Blog-a-Styx

Self-Signed Certificate, IIS7 et WCF

Styx31 — Tue, 01 Sep 2009 16:12:00 GMT

Il se peut que vous ayez un jour besoin, comme ce fut le cas pour moi aujourd’hui, de :

Créer un service WCF (facile)
Le publier sur un IIS 7 (facile aussi)
Rendre les services accessibles par https (mhhh...)
Qu’ils soient accessibles par un site avec un binding précis (sur un sous-domaine particulier)
Utiliser un certificat émis par le serveur lui-même (no comment)

Host name Binding et HTTPS

Il faut déjà savoir que host name binding et HTTPS ne font pas bon ménage, pour une raison assez logique : étant donné que l’entête http est chiffrée lors d’un échange HTTPS, du coup l’information sur l’host interrogé par le client l’est aussi. Il est donc impossible de savoir vers quel site la requête doit être renvoyée sans déchiffrer l’entête. Sauf que chacun des sites peut avoir un certificat différent pour déchiffrer l’entête. Mais on ne sait pas quel certificat utiliser sans avoir lu l’entête HTTP, etc.

Donc l’interface de IIS 7 ne permet tout simplement pas d’indiquer un host name lorsque l’on ajoute un binding HTTPS :

Cependant, il peut y avoir des cas où c’est le même certificat qui va servir pour toutes les requêtes. Dans un tel cas IIS n’aurait qu’un certificat à utiliser, donc il pourrait utiliser le seul certificat déclaré pour déchiffrer les entêtes et faire son “aiguillage”. Sauf que non.

Host name Binding et WCF

Là où cela devient drôle, c’est lorsque WCF se joint à la partie. En effet, celui-ci se base sur l’host name pour renvoyer l’adresse à interroger dans le contrat WSDL. Si votre service nécessite l'utilisation de HTTPS, le contrat renverra donc une url de la forme suivante :

<soap:address location="https://mymachine/Service.svc/Soap"/>

Etant donné que IIS ne fournir aucune information sur le host name, WCF renvoie le nom de la machine comme adresse à interroger. Un client se basant sur le contrat WSDL pour déterminer l'url du service n'arrivera pas à accéder à votre serveur si celui-ci se trouve sur Internet.

La solution

Trois outils sont nécessaires pour réussir à configurer correctement IIS : appcmd, netsh et SelfSSL

Le premier permet d’administrer la metabase IIS et de passer outre certaines restrictions de l’interface. Il est disponible dans le répertoire %systemroot%\System32\inetsrv
Le second permet d’affecter des certificats SLL sur un ensemble application/port/binding (l’outil de configuration IIS manipule aussi netsh en fait).
SelfSLL est disponible dans IIS 6.0 Resource Kit Tools (mais aussi directement via un lien du post de Rob Bagby dont il est question plus loin).

Dans mon exemple, j'utiliserai les postulats suivants :

Le nom de la machine est "mymachine"
L'adresse du site sur laquelle on souhaite exposer le service est www.example.com
L'identifiant numérique du site sous IIS est 2 (colonne ID sous IIS Manager)
Le nom du site sous IIS est My Site (colonne Name sous IIS Manager)

1ère étape : génération du certificat auto-signé

Premier problème : la génération d’un certificat à l’aide de IIS Manager utilise le nom de la machine comme "Issued To" et ne permet pas de le changer.

La seule astuce trouvée consiste à utiliser l’application SelfSSL (à lancer en mode administrateur), qui permet de générer un certificat auto-signé en permettant de spécifier la valeur du champ CN.

Vous trouverez les étapes nécessaires décrites sur le blog de Rob Bagby, mais en gros la commande ressemblera à ça :

SelfSSL.exe /N:CN=www.example.com /V:1000 /S:SiteId (où SiteId vaut 2 dans notre exemple)

Vous obtenez donc un certificat qui sera installé dans les certificats du serveur (visibles à la racine de IIS Manager, cf. blog de Rob Bagby).

Si vous pensez que cela suffira, ce n’est pas le cas. Certes, cela vous permet d’accéder à votre site en https sans recevoir une erreur indiquant que le site interrogé ne correspond pas au site désigné par le certficat, mais WCF continue de renvoyer l’adresse de la machine comme adresse SOAP à interroger.

Note : MakeCert, fourni avec Visual Studio, semble aussi permettre la génération de certficats auto-signés avec un CN personnalisé.

2ème étape : Récupération des informations de binding sur le certificat

Pour une étape ultérieure, il va nous falloir connaître l’idenfiant de l’application IIS ainsi que la signature SHA du certificat.

Pour cela, il vous faut tout d’abord assigner votre certificat SSL auto-signé sur l’un de vos sites (temporairement), ensuite, exécutez en ligne de commande "netsh http show sslcert".

Le programme vous renverra 2 informations intéressantes :

Certificate Hash, ici "079…"
Application Id, ici "{4dc...}"

Notez ces informations puis supprimez votre binding IIS.

3ème étape : Création du binding IIS HTTPS avec host name

Pour pouvoir forcer la création d’un binding HTTPS avec le certificat créé précédement ET le host name de notre adresse publique, il nous faut utiliser appcmd, comme expliqué sur cet autre blog.

La commande ressemblera à :

appcmd set site /site.name:"MySite" /+bindings.[protocol='https',bindingInformation='*:443:www.example.com']

La partie que vous devez remplacer sera "MySite", à remplacer par le nom de votre site sous IIS, et www.example.com à remplacer par l’url de votre site web https.

Pour vérifier si tout s’est bien déroulé, rendez-vous sur votre site IIS et vérifiez qu'un binding HTTPS a été ajouté. Normalement, la partie host name devrait être remplie avec l'adresse que vous avez saisi. Surtout ne modifiez pas le binding par IIS Manager, celui-ci supprimera les informations sur le host name.

Il ne reste qu'un détail à régler. En l'état, le site n'est pas encore accessible en HTTPS. En effet, le fait d'ajouter le binding à la main via appcmd ne rattache pas le certificat au binding (on peut le voir en faisant "Edit" sur le binding : aucun certificat n'est sélectionné, ou par "netsh http show sslcert" qui ne renvoie aucun certificat).

Il va falloir le faire à la main à l'aide d'une dernière commande.

4ème étape : Ajout du certificat sur le binding

Pour cette dernière étape, il va falloir utiliser la commande netsh avec les options suivantes :

netsh http add sslcert ipport=0.0.0.0:443 certhash=<Certificate Hash> appid=<Application Id>

Remplacez les deux valeurs par celles que vous aviez relevé lors de l'étape 2.

Une fois toutes les opérations effectuées, accédez à votre contrat WSDL, l'attribut "location" devrait désormais valoir https://www.example.com/Service.svc/Soap.

Références

Stackoverflow.com : Affecter un certificat SSL a un site IIS : pour les informations sur netsh http
Comment configurer SSL avec IIS7 sur Windows Server Core : pour des information sur netsh http et appcmd
Ajouter un certificat SSL avec un host header sur IIS 7
Certificat auto-signé avec IIS 7, blog de Rob Bagby
Certificat auto-signé avec IIS 7, blog de Scott Guthrie
Certificat auto-signé avec IIS 7 et champ CN, blog de Hans Olav (ne répond pas à l'heure de ce message).

Y’a baleine sous gravier…

Styx31 — Wed, 29 Jul 2009 17:43:00 GMT

C’est ce que je me suis finalement dis après avoir passé mes deux journées sur cette pauvre fonctionnalité.

Tout partait d’une volonté louable : implémentation d’une “petite” fonctionnalité en apparence assez simple. Comme souvent en fait.

Dans mon cas, il s’agissait de rendre virtuel le chargement d’une grosse liste dans une gridview. La technique est assez bien rodée : passage par une classe qui se charge de découper la liste en pages, et lorsque la gridview demande une ligne, on cherche si la page correspondante a été chargée. Si ce n’est pas le cas, on interroge le service, on stocke le résultat, et ça roule… J’avais d’ailleurs déjà développé une telle fonctionnalité pour un autre endroit de l’application.

Dans ma volonté de faire du réutilisable, je me suis dit que c’était donc le bon moment pour créer une classe générique implémentant capable de faire un tel traitement. Je commence donc à prototyper une classe DeferredList<T>, en gardant en tête que je souhaitais quelque chose de simple, avec peu de calculs et peu de variables pour conserver une empreinte mémoire faible (étant donné que l’on allait déjà avoir une liste assez conséquente en taille).

Mais j’avais plus ou moins involontairement oublié un aspect de cette gridview (et qui n’existait pas dans mon cas précédent) : elle permet d’ajouter ou de supprimer des éléments. Soit. Sauf que non, mon prototype omettait un détail : les modifications apportées à la liste ne sont envoyées au serveur qu’à un moment précis, lorsque l’utilisateur souhaite enregistrer les modifications apportées. Entre temps, le chargement des pages continue de me renvoyer la liste non modifiée.

Du coup, lorsque l’on supprime un élément (par exemple au début de la grille, dans la première page), cela décale automatiquement toutes les pages qu’il faudra charger. Exemple si dessous avec la suppression de l’élément situé à la ligne de la gridview d’index 2.

Imaginons que les pages 2 et 3 n’aient pas été chargées : avant l’opération, la demande de l’élément affiché à la ligne d’index 9 provoque le chargement de la page 2, et après l’opération celui de la page 3.

L’ajout provoque forcément l’effet inverse.

J’ai donc modifié mon code pour gérer ce cas. Ça commençait déjà à sentir le sapin : répercuter le décalage sur toutes les pages suivantes dans le cas de listes avec plusieurs milliers de pages ne me plaisait pas.

Et la baleine commença à apparaître : la gestion de la page renvoyée par l’évènement ne correspondait donc pas forcément à l’emplacement réel des éléments. Exemple avec le cas précédent, en cas de chargement de la page :

Comment savoir que l’élément d’index 2 devait être ignoré et que les suivants devaient être décalés ? A part stocker dans chaque page les éléments supprimés (et leur index)...

Voilà donc comment, à force de réécrire du code, on se retrouve à perdre sa journée. La solution existe bien, mais elle ressemble désormais à une énorme baleine au lieu d’un simple petit gravier blanc.

Conclusion : Shelve, Undo changes, et s’efforcer d’oublier le code écrit pour repartir de zéro sur quelque chose intégrant dès le départ ce type de contrainte, et voir si quelque chose de simple reste possible. Si c’est le cas je partagerai ma solution.

Note : Et pour la forme, on risque finalement d’abandonner la possibilité d’interagir avec la liste directement lorsqu’elle dépasse un certain nombre d’éléments, tant le rapport intérêt utilisateur/développement semble faible. A priori les modifications seront immédiatement envoyées au serveur (la suppression d’un seul élément sera impossible) et la liste des éléments ne sera plus affichée.

Copyright Issues

Styx31 — Thu, 09 Apr 2009 13:50:48 GMT

Pour la postérité, et parce qu’on s’est bien marrés en crééant ce demotivational (oui, moi non plus je ne connaissais pas ce mot)

Et encore gratz à Pipomantis pour le slogan.

Changement de flux RSS

Styx31 — Sat, 14 Feb 2009 08:10:00 GMT

Je viens de découvrir (un peu tard) que FeedBurner avait été racheté par Google !

Du coup j'ai migré mon compte, ce qui a entraîné, il semblerait, un changement de l'url de mes RSS.

L'ancienne adresse fonctionne encore, mais je vous invite à la mettre à jour pour la remplacer par la nouvelle :

http://feeds2.feedburner.com/Blog-a-styx

(Et oui, je suis encore vivant !)

Comment désactiver l'héritage des web.config ?

Styx31 — Tue, 15 Apr 2008 21:30:19 GMT

Inspiré de ce message, qui m'a rappellé que je n'avais pas parlé de ce problème qui m'était pourtant arrivé.

Il arrive que vous ayez besoin d'avoir une application web située sous un autre (répertoire virtuel).

Problème : votre application située virtuellement en dessous héritera automatiquement du web.config de l'application parente. Avec tous les problèmes qui en découlent : déclaration de paramètres en doublons (chaînes de connexions, appSettings, etc.), déclaration de types dont l'assembly n'est pas présente, etc.

Exemple (pompé sur l'autre message) :

<httpModules>
<add name="UrlRewriteModule" type="UrlRewritingNet.Web.UrlRewriteModule, UrlRewritingNet.UrlRewriter"/>
<add name="ScriptModule" type="System.Web.Handlers.ScriptModule, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=31BF3856AD364E35"/>
</httpModules>

Avec une telle déclaration dans votre site racine, toutes les applications descendantes se retrouveront avec les extensions ajax déclarées. (Peu importe la version du framework d'ailleurs)

Première solution trouvée : celle consistant à supprimer les anciennes déclarations à l'aide d'un <clear /> (là où c'est supporté).

<httpModules>
<clear/>
</httpModules>

Sauf qu'il y a une autre solution, liée à cette fameuse balise <location /> que l'on utilise souvent pour spécifier des droits sur une page spécifique.

Il suffit en fait d'utiliser l'attribut inheritInChildApplications="false" sur une balise location avec path="." dans votre web.config racine pour pouvoir ainsi y insérer des éléments de configuration qui ne seront pas hérités par les applications descendantes.

<location path="." inheritInChildApplications="false">
<system.web>
    <httpModules>
      ...
    </httpModules>
</system.web>
</location>

Ainsi, si vous avez des sections dont vous ne souhaitez surtout pas que les applications descendantes héritent (par prévention), il vous suffit de les déclarer dans cette section.

Un compagnon pour Reflector et NDepend

Styx31 — Fri, 04 Apr 2008 22:18:00 GMT

Vu sur le blog de Brad Adams, un nouvel outil dans une première version beta nommé "Framework Design Studio" (publié sur le tout frais MSDN Code Gallery) qui permet de faire un peu d'introspection sur les librairies afin les analyser et les comparer.

Il permet de les analyser avec la possibilité de lister les API exposées, de les commenter (et même, via plugin, sauver ces commentaires en tant que dans une base de bugs) et d'exporter ces commentaires sur word.

Autre fonctionalité intéressante, celle de pouvoir comparer 2 versions d'une assembly et voir quelles ont été les méthodes ajoutées/supprimées/modifiées.

Un bon complément pour détecter les "breaking changes" dans des librairies critiques et faire de la revue d'architecture.

Je vous renvoie vers les messages originaux pour des petites captures d'écrans.

Changement de look

Styx31 — Wed, 02 Jan 2008 22:08:15 GMT

Un petite mise à jour à l'occasion du passage à la nouvelle année. J'ai converti un thème présenté par Smashing Magazine et créé par Design Disease, pour Wordpress.

J'ai donc pu me frotter à la création de thèmes avec Community Server 2007, et j'ai été, au final, assez agréablement supris par la souplesse de l'engin.

Forcément, la doc quasi inexistante sur les objets manipulables et leurs propriétés (dommage quand on veut faire du binding) ne facilite pas les choses. Mais un passage par l'éternel Reflector m'a permis de trouver toutes les informations nécessaires assez facilement ensuite.

Je tâcherai de rendre le thème téléchargeable une fois que je serais sur qu'il ne contient pas de problème.

Ah, et j'allais oublier : bonne année à tous.

Emacs.net ?

Styx31 — Thu, 27 Dec 2007 09:07:56 GMT

Tiens tiens... Il semblerait que MS s'intéresse au développement d'un IDE light, vu qu'il est question d'embaucher quelqu'un pour un projet pouvant être décrit comme un "Emacs.net".

Affaire à suivre.

Colonne IDENTITY et transactions

Styx31 — Fri, 09 Nov 2007 13:49:12 GMT

Dans la famille "on en apprend tous les jours", aujourd'hui, l'utilisation des colonnes de type IDENTITY comme compteur dans une table.

Je ne le savais donc pas (la faute, je trouve, à la documentation totalement inexistante à ce propos), mais l'incrémentation des valeurs des colonnes IDENTITY sous Sql Server est totalement déconnectée de toute notion de transaction.

Conséquence directe : si vous effectuez un rollback après une insertion dans une table avec une colonne identité, la valeur du compteur sera consommée et perdue pour la ligne suivante (vous aurez donc un trou dans votre séquence).

Autant la documentation semble parler de trous pouvant survenir lorsque l'on efface des lignes (ce que je conçois tout à fait), autant il m'a fallu me retrouver devant le fait accompli pour constater cette limitation.

Conclusion (on avait déjà quelques tables se servant d'un compteur interne pour générer la séquence, donc on va juste accélérer la migration vers ce mécanisme), n'utilisez pas les colonnes IDENTITY si vous souhaitez avoir une vrai séquence sans trous (même si vous n'effacez pas vos lignes !).

Ca y est j'ai mon lecteur de flux RSS ultime

Styx31 — Thu, 06 Sep 2007 07:47:14 GMT

Et oui, depuis ce matin, Google Reader supporte la recherche dans les flux RSS auxquels on est abonné !

Je n'utilisais plus RSS Bandit car j'ai besoin de pouvoir lire mes flux chez moi et au boulot, j'avais abandonné FeedDemon car son système de classement est relativement naze (une seule profondeur de dossier, pas de possibilité de mettre un flux dans plusieurs dossiers), NewsGator Online ne m'avait pas convaincu non plus.

Bref, il ne manquait à Google Reader que cela (et la fonctionnalité était demandée depuis la sortie du produit), et le seul moyen de retrouver un article était d'espérer que l'on avait eu la présence d'esprit de le passer en "Starred" ou "Shared".

La journée commence bien :)

Un Addin pour ajouter des liens dans vos commentaires

Styx31 — Wed, 05 Sep 2007 07:40:53 GMT

Le titre pourrait laisser penser que je ne connais pas la doc xml déjà proposée par C#, qui permet, par l'intermédiaire des balises <see /> de faire des liens vers des membres.

Non, là je souhaiterai parler d'un nouvel AddIn, HyperAddin, qui permet, dans des commentaire classiques, d'insérer des liens vers d'autres membres directement utilisables depuis Visual Studio.

La syntaxe est relativement simple, comme expliqué dans ce billet : il suffit de précéder le nom du membre recherché par le mot clé "code:".

// Comportement similaire à celui codé dans la méthode code:AutreClasse::Unlock.

Il est aussi possible de créer un lien en commentaire à l'aide d'un #, comme en html

// #exemple

//

// Pour faire un lien, il suffit d'utiliser code:#exemple

Si vous souhaitez référencer un lien nommé d'un autre fichier source, il vous faudra préfixer le nom du lien par le nom d'une classe se trouvant dans le même fichier source.

Je teste ça de suite.

Silverlight 1.0 est sorti, Moonlight est enfin reconnu

Styx31 — Wed, 05 Sep 2007 07:23:37 GMT

Je viens tout juste de lire ce billet de Scott Hanselman (et suivi par celui de Scott Guthrie) à propos de la sortie de Silverlight 1.0 officiellement aujourd'hui. Il vous suffira de visiter une page hébergeant un contrôle Silverlight pour que la mise à jour vous soit proposée.

Le point le plus intéressant, à mon avis, dans cette annonce est le partenariat officiel de Microsoft et Novell à propos de Moonlight, l'équivalent Mono de Silverlight. Moonlight permettra donc aux utilisateurs de Linux de pouvoir afficher les pages hébergeant des objets Silverlight. Certaines personnes de Microsoft devraient donc participer au développement du projet.

C'est une très bonne chose que Microsoft reconnaisse le boulot fait par les contributeurs de Mono, et ça présage une belle perçée possible pour Silverlight. Personnellement, j'attends surtout la 1.1 pour le support des langages autres que javascript, mais il reste semble-t-il encore pas mal de boulot.

Dommage, à quelques mois près, j'aurais pu proposer à Lasombras de coder le nouveau projet secret sous cette plate-forme :D Peut-être pour la v2...

Indisponibilité la nuit dernière

Styx31 — Fri, 31 Aug 2007 07:52:00 GMT

Le serveur est de retour après une nuit calme.

Le site était verrouillé en raison d'une protection des mots de passe laissée avec le paramétrage par défaut sur notre serveur : le mot de passe du compte sql était simplement marqué comme expiré.

Tout est maintenant rentré dans l'ordre, le problème ne devrait plus se reproduire.

Visual Studio 2008 Beta 2 cette semaine !

Styx31 — Thu, 26 Jul 2007 16:46:00 GMT

Ca tease sec depuis que Scott Guthrie a répondu à un commentaire de son blog en indiquant (9ème commentaire) que la beta 2 était prévue pour cette semaine, et qu'elle serait "feature complete".

Si, et je l'espère, cette beta permet de se connecter sur TFS, il s'agira certainement de la première version que je tenterai d'utiliser sur nos projets.

miam.

Edit : ça n'aura finalement pas trop tardé. ScottGu a d'ailleurs posté à ce propos en ajoutant des notes importantes sur l'installation.

Mieux gérer les ressources (.resx) des projets

Styx31 — Wed, 25 Jul 2007 14:17:03 GMT

Le problème des applications et de leurs fichiers ressources est que bien souvent, on souhaiterait que d'autres personnes puissent les modifier. Que ce soit pour corriger des fautes ou modifier la tournure de certaines phrases, voir tout simplement pour traduire l'application.

Comment, donc, permettre à une autre personne de travailler sur cet aspect, sans qu'il ne soit nécessaire de le former à visual studio et toutes les subtilités des fichiers de ressources ?

Je vais faire un petit topo ici des outils que j'ai découverts, étant donné que j'en ai trouvé un de plus aujourd'hui encore, et qu'il me semble être temps de les noter quelque part.

Les éditeurs ResX autonomes

Il s'agit là de simplement permettre d'éditer les fichiers de ressources sans devoir passer par Visual Studio. L'outil "de base" donc pour simplifier le travail d'édition.

Resourcer, créé par Ludz Roeder, le créateur de Reflector. Il permet d'éditer les fichiers .resx et .resources (texte et images). Plutôt orienté développeur.
Resx Editor, un autre outil dans la même veine, disponible en français mais ne gèrant pas les resources autres que les chaînes.
ResEx, un outil qui semble être le plus abouti, plus particulièrement ciblé sur la traduction de resources. Il permet notamment de travailler en mode "side-by-side" entre le fichier en langue originale et la version traduite. Il ajoute des contrôles sur les chaînes formattées (contrôle la présence des {0} dans la version traduite). Celui que je conseillerai le plus à une personne n'était pas développeur.

Les outils pour Visual Studio

ResX File Public Code Generator. Il s'agit d'un custom tool qui permet de générer des classes de ressources publiques, au contraire du custom tool de base qui ne génère que des classes internes. Il est ainsi possible d'avoir un .resx dont les ressources seront ensuite accessible depuis d'autres librairies.
Resources Refactoring Tool. Un petit AddIn pour visual studio pour permettre d'extraire une chaîne de caractère de votre code directement dans une resource, en remplaçant les autres occurances dans votre projet par cette ressource. Pratique pour repasser derrière du code mal écrit.

Les autres outils (conversion, import/export)

Resx To Word est un autre outil de la même société que Resx Editor (PeopleWords) qui permet de transformer un .resx en fichier word, et inversement. Je ne l'ai pas testé personnellement.
ResX To Xls (la découverte du jour) permet, lui, d'exporter tous les fichiers ressources d'un projet dans un fichier excel. Le gros avantage est qu'il rassemble tous les fichiers .resx d'un projet dans un seul fichier excel. Il permet ensuite de mettre à jour les fichiers .resx à partir du fichier excel. A tester absolument.

Si vous connaissez d'autres outils, n'hésitez-pas à m'en faire part.