<\/div>\n

Merhaba,<\/p>\n

IdentityServer4 Yaz\u0131 Serisi<\/a>nin \u00fc\u00e7\u00fcnc\u00fc makalesi olan Client Credentials<\/a> ba\u015fl\u0131kl\u0131 makalede IdentityServer4’\u00fcn pratiksel temelleri e\u015fli\u011finde i\u015flevsel mekanizmas\u0131na de\u011finmi\u015f ve bir yandan da sadece client’lar\u0131 yetkilendirme merkezli(Client Credentials) temel bir uygulama geli\u015ftirmi\u015ftik. Bu i\u00e7eri\u011fimizde ise yetkilendirmeyi bir ad\u0131m daha ilerletecek ve claim merkezli yetkilendirme ger\u00e7ekle\u015ftirece\u011fiz. Tabi konumuz bir b\u00fct\u00fcn olan yaz\u0131 serisinin k\u00fc\u00e7\u00fck bir par\u00e7as\u0131 olaca\u011f\u0131ndan dolay\u0131 bir \u00f6nceki makalede geli\u015ftirdi\u011fimiz uygulama \u00fczerinden devam niteli\u011finde anlat\u0131m sergileyece\u011fiz.<\/p>\n

\u00d6ncelikle claim bazl\u0131 yetkilendirmenin ne oldu\u011funa de\u011finerek ba\u015flayal\u0131m. Bunun i\u00e7in claim’i tan\u0131mlamam\u0131z gerekmektedir. Asp.NET Core Identity \u2013 Yaz\u0131 Dizisi<\/a>ni okuyanlar bilir ki, Claim Bazl\u0131 Kimlik Do\u011frulama<\/a> ba\u015fl\u0131kl\u0131 makalemizde claim’in ne oldu\u011funu detaylar\u0131yla a\u00e7\u0131klam\u0131\u015f bulunmaktay\u0131z. Hatta ilgili makaleden konuya dair al\u0131nt\u0131 yaparsak e\u011fer;<\/p>\n

… kullan\u0131c\u0131<\/u> hakk\u0131nda key \u2013 value \u015feklinde hususi bilgiler tutan ve bunlar\u0131 bizlere yapt\u0131\u011f\u0131m\u0131z talepler neticesinde getiren …<\/em><\/p><\/blockquote>\n

\u015feklinde tan\u0131mlama yap\u0131lmaktad\u0131r.<\/p>\n

\u0130\u015fte buradaki claim’i IdentityServer4 i\u00e7in kullan\u0131yorsak e\u011fer alt\u0131 \u00e7izili olan kullan\u0131c\u0131 yerine client(istemci) kelimesini koymam\u0131z yeterli olacak ve \u015f\u00f6yle bir anlam kar\u015f\u0131m\u0131za \u00e7\u0131kacakt\u0131r.<\/p>\n

Claim; IdentityServer4 mimarisinda client hakk\u0131nda key – value \u015feklinde hususi bilgiler tutan bir yap\u0131lanmad\u0131r. Yap\u0131lan taleplerde, client’tan gelen claim’ler Auth Server taraf\u0131ndan elde edilmekte ve i\u015flevsel a\u00e7\u0131dan de\u011ferlendirilmektedir. Buradaki i\u015flev genellikle client’\u0131 yetkilendirmek, yetki alanlar\u0131n\u0131 belirlemek \u00fczere \u015fekillenecektir.<\/p>\n

IdentityServer4’te Claim Nas\u0131l Tan\u0131mlan\u0131r?<\/h3>\nBu sorunun cevab\u0131n\u0131 esas\u0131nda bir \u00f6nceki makalemizde(bknz: Client Credentials<\/a>)<\/span> vermi\u015f bulunmaktay\u0131z. \u0130lgili makaleye g\u00f6z atarsan\u0131z e\u011fer Auth Server uygulamas\u0131 i\u00e7in yap\u0131lan konfig\u00fcrasyon(Config.cs) tan\u0131mlamas\u0131nda client’lara yerle\u015ftirilen ‘AllowedScopes’ alan\u0131 e\u015fli\u011findeki de\u011ferler, olu\u015fturulacak JWT’ye ‘scopes’ key’i kar\u015f\u0131l\u0131\u011f\u0131nda payload olarak eklenmektedirler. B\u00f6ylece client’a ait token de\u011feri zaten, i\u00e7erisinde claim de\u011ferleri eklenmi\u015f vaziyette elde edilmektedir.<\/p>\n
Bu i\u00e7eri\u011fimizde, client’\u0131 bu scope de\u011ferlerine(claim) g\u00f6re yetkilendirmeyi ama\u00e7 edinmekteyiz. Bunun i\u00e7in direkt olarak API’lar da politikalar<\/a> olu\u015fturmam\u0131z yeterli ve yerinde olacakt\u0131r.<\/p>\n
API(lar)’da Claim Bazl\u0131 Politika(lar) Olu\u015fturma?<\/h3>\n
API uygulamas\u0131n\u0131n ‘Startup.cs’ dosyas\u0131ndaki ‘ConfigureServices’ metodunda a\u015fa\u011f\u0131daki gibi politikalar belirleyebilirsiniz.<\/p>\n
\r\n public class Startup\r\n {\r\n public void ConfigureServices(IServiceCollection services)\r\n {\r\n services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)\r\n .AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options =>\r\n {\r\n options.Authority = "https:\/\/localhost:1000";\r\n options.Audience = "Garanti";\r\n });\r\n\r\n services.AddAuthorization(_ =>\r\n {\r\n _.AddPolicy("ReadGaranti", policy => policy.RequireClaim("scope", "Garanti.Read"));\r\n _.AddPolicy("WriteGaranti", policy => policy.RequireClaim("scope", "Garanti.Write"));\r\n _.AddPolicy("ReadWriteGaranti", policy => policy.RequireClaim("scope", "Garanti.Write","Garanti.Read"));\r\n _.AddPolicy("AllGaranti", policy => policy.RequireClaim("scope", "Garanti.Admin"));\r\n _.AddPolicy("ReadHalkBank", policy => policy.RequireClaim("scope", "HalkBank.Read"));\r\n _.AddPolicy("WriteHalkBank", policy => policy.RequireClaim("scope", "HalkBank.Write"));\r\n _.AddPolicy("ReadWriteHalkBank", policy => policy.RequireClaim("scope", "HalkBank.Write", "HalkBank.Read"));\r\n _.AddPolicy("AllHalkBank", policy => policy.RequireClaim("scope", "HalkBank.Admin"));\r\n });\r\n }\r\n public void Configure(IApplicationBuilder app, IWebHostEnvironment env)\r\n {\r\n .\r\n .\r\n .\r\n app.UseAuthentication();\r\n app.UseAuthorization();\r\n .\r\n .\r\n .\r\n }\r\n }\r\n<\/pre>\n
Art\u0131k uygulamada belli ba\u015fl\u0131 i\u015flemleri tarif eden politikalar mevcuttur. Yukar\u0131daki politikalara g\u00f6z atarsan\u0131z e\u011fer gelen istekteki token de\u011feri i\u00e7erisinde ‘scope’ alan\u0131ndaki de\u011ferin kar\u015f\u0131l\u0131\u011f\u0131n\u0131 farkl\u0131 de\u011ferler ile \u015fart ko\u015fan birden fazla politika in\u015fa edilmi\u015ftir. E\u011fer ki bir politika ‘RequireClaim’ ile zorunlulu\u011funu ifade ediyorsa burada claim bazl\u0131 bir politika s\u00f6z konusudur. Tabi ki de burada \u00e7ok daha farkl\u0131 t\u00fcrlerde politikalarda in\u015fa edilebilir. Lakin bizler konuyu fazla da\u011f\u0131tmamak ve i\u00e7erik olarak IdentityServer4’te ki authorization mant\u0131\u011f\u0131n\u0131 en sade haliyle aktarabilmek i\u00e7in bu ufak politikalar e\u015fli\u011finde yolumuza devam edelim.<\/p>\n
Action’lar\u0131 Politikalarla Yetkilendirme<\/h3>\n
\u015eimdi hangi action’\u0131n hangi politikay\u0131 benimseyece\u011fini bildirmemiz gerekmektedir. Bunun i\u00e7in a\u015fa\u011f\u0131daki gibi ‘Authorize’ attribute’u ile \u00e7al\u0131\u015f\u0131lmas\u0131 yeterlidir;<\/p>\n
\r\n [Route("api\/[controller]\/[action]")]\r\n [ApiController]\r\n [Authorize]\r\n public class GarantiBankController : ControllerBase\r\n {\r\n [HttpGet("{musteriId}")]\r\n [Authorize(Policy = "ReadGaranti")]\r\n public double Bakiye(int musteriId)\r\n {\r\n \/\/....\r\n return 1000;\r\n }\r\n [HttpGet("{musteriId}\/{tutar}")]\r\n [Authorize(Policy = "AllGaranti")]\r\n public double YatirimYap(int musteriId, double tutar)\r\n {\r\n return tutar * 0.5;\r\n }\r\n .\r\n .\r\n .\r\n }\r\n<\/pre>\n
Burada ‘Authorize’ attribute’u, ilgili action’a eri\u015fim yetkisini s\u0131n\u0131rland\u0131r\u0131rken biryandan da ‘Policy’ property’sine bildirilen politika ismi ile ilgili politikan\u0131n \u015fartlar\u0131n\u0131n do\u011frulanmas\u0131n\u0131 da zorunlu hale getirmektedir. Evet, ilgili action’lar belirtilen politikalardaki \u015fart\u0131 sa\u011flayan client’lar taraf\u0131ndan tetiklenecektir. B\u00f6ylece sadece token’\u0131n var olmas\u0131 yeterli olmayacak bir yandan da ta\u015f\u0131d\u0131\u011f\u0131 claim de\u011ferleri i\u00e7erisinde buradaki ‘scope’ gereklili\u011fini sa\u011flayacak olan de\u011feri de ta\u015f\u0131yor olmas\u0131 gerekecektir.<\/p>\n
Test<\/h3>\n
Auth Server dahil t\u00fcm API’lar\u0131 aya\u011fa kald\u0131rarak, client olarak Postman e\u015fli\u011finde a\u015fa\u011f\u0131daki gibi bir test ger\u00e7ekle\u015ftirelim;<\/p>\n\n\n\n\n\n
Client JWT olmaks\u0131z\u0131n istek g\u00f6nderdi\u011finde<\/em><\/td>\n \n $\"IdentityServer4$ <\/a><\/p>\n
$\"IdentityServer4$ <\/a>\n<\/td>\n<\/tr>\n
‘Garanti.Read’ ve ‘Garanti.Write’ yetkilerine(scope) sahip olan ‘GarantiBankasi’ client’\u0131na ait bir JWT elde etme<\/em><\/td>\n \n $\"IdentityServer4$ <\/a>\n<\/td>\n<\/tr>\n
JWT ile istek g\u00f6nderme<\/em><\/td>\n $\"IdentityServer4$ <\/a>
\nG\u00f6r\u00fcld\u00fc\u011f\u00fc \u00fczere sadece ‘Garanti.Read’ yetkisini gerektiren ‘ReadGaranti’ politikas\u0131n\u0131 uygulayan ‘Bakiye’ action’\u0131 token ile yap\u0131lan talebi do\u011frulad\u0131 ve \u00e7al\u0131\u015ft\u0131.
\n $\"IdentityServer4$ <\/a>
\nHalbuki ‘Garanti.Admin’ yetkisini gerektiren ‘AllGaranti’ isimli politikay\u0131 uygulayan ‘YatirimYap’ action’\u0131, request i\u00e7erisindeki token’da ilgili yetkiye kar\u015f\u0131l\u0131k gelen bir scope olmad\u0131\u011f\u0131 i\u00e7in iste\u011fi onaylamad\u0131 ve 403 hata kodu d\u00f6nd\u00fcrd\u00fc. 403 hata kodu 401’e nazaran; token’\u0131n var lakin yetkin\/scope yok\/yetersiz anlam\u0131na gelmektedir.\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Netice olarak claim bazl\u0131 yetkilendirme, claim bazl\u0131 politika tasarlamam\u0131z\u0131 ve ilgili controller ya da action’lar\u0131n bu politikalar ile davran\u0131\u015flar\u0131n\u0131 \u015fekillendirmemizi gerektiren ve b\u00f6ylece token’dan ziyade, token’\u0131 var olan client’lar aras\u0131nda yetki ayr\u0131m\u0131n\u0131 ger\u00e7ekle\u015ftirmemizi sa\u011flayan bir yap\u0131lanmad\u0131r. Tasar\u0131msal a\u00e7\u0131dan sizlerin de taktir edece\u011fi gibi kurumsal yap\u0131lanmalarda ihtiya\u00e7lara binaen olduk\u00e7a efektif \u00e7\u00f6z\u00fcmler getirmemizi sa\u011flayan olmazsa olmaz tekniklerimizden birisidir diyebiliriz…<\/p>\n
\u0130lgilenenlerin faydalanmas\u0131 dile\u011fiyle…
\nSonraki yaz\u0131lar\u0131mda g\u00f6r\u00fc\u015fmek \u00fczere…
\n\u0130yi \u00e7al\u0131\u015fmalar…<\/p>\n
Not : \u00d6rnek uygulamay\u0131 indirmek i\u00e7in buraya<\/a> t\u0131klay\u0131n\u0131z.<\/p>\n","protected":false},"excerpt":{"rendered":"
Merhaba, IdentityServer4 Yaz\u0131 Serisinin \u00fc\u00e7\u00fcnc\u00fc makalesi olan Client Credentials ba\u015fl\u0131kl\u0131 makalede IdentityServer4’\u00fcn pratiksel temelleri e\u015fli\u011finde i\u015flevsel mekanizmas\u0131na de\u011finmi\u015f ve bir yandan da sadece client’lar\u0131 yetkilendirme merkezli(Client Credentials) temel bir uygulama geli\u015ftirmi\u015ftik. Bu i\u00e7eri\u011fimizde ise...<\/p>\n","protected":false},"author":1,"featured_media":18168,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3826],"tags":[3856,3827,3854,3855,3853],"class_list":["post-18415","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-identityserver4","tag-claim-based","tag-identityserver4","tag-identityserver4-claim","tag-identityserver4-claim-based","tag-identityserver4-claim-bazli-yetkilendirme"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/posts\/18415","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/comments?post=18415"}],"version-history":[{"count":33,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/posts\/18415\/revisions"}],"predecessor-version":[{"id":25986,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/posts\/18415\/revisions\/25986"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/media\/18168"}],"wp:attachment":[{"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/media?parent=18415"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/categories?post=18415"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/tags?post=18415"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}