一、IdentityServer的預備知識

　　要學習IdentityServer，事先得了解一下基於Token的驗證體系，這是一個龐大的主題，涉及到Token，OAuth&OpenID，JWT，協議規範等等等等，園子裡已經有很多介紹的文章了，個人覺得solenovex的這一篇文章《學習IdentityServer4的預備知識》言簡意賅，可以快速的看看。另外savaboard的《ASP.NET Core 之 Identity 入門（一）》和《ASP.NET Core 之 Identity 入門（二）》這兩篇也可以一看，對Claims和Identity的基本知識講的比較通俗易懂，深入淺出，有故事情節，哈哈。

　　重點關注一下上面這張圖（也是來自solenovex的文章），對於一個User（已註冊）來說，他會首先向Authorization Server表明自己的身份（比如輸入使用者名稱和密碼），然後Authorization Server為其發放了一個token，而這個token就好比是把家裡的鑰匙配了一把（clone）新的，此後該User就可以訪問API請求獲取Orders（訂單）資料了。當然，實際中可能Authorization Server和API Server不在同一個區域內，它們可能只能遙望對方。此外，User還可以基於這個token去訪問第三方服務，第三方服務會使用這個API來訪問API Server，向其提供token比提供username&password要安全得多。

二、IdentityServer極簡介紹

　　IdentityServer4（這裡只使用版本號為4）是一個基於OpenID Connect和OAuth 2.0的針對ASP.NET Core 2.0的框架。IdentityServer是將規範相容的OpenID Connect和OAuth 2.0終結點新增到任意ASP.NET Core應用程式的中介軟體。通常，你構建（或重新使用）包含登入和登出頁面的應用程式，IdentityServer中介軟體會向其新增必要的協議頭，以便客戶端應用程式可以使用這些標準協議與其對話。

　　我們可以用IdentityServer來做啥？

　　（1）身份驗證服務=>官方認證的OpenID Connect實現

　　（2）單點登入/登出（SSO）

　　（3）訪問受控的API=>為不同的客戶提供訪問API的令牌，比如：MVC網站、SPA、Mobile App等

　　（4）等等等......

三、Started:第一個AuthorizationServer

1.1 建立一個ASP.NET Core空Web專案

　　建立ASP.NET Core專案，使用Empty空模板。

　　為了更好地檢視日誌資訊，同時考慮到IISExpress啟動起來真的很慢，修改lanuchSettings.json檔案如下：

{
  "profiles": {
    "Manulife.DNC.MSAD.IdentityServer4Test": {
      "commandName": "Project",
      "launchBrowser": false,
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      },
      "applicationUrl": "http://localhost:5000/"
    }
  }
}

1.2 安裝並配置IdentityServer4

　　Step1.首先安裝IdentityServer4:

NuGet>Install-Package IdentityServer4　　

　　Step2.配置ASP.NET Core管道，即修改Configure方法

    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        if (env.IsDevelopment())
        {
            app.UseDeveloperExceptionPage();
        }

        app.UseIdentityServer();
    }

　　Step3.為了要把IdentityServer註冊到容器中，需要對其進行配置，而這個配置中要包含三個資訊：

　　（1）哪些API可以使用這個AuthorizationServer

　　（2）哪些Client可以使用這個AuthorizationServer

　　（3）哪些User可以被這個AuthrizationServer識別並授權

　　這裡為了快速演示，我們寫一個基於記憶體的靜態類來快速填充上面這些資訊（實際中，可以持久化在資料庫中通過EF等ORM獲取，也可以通過Redis獲取）：

    public class InMemoryConfiguration
    {
        public static IConfiguration Configuration { get; set; }
        /// <summary>
        /// Define which APIs will use this IdentityServer
        /// </summary>
        /// <returns></returns>
        public static IEnumerable<ApiResource> GetApiResources()
        {
            return new[]
            {
                new ApiResource("clientservice", "CAS Client Service"),
                new ApiResource("productservice", "CAS Product Service"),
                new ApiResource("agentservice", "CAS Agent Service")
            };
        }

        /// <summary>
        /// Define which Apps will use thie IdentityServer
        /// </summary>
        /// <returns></returns>
        public static IEnumerable<Client> GetClients()
        {
            return new[]
            {
                new Client
                {
                    ClientId = "client.api.service",
                    ClientSecrets = new [] { new Secret("clientsecret".Sha256()) },
                    AllowedGrantTypes = GrantTypes.ResourceOwnerPasswordAndClientCredentials,
                    AllowedScopes = new [] { "clientservice" }
                },
                new Client
                {
                    ClientId = "product.api.service",
                    ClientSecrets = new [] { new Secret("productsecret".Sha256()) },
                    AllowedGrantTypes = GrantTypes.ResourceOwnerPasswordAndClientCredentials,
                    AllowedScopes = new [] { "clientservice", "productservice" }
                },
                new Client
                {
                    ClientId = "agent.api.service",
                    ClientSecrets = new [] { new Secret("agentsecret".Sha256()) },
                    AllowedGrantTypes = GrantTypes.ResourceOwnerPasswordAndClientCredentials,
                    AllowedScopes = new [] { "agentservice", "clientservice", "productservice" }
                }
            };
        }

        /// <summary>
        /// Define which uses will use this IdentityServer
        /// </summary>
        /// <returns></returns>
        public static IEnumerable<TestUser> GetUsers()
        {
            return new[]
            {
                new TestUser
                {
                    SubjectId = "10001",
                    Username = "[email protected]",
                    Password = "edisonpassword"
                },
                new TestUser
                {
                    SubjectId = "10002",
                    Username = "[email protected]",
                    Password = "andypassword"
                },
                new TestUser
                {
                    SubjectId = "10003",
                    Username = "[email protected]",
                    Password = "leopassword"
                }
            };
        }
    }

 　　Step4.對於Token簽名需要一對公鑰和私鑰，不過IdentityServer為開發者提供了一個AddDeveloperSigningCredential()方法，它會幫我們搞定這個事，並預設存到硬碟中。當切換到生產環境時，還是得使用正兒八經的證書，更換為使用AddSigningCredential()方法。

    public void ConfigureServices(IServiceCollection services)
    {
        InMemoryConfiguration.Configuration = this.Configuration;

        services.AddIdentityServer()
            .AddDeveloperSigningCredential()
            .AddTestUsers(InMemoryConfiguration.GetUsers().ToList())
            .AddInMemoryClients(InMemoryConfiguration.GetClients())
            .AddInMemoryApiResources(InMemoryConfiguration.GetApiResources());
    }

1.3 獲取你心心念唸的Token

　　Step1.啟動剛剛我們建立的AuthorizationServer程式，這裡我們繫結的是5000埠。

　　Step2.啟動Postman/SoapUI等API測試工具，通過向HTTP Body中填寫資料發起POST請求：

　　Step3.傳送一個錯誤的資料，看看返回的是啥？(這裡輸入了一個不在定義列表中的client_id)

　　Step4.檢視控制檯的日誌資訊：表示獲取Token的這個請求成功了，日誌中client_secret和password都是不會直接明文顯示的。

　　Step5.IdentityServer中我們設定這幾個API Service的Grant_Type是ResourceOwnerPasswordAndClientCredentials（點選這裡瞭解=>資源擁有者密碼憑據許可），因此我們還可以使用ClientCredentials（點選這裡瞭解=>客戶端憑據許可），如下所示：

　　Step6.再次檢視控制檯日誌資訊：這次沒有關於User相關的任何資訊顯示了。

　　Step7.基本的開發結束，對於開發階段，我們使用IdentityServer為開發者提供的臨時證書即可，但是後面仍然需要生成一些正兒八經的證書。這裡我們通過OpenSSL來生成，首先去官網下載一個，這裡使用的是Win64_1.1版本。開啟Powershell或者CMD，輸入以下命令：

cmd>openssl req -newkey rsa:2048 -nodes -keyout cas.clientservice.key -x509 -days 365 -out cas.clientservice.cer

下面將生成的證書和Key封裝成一個檔案，以便IdentityServer可以使用它們去正確地簽名tokens

cmd>openssl pkcs12 -export -in cas.clientservice.cer -inkey cas.clientservice.key -out cas.clientservice.pfx

　　中途會提示讓你輸入Export Password，這個password後面會用到，記住它。最終匯出後的結果如下圖所示：

　　這裡我將其放到了專案結構資料夾中，並設定這個pfx檔案為“如果較新則複製”，確保可以在最後生成的目錄裡邊。現在就可以修改一下ConfigureServices()方法了：

    public void ConfigureServices(IServiceCollection services)
    {
        var basePath = PlatformServices.Default.Application.ApplicationBasePath;
        InMemoryConfiguration.Configuration = this.Configuration;

        services.AddIdentityServer()
            //.AddDeveloperSigningCredential()
            .AddSigningCredential(new X509Certificate2(Path.Combine(basePath,
                Configuration["Certificates:CerPath"]),
                Configuration["Certificates:Password"]))
          .AddTestUsers(InMemoryConfiguration.GetUsers().ToList())
          .AddInMemoryClients(InMemoryConfiguration.GetClients())
        .AddInMemoryApiResources(InMemoryConfiguration.GetApiResources());
    }

　　這裡我將證書的路徑和匯出密碼都寫到了配置檔案中：

{
  "Certificates": {
    "CerPath": "certificate\\cas.clientservice.pfx",
    "Password": "manulife"
  }
} 

　　好，配置正兒八經的證書這一步驟Over。

四、IdentityServer QuickStart-UI

4.1 關於QuickStart UI

　　複製完成後，我們的專案結構如下圖所示：

4.2 修改DI方法

　　（1）使用MVC與靜態檔案（由於wwwroot下有很多靜態資原始檔）

    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        if (env.IsDevelopment())
        {
            app.UseDeveloperExceptionPage();
        }

        app.UseIdentityServer();
        // for QuickStart-UI
        app.UseStaticFiles();
        app.UseMvcWithDefaultRoute();
    }

　　（2）註冊MVC

    public void ConfigureServices(IServiceCollection services)
    {
        var basePath = PlatformServices.Default.Application.ApplicationBasePath;
        InMemoryConfiguration.Configuration = this.Configuration;

        services.AddIdentityServer()
            //.AddDeveloperSigningCredential()
            .AddSigningCredential(new X509Certificate2(Path.Combine(basePath,
                Configuration["Certificates:CerPath"]),
                Configuration["Certificates:Password"]))
          .AddTestUsers(InMemoryConfiguration.GetUsers().ToList())
          .AddInMemoryClients(InMemoryConfiguration.GetClients())
          .AddInMemoryApiResources(InMemoryConfiguration.GetApiResources());
        // for QuickStart-UI
        services.AddMvc();
    }

4.3 Run 　

　　（1）首頁（這裡由於我已經登入，所以這裡會把我的賬號顯示了出來）

　　（2）Logout頁，剛剛說到我已經實現Login了，所以我這裡Logout一下

　　（3）Login頁：這裡只能識別我們在之前配置的靜態User列表中那些User

　　登入之後，顯示："You have not given access to any applications"，表示我們還沒有給他授予訪問任何API或網站模組的許可權。後續我們會建立API和MVC網站來演示如何對其進行授權和訪問。

五、小結

　　本篇主要簡單的介紹了IdentityServer以及如何基於IdentityServer建立一個基本的AuthorizationServer，如何獲取Token，以及整合QuickStart UI實現基本的介面展示。後續還會建立API和MVC網站，來和IdentityServer進行整合，以演示如何對User授予訪問API和MVC網站的訪問許可權。

示例程式碼

參考資料

作者：周旭龍

本文版權歸作者和部落格園共有，歡迎轉載，但未經作者同意必須保留此段宣告，且在文章頁面明顯位置給出原文連結。