a/b/ Backend Naming Routing Fabric Frontend Nodes NLB Ctrl 3 Forwarder 1 outbound socket connect 4 outbound socket rendezvous 2 Ctrl

Traversée NAT & Firewall Service Bus Receiver

Service Registry http:// project .servicebus.windows.net/

Extension du modèle WCF
Offre des bindings correspondant aux principaux bindings WCF
Securité, Binaire, Streaming, Reliable Sessions
Pas besoin de NAT ou d’ouvrir des ports sur l’extérieur

Application pratique!
Un site de vente de ticket de concerts, hébergé dans Azure
Ce qui lui permet de faire face aux pics de trafic
La base de données client (CRM) ainsi que la base des commandes (ERP) sont critiques et restent hébergées « à demeure »
Comment exposer ces bases à l’application Web , de façon simple, compte tenu des problématique de sécurité réseau ?
Mes commandes doivent être auditées par une société tierce
Comment peut-elle les recevoir facilement?
J’ai des partenaires externes qui gèrent la logistique (impression et expédition des billets)
Comment peuvent-ils interagir avec mon système, de façon sécurisée , et sans leur imposer une technologie particulière?

Démo Utilisation du NetTCPRelayBinding: Identification de l’utilisateur

Schéma fonctionnel Site Web: E-Commerce Catalogue CRM Membership Services Réseau entreprise SQL Azure Web Role Login / Mot de passe Profile de l’utilisateur

Liste (non exhaustive) des bindings

WebHttpRelayBinding

Démo Utilisation du WebHttpRelayBinding: Streaming vidéo

Schéma fonctionnel Site Web: E-Commerce Catalogue CRM Membership Services Streaming Services Réseau entreprise 0101010010101010101111 Regarder Extrait

NetEventRelayBinding Service Bus Sender Receiver sb://project.windows.net/a/b/ outbound connect bidi socket outbound connect one-way net.tcp Backend Naming Routing Fabric Frontal Subscribe Route Receiver outbound connect bidi socket Msg Msg Msg

Démo Utilisation du NetEventRelayBinding: Passage de commande

Schéma fonctionnel Site Web: E-Commerce Catalogue Membership Services Réseau entreprise Partenaires Order Services Order Services Audit des commandes Application d’audit CRM Nouvelle commande

Message Buffers Service Bus Sender Receiver sb:// solution. servicebus.windows.net/a/b/ Backend Naming Routing Fabric Frontend Nodes Manager ExpiresAfter MaxMessageCount … HTTP(S) POST/PUT HTTP(S) GET/DELETE Msg Msg Message Buffer Policy

Démo Utilisation des Message Buffers: Récupération de commande par partenaire

Schéma fonctionnel Site Web: E-Commerce Catalogue Membership Services Réseau entreprise Partenaires Order Services Order Services Application d’audit CRM Nouvelle commande MessageBuffer Commande Audit des commandes Logistique Traitement des commandes HTTP

Access Control Service

ACS: vue d’ensemble
Contrôle d’accès fondé sur les assertions (ou revendications)
== Claims-Based Access Control
Protocole complètement RESTful
Utilisable sur n’importe quelle plateforme (SDK PHP, Java)
Implémente OAuth WRAP & SWT
WRAP = Web Resource Authorization Protocol
SWT = Simple Web Tokens
http://groups.google.com/group/oauth-wrap-wg
Intégration avec ADFS v2
Permet la délégation simple

ACS: les grands principes 2. Envoyer token (revendications; e.g. identité) 4. Retourne token (résultat de l’étape 3) 5. Envoyer le token avec la requête 0. confiance établie: secrets + certs 1. Définir les règles de contrôle d’accès 6. Vérifier les Revendications (token) 3. Transformer revendications sur la base des règles de contrôle d’accès ACS Service (Relying Party) Utilisateur ou Application

ACS: en termes WRAP… Chapitre 1.1, v0.9.7.2 2. Envoyer token (revendications; e.g. identité) 4. Retourne token (résultat de l’étape 3) 5. Envoyer le token avec la requête 0. confiance établie: secrets + certs 1. Définir les règles de contrôle d’accès 6. Vérifier les Revendications (token) 3. Transformer revendications sur la base des règles de contrôle d’accès Authorizaton Server Protected Resource Client

Requêtes de Tokens ACS
Trois méthodes possibles pour demander un Token
Simple text ( Plaintext )
Le plus simple à implémenter, pas de crypto
Token signé ( Signed Token )
Permet la délégation simple, HMAC SHA 256 nécessaire
Token SAML émis par un AD FS v2 ( SAML bearer token )
Permet l’intégration avec le SI entreprise
ACS renvoie toujours le même type de token: SWT

C’est quoi un SWT?
role =Admin%2cUser&
customerName =Contoso%20Corporation&
Issuer =https%3a%2f%2fadatum.accesscontrol.windows.net%2f&
Audience =http%3a%2f%2fadatum%2fbillprint&
ExpiresOn =1255912922&
HMACSHA256 =yuVO%2fwc58%2ftYP36%2fDM1mS%2fHr0hswpsGTWwgfvAbpL64%3d

Comment demander un SWT? (version Plaintext, section 5.1 de la spec)
POST /WRAPv0.9/ HTTP/1.1
Host:adatum.accesscontrol.windows.net
wrap_scope =http%3A%2F%2Fadatum.com%2Fservices%2F&
wrap_name =adatumcustomer1&
wrap_password =5znwNTZDYC39dqhFOTDtnaikd1hiuRa4XaAj3Y9kJhQ%3D

Comment demander un SWT? (version Signed Token, section 5.2 de la spec)
wrap_assertion_format =SWT
wrap_assertion =role%3DAdmin%252cUser%26Issuer%3Dadatumcustomer1%26ExpiresOn%3D1255912922%26HMACSHA256%3DyuVO%252fwc58%252ftYP36%252fDM1mS%252fHr0hswpsGTWwgfvAbpL64%253d

Comment demander un SWT? (version SAML Token, section 5.2 de la spec)
wrap_assertion_format =SAML
wrap_assertion =<…SAML Bearer Token…>

Les différentes briques d’ACS Windows Azure

Démo Portail de gestion acm.exe et AcmBrowser Protection d’un service par ACS: Mise à jour de la commande

Schéma fonctionnel Site Web: E-Commerce Catalogue Membership Services Réseau entreprise Partenaires Order Services Order Services Application d’audit CRM MessageBuffer Audit des commandes Logistique Traitement des commandes HTTP Order Processing Commande Nouvelle commande Mise à jour du statut

ACS & intégration entreprise
ACS accepte des tokens SAML signés pour les requêtes de tokens SWT
AD FS v2 peut générer ces tokens SAML
WIF est la façon la plus simple de requêter un token SAML de la part de AD FS v2
Windows Identity Framework
ACS doit connaître la clé de signature pour valider le token SAML
ACS publie et comprend les métadonnées WS-Fed
Cela permet d’automatiser l’établissement de la relation de confiance

Intégration AD FS v2 ACS Service Namespace REST Web Service Client

Démo Intégration AD FS v2: Mise à jour de la commande, authentifiée

Conclusion

Tout Azure aux TechDays Ateliers assurés par Wygwam Titre Heure Session Introduction à Windows Azure Lundi 8, 16h à 17h CLO202 Azure: comment migrer une application Lundi 8, 17h30 à 18h30 CLO301 Gestion et stratégie storage sous Azure Mardi 9, 13h à 14h PAR105 Windows Azure AppFabric Mardi 9, 13h à 14h CLO305 Azure et les technologies non Microsoft Mercredi 10, 11h à 12h INT301 SQL Azure & Azure Storage Mercredi 10, 16h à 17h CLO304 Ateliers encadrés Heure Heure Lundi 8 14h30 – 15h30 17h30 – 18h30 Mardi 9 14h30 – 15h30 17h30 – 18h30 Mercredi 10 14h30 – 15h30

http://blogs.developpeur.org	51
http://www.slideshare.net	11
http://blogs.codes-sources.com	2

TechDays 2010 (CLO305) : Windows Azure App Fabric

by Geoffrey DANIEL on Mar 15, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

3 Embeds 64

Statistics

TechDays 2010 (CLO305) : Windows Azure App Fabric — Presentation Transcript