Sicherheit

Nach der Aktivierung können Sie Authentifizierung und Autorisierung für Ihre Endpunkte erzwingen.

Sichere Endpunkte definieren

Sie können sichere Endpunkte in der Benutzeroberfläche definieren, indem Sie die Authentifizierung aktivieren. Sie finden die Endpunkt-Authentifizierung und -Autorisierung unter der Registerkarte Sicherheit in den Eigenschaften eines Endpunkts.

Sie können sichere Endpunkte auch über die Datei .universal/endpoints.ps1 oder die Management-API mit New-PSUEndpoint definieren.

New-PSUEndpoint -Url '/endpoint' -Method 'GET' -Endpoint {
   "Hello, world!"
} -Authentication

Wenn die Authentifizierung aktiviert ist, wird die Verwendung einer der konfigurierten Authentifizierungsmethoden erzwungen. APIs unterstützen die folgenden Methoden.

• JWT-App-Token
• Windows-Authentifizierung
• Cookie-Authentifizierung
• Basic-Authentifizierung

Zugriff auf sichere Endpunkte

Sobald Sie einen sicheren Endpunkt definiert haben, müssen Sie Authentifizierung und Autorisierung bereitstellen, um auf den Endpunkt zuzugreifen.

Authentifizierung mit Token

Beachten Sie, dass Sie, wenn Sie in IIS hosten und die anonyme Authentifizierung nicht aktiviert ist, keine App-Token an den PowerShell Universal-Server übergeben können.

Um sich mit Token zu authentifizieren, müssen Sie zunächst ein neues App-Token zur Verwendung generieren. Sie können dazu das Cmdlet Grant-PSUAppToken remote verwenden oder ein App-Token in der Benutzeroberfläche über die Registerkarte Einstellungen Sicherheit AppTokens erstellen.

Bewegen Sie den Mauszeiger oben rechts in der Admin-Konsole über Ihren Benutzernamen, klicken Sie auf Tokens und anschließend auf Create Application Token.

Sobald Sie Ihr App-Token erstellt haben, können Sie es nun zur Authentifizierung gegenüber dem sicheren Endpunkt verwenden. Übergeben Sie dazu den Authorization-Header zusammen mit der Anfrage.

Invoke-RestMethod http://localhost:5000/auth -Headers @{ Authorization = "Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9uYW1lIjoiQWRtaW4iLCJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9oYXNoIjoiMWUyY2IzNzAtMmMyNS00ZDU5LTk4YzgtMzc5MTFjMDAyZmI5Iiwic3ViIjoiUG93ZXJTaGVsbFVuaXZlcnNhbCIsImh0dHA6Ly9zY2hlbWFzLm1pY3Jvc29mdC5jb20vd3MvMjAwOC8wNi9pZGVudGl0eS9jbGFpbXMvcm9sZSI6IkFkbWluaXN0cmF0b3IiLCJuYmYiOjE2MDU2NjEyNTUsImV4cCI6MTYzNzM2NzI1OCwiaXNzIjoiSXJvbm1hblNvZnR3YXJlIiwiYXVkIjoiUG" }

Benutzerdefinierter Autorisierungs-Header

PowerShell Universal bietet einen benutzerdefinierten Autorisierungs-Header zur Unterstützung von Szenarien mit Reverse-Proxys, die möglicherweise ihren eigenen Authorization-Header benötigen. Wenn der Header X-PSU-Authorization angegeben ist, ignoriert PSU den Authorization-Header und verwendet stattdessen diesen Header.

Invoke-RestMethod http://localhost:5000/auth -Headers @{ 
    Authorization = "Bearer msft_xyz_123" 
    'X-PSU-Authorization' = 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9uYW1lIjoiQWRtaW4iLCJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9oYXNoIjoiMWUyY2IzNzAtMmMyNS00ZDU5LTk4YzgtMzc5MTFjMDAyZmI5Iiwic3ViIjoiUG93ZXJTaGVsbFVuaXZlcnNhbCIsImh0dHA6Ly9zY2hlbWFzLm1pY3Jvc29mdC5jb20vd3MvMjAwOC8wNi9pZGVudGl0eS9jbGFpbXMvcm9sZSI6IkFkbWluaXN0cmF0b3IiLCJuYmYiOjE2MDU2NjEyNTUsImV4cCI6MTYzNzM2NzI1OCwiaXNzIjoiSXJvbm1hblNvZnR3YXJlIiwiYXVkIjoiUG'
}

Authentifizierung mit Windows-Authentifizierung

Um sich mit Windows-Authentifizierung zu authentifizieren, können Sie den Parameter -UseDefaultCredentials von Invoke-RestMethod und Invoke-WebRequest verwenden. Dadurch wird eine Negotiate-Authentifizierung durchgeführt, unabhängig davon, ob Sie innerhalb von IIS oder als Dienst ausgeführt werden.

Invoke-RestMethod http://localhost:5000/auth -UseDefaultCredentials

Authentifizierung mit Cookies

Um sich mit Cookies zu authentifizieren, müssen Sie zunächst die Login-API aufrufen, um ein gültiges Cookie vom System zu erhalten. Sie können dazu Invoke-WebRequest verwenden. Übergeben Sie den Benutzernamen und das Passwort als Body. Geben Sie den Parameter -SessionVariable an, um eine Sitzung herzustellen.

Invoke-WebRequest http://localhost:5000/api/v1/signin -Body (@{ 
    UserName = "Admin"
    Password = "Any"
} | ConvertTo-Json) -ContentType 'application/json' -SessionVariable mySession -Method POST

Sobald Sie sich erfolgreich authentifiziert haben, können Sie Ihre Variable $mySession verwenden, um sichere Endpunkte aufzurufen.

 Invoke-WebRequest http://localhost:5000/auth -WebSession $mySession

Rollen erzwingen

Zusätzlich zum Erstellen von Endpunkten, die eine Authentifizierung erfordern, können Sie auch Rollen erzwingen, indem Sie eine Rolle im Cmdlet New-PSUEndpoint definieren oder eine in der Benutzeroberfläche auswählen. Wenn eine Rolle ausgewählt ist, besitzt sie die Rolle.

Windows- und Cookie-Authentifizierung weisen Rollen basierend auf der Identität des Benutzers und den angewendeten Rollenrichtlinien zu.

JWT-App-Token verwenden die Rolle, die bei ihrer Generierung definiert wurde.

Ausführungsrollen

Mit der Eigenschaft Ausführungsrollen können Sie festlegen, welche Rollen bei der Ausführung des API-Endpunkts zugewiesen werden. Standardmäßig wird der Endpunkt basierend auf den Rollen des Aufrufers ausgeführt. In manchen Szenarien, zum Beispiel bei der Verwendung von Secrets mit Rollen, möchten Sie möglicherweise zusätzliche Rollen bereitstellen, die der Aufrufer nicht besitzt. Ausführungsrollen erfordern nicht, dass die API-Authentifizierung aktiviert ist.

API

• New-PSUEndpoint
• Get-PSUEndpoint
• Remove-PSUEndpoint
• New-PSUApiResponse
• Set-PSUSetting

Siehe auch

• Devolutions Academy – Creating a variable endpoint
• Devolutions Academy – Creating a query string endpoint