ReSQL.ru
     
powered by simpleCommunicator - 2.0.51     © 2025 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / ASP.NET [игнор отключен] [закрыт для гостей] / ASP.NET Core doesn't implement impersonation
25 сообщений из 136, страница 2 из 6
  2  все
ASP.NET Core doesn't implement impersonation
    #39675319
Idol_111
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Idol_111
Участник
handmadeFromRuIdol_111Еще раз опишу, что меня беспокоит как ДБА:
Несколько программ обращаются к API и затем обезличиваясь под ОДНИМ логином лезут в БД. Это в принципе не есть хорошо (простые примеры привел выше).
А уж о решение проблем с производительностью вообще можно свет тушить. Какая программа уронила сервер надо долго и нудно ковыряться в логах теперь не только БД, но еще API. Супер!

эм вот я обращаюсь к сервиса доставки чтоб они мне дали адреса куда можно и цену. по вашему они мне что делают свое соединение?
Хвост вам все правильно говорит.
проблемы с перфомансом - как это решается за счет разных учеток?
если программа уронила сайт для этого есть к примеру ролбар или грейлог, если в файловых логах стремно искать, что соберет максимально все и предоставить в удобном виде.

если ваши программы лезут через одно общее апи то никто не отменял их авторизацию и реализацию прав, чтоб понять кто и откуда что сделал и что может впринципе сделать. Перекладывать эт на уровень учеток к бд это не есть хорошая практика в вебе, для изернета я б еще понял на основе учеток AD.
Мне кажется с сложностями устранения проблем с производительностью вы сталкиваетесь не часто.
У меня нет пары часов разбираться и какая это программа из 20ти положила сервер вызвав ХП с такими дикими параметрами. А вот имея разные учетки это определяется за секунду и далее по программе.

А вот почему "отменили" имперсонацию и решили перевести реализацию прав (обращаю Ваше внимание: для программ, не для юзеров) на уровень выше (API) мне вообще не понятно. Смысл? Выше я уже писал, что логически это только ухудшает безопасность.
...
Рейтинг: 0 / 0
18.07.2018, 00:26
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675321
ViPRos
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
ViPRos
Участник
Idol_111Shocker.Pro,

И у каждой программы есть AD account, который и используется для подключения к API.
Меня как ДБА не устраивает, что затем API подключается к БД под одним общим логином.

Ну, надо немного поменять АПИ, что бы в поле Приложение (допустим) соединения писала себя и своего клиента
АПИ/ПрогаКлиент1, АПИ/ПрогаКлиент2
...
Рейтинг: 0 / 0
18.07.2018, 00:37
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675324
Idol_111
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Idol_111
Участник
ViPRosIdol_111Shocker.Pro,

И у каждой программы есть AD account, который и используется для подключения к API.
Меня как ДБА не устраивает, что затем API подключается к БД под одним общим логином.

Ну, надо немного поменять АПИ, что бы в поле Приложение (допустим) соединения писала себя и своего клиента
АПИ/ПрогаКлиент1, АПИ/ПрогаКлиент2
В такие нюансы я уже не влазил. Можно и имперсонацию сделать (правда кода больше), но все прикрываются тем что МелкоСофт сказал - не желательно использовать имперсонацию. Типа best practise. Почему это лучшая практика я нигде не нашел.
...
Рейтинг: 0 / 0
18.07.2018, 01:31
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675329
Lessyp
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Lessyp
Участник
Idol_111У меня нет пары часов разбираться и какая это программа из 20ти положила сервер вызвав ХП с такими дикими параметрами. А вот имея разные учетки это определяется за секунду и далее по программе.

т.е. вы хотите, API (на апп сервере) подключалась к базе используя AD аккаунт пользователя программы, использующего этот API? Такого нигде не видел, так не делается. Права пользователя действительно разделяются на уровне API, именно там решается, кто к каким фунциям имеет доступ. У API есть логи, нет никаких проблем залезть в них и посмотреть кто с какими дикими параметрами вызывал API. То, что "надо лезть в 2 разных лога" это не аргумент. Нет никакой необходимости дублировать безопасность сначала на уровне API, а потом еще и в БД. Это должно быть в одном месте
...
Рейтинг: 0 / 0
18.07.2018, 03:38
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675334
Фотография Shocker.Pro
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Shocker.Pro
Участник
Еще раз - для вот этогоIdol_111какая это программа из 20ти положила сервер вызвав ХП с такими дикими параметрами. А вот имея разные учетки это определяется за секунду и далее по программе.AD не требуется, достаточно, чтобы были разные логины. В случае разных логинов не требуется и ViPRosнадо немного поменять АПИ, что бы в поле Приложение (допустим) соединения писала себя и своего клиента АПИ/ПрогаКлиент1, АПИ/ПрогаКлиент2
Idol_111что затем API подключается к БД под одним общим логином.Ну так пусть эти API подключаются под разными SQL-логинами, тут-то в чем проблема? При этом сами приложения имеют учетки в AD и для всего остального (что вам там требуется, файловые права раздавать?) пользуются ими. Да, придется завести в SQL-сервере дополнительно 20 логинов, вы вы по времени уже больше копий на форуме сломали, чем это действие сделать.
...
Рейтинг: 0 / 0
18.07.2018, 04:40
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675336
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
Idol_111hVostt,

ну записывать меня в чистые админы я бы не стал :), я умудрился еще на фортране пописать.

1)2)3) Вы очевидно путаете админстрирование для конечного пользователя и для программы. Все, что Вы описали - это для конечного пользователя, и вне сомнения это должно быть сделано на уровне программы, тут спору нет.

Еще раз опишу, что меня беспокоит как ДБА:
Несколько программ обращаются к API и затем обезличиваясь под ОДНИМ логином лезут в БД. Это в принципе не есть хорошо (простые примеры привел выше).
А уж о решение проблем с производительностью вообще можно свет тушить. Какая программа уронила сервер надо долго и нудно ковыряться в логах теперь не только БД, но еще API. Супер!

Я ничего не путаю. Никто не отменял права для учётки, под которой ходит приложение в БД. Но оно одно на всё приложение, а не для каждого пользователя персонально. Потому что это маразм для сервера приложений.

Ваши заявления про производительность, это вообще какой-то лютый бред, уж извините.

Переубеждать вас в чём-то не буду, потому что это не вопрос веры, а вопрос знаний и опыта, у вас с этим наблюдаются некоторые проблемы, это не страшно. Как говорится, придёт с опытом. Или не придёт, но это зависит только от вас, уж точно не от меня или от другого участника дискуссии.
...
Рейтинг: 0 / 0
18.07.2018, 04:50
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675339
Фотография Shocker.Pro
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Shocker.Pro
Участник
hVosttНо оно одно на всё приложение, а не для каждого пользователя персональноДа вроде ТС и говорит, что у него одна учетка на приложение, просто приложений 20 штук.

 
04:50Ты ЕЩЕ не спишь, УЖЕ не спишь или перебрался на восток?
...
Рейтинг: 0 / 0
18.07.2018, 05:00
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675342
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
Shocker.ProДа вроде ТС и говорит, что у него одна учетка на приложение, просто приложений 20 штук.

Ну можно разных учёток выдать каждому приложению. Можно даже сопоставить для каждого пользователя отдельную строку соединения, мало того, что ходить будет с разными привилегиями в БД, так ещё и в разные БД по желанию

 
Shocker.ProТы ЕЩЕ не спишь, УЖЕ не спишь или перебрался на восток?

Уже, иногда очень рано просыпаюсь, потом сижу читаю что-нибудь, или пишу здесь %)
...
Рейтинг: 0 / 0
18.07.2018, 05:17
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675343
Фотография Shocker.Pro
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Shocker.Pro
Участник
hVosttНу можно разных учёток выдать каждому приложению. Можно даже сопоставить для каждого пользователя отдельную строку соединения, мало того, что ходить будет с разными привилегиями в БД, так ещё и в разные БД по желанию Вот я и говорю. Но ТС очень хочет привязаться в этом месте к AD и пока непонятно, почему такое жесткое требование.
...
Рейтинг: 0 / 0
18.07.2018, 05:30
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675346
Lessyp
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Lessyp
Участник
Shocker.ProНу так пусть эти API подключаются под разными SQL-логинами, тут-то в чем проблема?
я так понимаю API одно на всех, отсюда вся и драма, а менять строку подключения для каждого коннекта - это будет новое слово в разработке приложений
...
Рейтинг: 0 / 0
18.07.2018, 06:17
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675348
Фотография Shocker.Pro
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Shocker.Pro
Участник
Lessypя так понимаю API одно на всехТо есть четырехзвенка что ли?
...
Рейтинг: 0 / 0
18.07.2018, 06:23
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675349
Lessyp
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Lessyp
Участник
Shocker.ProТо есть четырехзвенка что ли?
почему, самая обычная трехзвенка, API что на апп сервере естественно подключается по одному логину вне зависимости от того, какое приложение к нему подключилось
...
Рейтинг: 0 / 0
18.07.2018, 06:37
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675354
Фотография Shocker.Pro
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Shocker.Pro
Участник
Lessypпочему, самая обычная трехзвенка, API что на апп сервере естественно подключается по одному логину вне зависимости от того, какое приложение к нему подключилосьShocker.ProЯ может быть где-то недопонял, поэтому переспрошу.А, вот теперь догнал.
Под приложением подразумевается толстый клиент, а не серверное приложение. А под АПИ подразумевается как раз серверное приложение.
...
Рейтинг: 0 / 0
18.07.2018, 06:45
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675355
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
Shocker.ProhVosttНу можно разных учёток выдать каждому приложению. Можно даже сопоставить для каждого пользователя отдельную строку соединения, мало того, что ходить будет с разными привилегиями в БД, так ещё и в разные БД по желанию Вот я и говорю. Но ТС очень хочет привязаться в этом месте к AD и пока непонятно, почему такое жесткое требование.

Насколько я понял, требования нет, как такового.
...
Рейтинг: 0 / 0
18.07.2018, 06:48
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675356
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
Shocker.ProА, вот теперь догнал.
Под приложением подразумевается толстый клиент, а не серверное приложение. А под АПИ подразумевается как раз серверное приложение.

Т.е. это типа сквозной интерфейс к БД, через API. Что лишено какого-либо смысла.
...
Рейтинг: 0 / 0
18.07.2018, 06:50
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675359
Idol_111
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Idol_111
Участник
У меня возникло какое-то чувство неловкости :). То ли я разучился внятно объяснять, то ли народ перестал вдумчиво читать.
Вроде уже все было разжевано выше. Только без обид. Это я философски.

В принципе позицию девелоперов я понял.

Остался загадкой для меня лишь один вопрос. Почему МелкоСофт считает использование имперсонирования плохой практикой? Вроде всегда считал с точностью до наоборот.
...
Рейтинг: 0 / 0
18.07.2018, 07:12
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675361
Фотография Petro123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Petro123
Участник
Idol_111Почему МелкоСофт считает использование имперсонирования плохой практикой?это не он.
Это логика:
1. Веб приложение это грубо - сайт.
2. Сайт ходит в бд под публичным обезличенным пользователем.
Правда не врубился?
...
Рейтинг: 0 / 0
18.07.2018, 07:19
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675362
Lessyp
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Lessyp
Участник
Idol_111У меня возникло какое-то чувство неловкости :)
..
Остался загадкой для меня лишь один вопрос. Почему МелкоСофт считает использование имперсонирования плохой практикой?
Мне тоже немного неловко, но вроде-бы Calabonga дал ответ на этот вопрос в первом-же посте этого топика
...
Рейтинг: 0 / 0
18.07.2018, 07:21
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675364
Фотография Petro123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Petro123
Участник
Idol_111меня нет пары часов разбираться и какая это программа из 20ти положила сервер вызвав ХП2 варианта решения:
В момент логина прога в контекст базы пишет имяПриложения
2. В строке логина добавить ApplicationName=myApp
Будешь видеть в списке коннектов кто сидит в приложении.
Но вообще, хорошему админу это не требуется.
...
Рейтинг: 0 / 0
18.07.2018, 07:24
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675365
Idol_111
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Idol_111
Участник
Petro123Idol_111Почему МелкоСофт считает использование имперсонирования плохой практикой?это не он.
Это логика:
1. Веб приложение это грубо - сайт.
2. Сайт ходит в бд под публичным обезличенным пользователем.
Правда не врубился?
Я ж не против, но нахрена ВСЕ сайты ходят в бд под ОДНИМ обезличенным пользователем. В чем прикол?
...
Рейтинг: 0 / 0
18.07.2018, 07:26
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675366
Idol_111
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Idol_111
Участник
LessypIdol_111У меня возникло какое-то чувство неловкости :)
..
Остался загадкой для меня лишь один вопрос. Почему МелкоСофт считает использование имперсонирования плохой практикой?
Мне тоже немного неловко, но вроде-бы Calabonga дал ответ на этот вопрос в первом-же посте этого топика
Calabonga и правда молодец, сразу и в точку.
Но я решил еще покопать может у кого еще какое мнение.

Вот только в моем случае кросплатформенность нам нафиг не упала. У нас все .net.
...
Рейтинг: 0 / 0
18.07.2018, 07:28
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675367
Фотография Petro123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Petro123
Участник
Idol_111но нахрена ВСЕ сайтывыше просил описать хотя бы ОДИН ваш сайт).
...
Рейтинг: 0 / 0
18.07.2018, 07:32
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675370
Фотография Petro123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Petro123
Участник
Idol_111но нахрена ВСЕ сайты ходят в бд под ОДНИМ обезличеннымне верю.
Каждое веб приложение со своими настройками, и коннектом.
Слово API уберите из темы.
...
Рейтинг: 0 / 0
18.07.2018, 07:35
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675372
Фотография Shocker.Pro
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Shocker.Pro
Участник
Idol_111Я ж не против, но нахрена ВСЕ сайты ходят в бд под ОДНИМ обезличенным пользователем. В чем прикол?Кто говорит, что все?
Если у вас один сервер АПИ, это и есть единственное приложение (сайт) с точки зрения субд. Потребители этого АПИ ходят через АПИ, СУБД про них ничего не знает и знать не должна . Разделение прав на уровне АПИ должно быть. Если АПИ+ДБА хотят, они могут сделать разделение прав на своем уровне, но это не должно иметь отношения к клиентам этого АПИ (будь то толстые, тонкие клиенты или другие серверные приложения).

Вы пытаетесь пробросить аутентификацию и авторизацию сквозь уровень - это неверный подход с граблями. На кои грабли вы сейчас и наступили.
...
Рейтинг: 0 / 0
18.07.2018, 07:44
| Ответить | Цитировать | Написать  
ASP.NET Core doesn't implement impersonation
    #39675373
Фотография Petro123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Petro123
Участник
Аффтар! Вы же админ!
Нельзя про все на свете говорить API.
Это вообще термин не ваш)))).
Разберитесь что у вас порты, вебПриложения, АппСервера, субд.
Термин API это к разрабам и архитекторам.
...
Рейтинг: 0 / 0
18.07.2018, 07:47
| Ответить | Цитировать | Написать  
25 сообщений из 136, страница 2 из 6
  2  все
Форумы / ASP.NET [игнор отключен] [закрыт для гостей] / ASP.NET Core doesn't implement impersonation
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение
NoSQL.ru       Новости, Чат       Фотоальбом: Участники, Встречи
Закрыть
start [/forum/topic.php?fid=18&msg=39675343&tid=1355173]:
 0ms
get settings:
 9ms
get forum list:
 11ms
check forum access:
 3ms
check topic access:
 3ms
track hit:
 61ms
get topic data:
 9ms
get forum data:
 2ms
get page messages:
 56ms
get tp. blocked users:
 1ms
others: 430ms
total:  585ms
созд. / загр.: 585ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]