Ograniczenie MVC4/Google OpenID do określonych domen Google Apps

Question

Utworzono nowy projekt MVC4/.NET4.5 i włączono Google OpenID. To zadziałało, szokująco łatwo.

Moja firma odeszła od Google, a nasze tożsamości domen/pracowników znajdują się w przestrzeni internetowej Google Apps.

W jaki sposób mogę zezwolić na uwierzytelnianie tylko mojej domeny Google Apps w mojej nowej witrynie internetowej? Mam nadzieję, że to prosta rzecz, taka jak uwierzytelnienie.

Oto kilka dodatkowych informacji:

• dosłownie stworzył domyślną aplikację internetową i umożliwiła kawałek uwierzytelniania Google. Nie mogłem uwierzyć, jak łatwo było zweryfikować Google.
• Moja firma ma dosłownie setki domen poczty e-mail, wszystkie zrolowane w ramach jednej domeny e-mailowej "parasol". Na przykład firmowa domena e-mail mojej firmy to "foo.com", ale pod tym adresem mamy "x.foo.com", "bar.com" i "yomommasougly.net". Wszystkie te elementy należą do domeny Google Apps "foo.com".
• Ostatecznym celem jest opis, co należy zrobić (i gdzie), aby wziąć tę domyślną aplikację i ograniczyć ją do wszystkich domen w domenie "foo.com".
• W przypadku setek domen i coraz częściej dodawanych, nie jest praktycznie możliwe jednoznaczne określenie każdej domeny.

Answer 1

Zakładając, że używasz DotNetOpenAuth, sprawdź kod uwierzytelniający dla Stack Exchange Data Explorer.

Zasadniczo, po prostu poprosić o adres e-mail ze swoim życzenie:

request.AddExtension(
    new ClaimsRequest 
    { 
     Email = DemandLevel.Require, 
    } 
); 

następnie sprawdzić adres zwrócony przeciwko białej listy domeny (Zakładam, że jesteś już tylko akceptując google OpenIDs)

var sreg = response.GetExtension<ClaimsResponse>(); 
If (!HasWhiteListedDomain(sreg.Email)) { 
    // Fail Here 
} 

Zauważ, że te fragmenty kodu należy dodać do Twojego pliku web.config, aby uzyskać dokładny kod do pobierania wiadomości e-mail powyżej robocza:

<configSections> 
    <section name="dotNetOpenAuth" type="DotNetOpenAuth.Configuration.DotNetOpenAuthSection" requirePermission="false" allowLocation="true" /> 
    </configSections> 
    <dotNetOpenAuth> 
    <openid> 
     <relyingParty> 
     <behaviors> 
      <!-- The following OPTIONAL behavior allows RPs to use SREG only, but be compatible 
        with OPs that use Attribute Exchange (in various formats). --> 
      <add type="DotNetOpenAuth.OpenId.Behaviors.AXFetchAsSregTransform, DotNetOpenAuth" /> 
     </behaviors> 
     </relyingParty> 
    </openid> 
    </dotNetOpenAuth> 

Edit:

przypadku korzystania OAuthWebSecurity coraz e-mail będzie po prostu wyglądać następująco:

var userDataFromProvider = result.ExtraData; 
var email = userDataFromProvider["email"]; 

Source