A Guide to Claims Based Identity and Access Control Patterns Practices 1st Edition Dominick Baier

A Guide to Claims Based Identity and Access Control Patterns Practices 1st Edition Dominick Baier
A Guide to Claims Based Identity and Access Control Patterns Practices 1st Edition Dominick Baier
A Guide to Claims Based Identity and Access Control Patterns Practices 1st Edition Dominick Baier

1. A Guide to Claims Based Identity and Access
Control Patterns Practices 1st Edition Dominick
Baier download
https://ebookultra.com/download/a-guide-to-claims-based-identity-
and-access-control-patterns-practices-1st-edition-dominick-baier/
Explore and download more ebooks or textbooks
at ebookultra.com

2. Here are some recommended products for you. Click the link to
download, or explore more at ebookultra.com
Using Technology to Support Evidence Based Behavioral
Health Practices A Clinician s Guide Michael A. Cucciare
https://ebookultra.com/download/using-technology-to-support-evidence-
based-behavioral-health-practices-a-clinician-s-guide-michael-a-
cucciare/
School Based Mental Health A Practitioner s Guide to
Comparative Practices 1st Edition Ray W. Christner
https://ebookultra.com/download/school-based-mental-health-a-
practitioner-s-guide-to-comparative-practices-1st-edition-ray-w-
christner/
Songs at Twilight A Narrative Exploration of Living with a
Visual Impairment and the Effect this has on Claims to
Identity 1st Edition Susan Dale
https://ebookultra.com/download/songs-at-twilight-a-narrative-
exploration-of-living-with-a-visual-impairment-and-the-effect-this-
has-on-claims-to-identity-1st-edition-susan-dale/
Parallel Programming with Microsoft NET Design Patterns
for Decomposition and Coordination on Multicore
Architectures Patterns Practices 1st Edition Colin
Campbell https://ebookultra.com/download/parallel-programming-with-microsoft-
net-design-patterns-for-decomposition-and-coordination-on-multicore-
architectures-patterns-practices-1st-edition-colin-campbell/

3. Parallel Programming with Microsoft Visual C Design
Patterns for Decomposition and Coordination on Multicore
Architectures Patterns and Practices 1st Edition Colin
Campbell https://ebookultra.com/download/parallel-programming-with-microsoft-
visual-c-design-patterns-for-decomposition-and-coordination-on-
multicore-architectures-patterns-and-practices-1st-edition-colin-
campbell/
Access All Areas A User s Guide to the Art of Urban
Exploration 1st Edition Ninjalicious
https://ebookultra.com/download/access-all-areas-a-user-s-guide-to-
the-art-of-urban-exploration-1st-edition-ninjalicious/
Everybody s Guide to Small Claims Court in California 2006
16th Edition Ralph E. Warner
https://ebookultra.com/download/everybody-s-guide-to-small-claims-
court-in-california-2006-16th-edition-ralph-e-warner/
Microcontroller Based Temperature Monitoring and Control
1st Edition Dogan Ibrahim
https://ebookultra.com/download/microcontroller-based-temperature-
monitoring-and-control-1st-edition-dogan-ibrahim/
Game Development Patterns and Best Practices Better games
less hassle 1st Edition John P. Doran
https://ebookultra.com/download/game-development-patterns-and-best-
practices-better-games-less-hassle-1st-edition-john-p-doran/

5. A Guide to Claims Based Identity and Access Control
Patterns Practices 1st Edition Dominick Baier Digital
Instant Download
Author(s): Dominick Baier, Vittorio Bertocci, Keith Brown, Matias Woloski,
Eugenio Pace
ISBN(s): 9780735640597, 0735640599
Edition: 1
File Details: PDF, 1.82 MB
Year: 2010
Language: english

6. ˜˜˜˜˜˜
˜˜˜˜˜˜˜˜
˜˜˜˜˜˜˜
˜˜˜˜˜
A GUIDE TO
CLAIMS-BASED
I
DENTITY
AND
ACCESS CONTROL
Authentication and Authorization for
Services and the Web
Dominick Baier
Vittorio Bertocci
Keith Brown
Eugenio Pace
Matias Woloski

7. A Guide to Claims-Based Identity and Access Control

8. a guide to
Claims-Based Identity
and Access Control
Authentication and Authorization
for Services and the Web
patterns & practicesMicrosoft Corporation

9. Contentsforeword
Kim Cameron ix
Stuart Kwan xi
preface
Who This Book Is For xii Why This Book Is Pertinent Now xiv A Note About Terminology xiv
How This Book Is Structured xvi
What You Need to Use the Code xxi
Who’s Who xix
acknowledgements xxi
1 An Introduction to Claims
What Do Claims Provide? 1
Not Every System Needs Claims 2
Claims Simplify Authentication Logic 3
A Familiar Example 3
What Makes a Good Claim? 5
Understanding Issuers and ADFS 6
User Anonymity 7
Implementing Claims-Based Identity 7
Step 1: Add Logic to Your Applications to Support Claims 7
Step 2: Acquire or Build an Issuer 8
Step 3: Confi gure Your Application to Trust the Issuer 8
Step 4: Confi gure the Issuer to Know About the Application 9
A Summary of Benefi ts 10
Moving On 10
2 Claims-Based Architectures
A Closer Look at Claims-Based Architectures 12
Browser-Based Applications 13
Smart Clients 20
Federating Identity Across Realms 22
The Benefi ts of Cross-Realm Identity 23
How Federated Identity Works 24
Home Realm Discovery 26
Design Considerations for Claims-Based Applications 28
What Makes a Good Claim? 28
How Can You Uniquely Identify One User From Another? 29
How Can You Get a List of All Possible Users 29
and All Possible Claims?
Where Should Claims Be Issued? 30
ISBN: 9780735640597
This document is provided “as-is”. Information and views expressed in
this document, including URL and other Internet Web site references,
may change without notice. You bear the risk of using it.
Some examples depicted herein are provided for illustration only and
are fi ctitious. No real association or connection is intended or should
be inferred.
© 2010 Microsoft. All rights reserved.
Microsoft, Active Directory, Active Directory Federation Services,
MSDN, Visual Studio, Windows, Windows Identity Foundation, and
Windows Live are trademarks of the Microsoft group of companies.
All other trademarks are property of their respective owners.

10. 6 Federated Identity with Multiple Partners
The Premise 81
Goals and Requirements 82
Overview of the Solution 83
Using Claims in Fabrikam Shipping 86
Inside the Implementation 88
Setup and Physical Deployment 97
Establishing the Trust Relationship 97
User-Confi gurable Claims Transformation Rules 99
appendix a using fedutil 101
appendix b message sequences 103
The Browser-Based Scenario 104
The Active Client Scenario 116
appendix c industry standards 123
Security Assertion Markup Language (SAML) 123
WS-Federation 123
WS-Federation: Passive Requestor Profi le 123
WS-Security 124
WS-SecureConversation 124
WS-Trust 124
XML Encryption 124
appendix d certificates 125
Certifi cates for Browser-Based Applications 125
On the Issuer (Browser Scenario) 127
On the Web Application Server 127
Certifi cates for Active Clients 128
On the Issuer (Active Scenario) 128
On the Web Service Host 130
On the Active Client Host 132
glossary 133
index 143
3 Claims-Based Single Sign-On for the Web
The Premise 33
Goals and Requirements 35
Overview of the Solution 36
Inside the Implementation 38
a-Expense Before Claims 39
a-Expense with Claims 41
a-Order Before Claims 48
a-Order with Claims 49
Signing Out of an Application 50
Setup and Physical Deployment 50
Using a Mock Issuer 50
Isolating Active Directory 51
Converting to a Production Issuer 52
Enabling Internet Access 52
Variation—Moving to Windows Azure 52
More Information 56
4 Federated Identity for Web Applications
The Premise 57
Goals and Requirements 58
Overview of the Solution 58
Benefi ts and Limitations 63
Inside the Implementation 63
Setup and Physical Deployment 63
Using Mock Issuers for Development and Testing 63
Establishing Trust Relationships 64
More Information 65
5 Federated Identity for Web Services
The Premise 67
Goals and Requirements 68
Overview of the Solution 68
Inside the Implementation 70
Implementing the Web Service 70
Implementing the Active Client 72
Implementing the Authorization Strategy 75
Debugging the Application 76
Setup and Physical Deployment 77
Confi guring ADFS 2.0 for Web Services 77

11. Foreword
Claims-based identity means to control the digital experience and to
use digital resources based on things that are said by one party about
another. A party can be a person, organization, government, Web site,
Web service, or even a device. The very simplest example of a claim is
something that a party says about itself.
As the authors of this book point out, there is nothing new about
the use of claims. As far back as the early days of mainframe comput-
ing, the operating system asked users for passwords and then passed
each new application a “claim” about who was using it. But this world
was a kind of “Garden of Eden” because applications didn’t question
what they were told.
As systems became interconnected and more complicated, we
needed ways to identify parties across multiple computers. One way
to do this was for the parties that used applications on one computer
to authenticate to the applications (and/or operating systems) that
ran on the other computers. This mechanism is still widely used—for
example, when logging on to a great number of Web sites.
However, this approach becomes unmanageable when you have
many co-operating systems (as is the case, for example in the enter-
prise). Therefore, specialized services were invented that would regis-
ter and authenticate users, and subsequently provide claims about
them to interested applications. Some well-known examples are
NTLM, Kerberos, Public Key Infrastructure (PKI), and the Security
Assertion Markup Language (SAML).
If systems that use claims have been around for so long, how can
“claims-based computing” be new or important? The answer is a vari-
ant of the old adage that “All tables have legs, but not all legs have
tables.” The claims-based model embraces and subsumes the capabili-
ties of all the systems that have existed to date, but it also allows
many new things to be accomplished. This book gives a great sense of
the resultant opportunities.

12. x
In the spring of 2008, months before the Windows Identity Founda-
tion made its fi rst public appearance, I was on the phone with the
chief software architect of a Fortune 500 company when I experi-
enced one of those vivid, clarifying moments that come during the
course of a software project. We were chatting about how diffi cult it
was to manage an environment with hundreds or even thousands of
developers, all building different kinds of applications for different
audiences. In such an environment, the burden of consistent applica-
tion security usually falls on the shoulders of one designated security
architect.
A big part of that architect’s job is to guide developers on how to
handle authentication. Developers have many technologies to choose
from. Windows Integrated Authentication, SAML, LDAP, and X.509
are just a few. The security architect is responsible for writing detailed
implementation guidance on when and how to use all of them. I imag-
ined a document with hundreds of pages of technology overviews,
decision fl owcharts, and code appendices that demonstrate the cor-
rect use of technology X for scenario Y. “If you are building a Web
application, for employees, on the intranet, on Windows, use Win-
dows Integrated Authentication and LDAP, send your queries to the
enterprise directory....”
I could already tell that this document, despite the architect’s best
efforts, was destined to sit unread on the corner of every developer’s
desk. It was all just too hard; although every developer knows security
is important, no one has the time to read all that. Nevertheless, every
organization needed an architect to write these guidelines. It was the
only meaningful thing they could do to manage this complexity.
It was at that moment that I realized the true purpose of the
forthcoming Windows Identity Foundation. It was to render the tech-
nology decision trivial. Architects would no longer need to create com-
plex guidelines for authentication. This was an epiphany of sorts.
Foreword
For one thing, identity no longer depends on the use of unique
identifi ers. NTLM, Kerberos, and public key certifi cates conveyed,
above all else, an identifi cation number or name. This unique number
could be used as a directory key to look up other attributes and to
track activities. But once we start thinking in terms of claims-based
computing, identifi ers were not mandatory. We don’t need to say that
a person is associated with the number X, and then look in a database
to see if number X is married. We just say the person is married. An
identifi er is reduced to one potential claim (a thing said by some party)
among many.
This opens up the possibility of many more directly usable and
substantive claims, such as a family name, a person’s citizenship, the
right to do something, or the fact that someone is in a certain age
group or is a great customer. One can make this kind of claim without
revealing a party’s unique identity. This has immense implications for
privacy, which becomes an increasingly important concern as digital
identity is applied to our personal lives.
Further, while the earlier systems were all hermetic worlds, we
can now look at them as examples of the same thing and transform a
claim made in one world to a claim made in another. We can use
“claims transformers” to convert claims from one system to another,
to interpret meanings, apply policies, and to provide elasticity. This is
what makes claims essential for connecting our organizations and en-
terprises into a cloud. Because they are standardized, we can use them
across platforms and look at the distributed fabric as a real circuit
board on which we can assemble our services and components.
Claims offer a single conceptual model, programming interface,
and end-user paradigm; whereas before claims, we had a cacophony
of disjoint approaches. In my experience, the people who use these
new approaches to build products universally agree that they solve
many pressing problems that were impossibly diffi cult before. Yet
these people also offer a word of advice. Though embracing what has
existed, the claims-based paradigm is fundamentally a new one; the
biggest challenge is to understand this and take advantage of it.
That’s why this book is so useful. It deals with the fundamental
issues, but it is practical and concise. The time spent reading it will be
repaid many times over as you become an expert in one of the trans-
formative technologies of our time.
Kim Cameron
Distinguished Engineer—Microsoft Identity Division  

13. xii
xiii
As an application designer or developer, imagine a world where you
don’t have to worry about authentication. Imagine instead that all
requests to your application already include the information you need
to make access control decisions and to personalize the application
for the user.
In this world, your applications can trust another system compo-
nent to securely provide user information, such as the user’s name or
e-mail address, a manager’s e-mail address, or even a purchasing autho-
rization limit. The user’s information always arrives in the same simple
format, regardless of the authentication mechanism, whether it’s
Microsoft® Windows® integrated authentication, forms-based
authentication in a Web browser, an X.509 client certifi cate, or
something more exotic. Even if someone in charge of your company’s
security policy changes how users authenticate, you still get the
information, and it’s always in the same format.
This is the utopia of claims-based identity that A Guide to Claims-
Based Identity and Access Control describes. As you’ll see, claims
provide an innovative approach for building applications that authen-
ticate and authorize users.
Who This Book Is For
This book gives you enough information to evaluate claims-based identity as a possible option when you’re planning a new application or making changes to an existing one. It is intended for any architect, developer, or information technology (IT) professional who designs, builds, or operates Web applications and services that require identity information about their users. Although applications that use claims- based identity exist on many platforms, this book is written for people who work with Windows-based systems. You should be familiar with the Microsoft .NET Framework, ASP.NET, Windows Communication Foundation (WCF), and Microsoft Visual C#®.
Preface
Windows Identity Foundation would allow authentication logic
to be factored out of the application logic, and as a result most devel-
opers would never have to deal with the underlying complexity.
Factoring out authentication logic would insulate applications from
changing requirements. Making an application available to users at
multiple organizations or even moving it to the cloud would just
mean reconfi guring the identity infrastructure and not rewriting the
application code. This refactoring of identity logic is called the claims-
based identity model.
Eugenio Pace from the Microsoft patterns & practices group has
brought together some of the foremost minds on this topic so that
their collective experience can be yours. He has focused on practical
scenarios that will help you get started writing your own claims-aware
applications. The guide works progressively, with the simplest and
most common scenarios explained fi rst. It also contains a clear
overview of the main concepts. Working source code for all of the
examples can be found online (http://claimsid.codeplex.com).
I have truly enjoyed having Eugenio be part of our extended
engineering team during this project. His enthusiasm, creativity, and
perseverance have made this book possible. Eugenio is one of the
handful of people I have met who revel in the challenge of identity
and security and who care deeply that it be done right.
Our goal is for this book to earn its way to the corner of your desk
and lie there dog-eared and much referenced, so that we can be
your identity experts and you can get on with the job that is most
important to you, building applications that matter. We wish you
much success.
Stuart Kwan
Group Program Manager, Identity and Access Platform
Microsoft Corporation
Redmond, Washington
January 2010

14. xiv xv
security token service (sts) = issuer
Technically, a security token service is the interface within an issuer
that accepts requests and creates and issues security tokens contain-
ing claims.
identity provider (idp) = issuer
An identity provider is an issuer or a “token issuer,” if you prefer. Identity providers validate various user credentials, such as user names and passwords, and certifi cates, and they issue tokens. For brevity,
this book uses the term “issuer.”
resource security token service (r-sts)
= issuer
A resource security token service accepts one token and issues
another. Rather than having information about identity, it has infor-
mation about the resource. For example, an R-STS can translate
tokens issued by an identity provider into application-specifi c claims.
For this book, there’s no point in separating the functions of an
identity provider, a security token service, and a resource security
token service. In fact, much of the existing literature lazily mixes these
up, anyway, which just adds to the confusion. This book uses the more
practical term, “issuer,” to encompass all these concepts.
active client = smart or rich client
passive client = browser
Much of the literature refers to “active” versus “passive” clients. An
active client can use a sophisticated library such as Windows
Communication Foundation (WCF) to implement the protocols that
request and pass around security tokens (WS-Trust is the protocol
used in active scenarios). In order to support many different browsers,
the passive scenarios use a much simpler protocol to request and pass
around tokens that rely on simple HTTP primitives such as HTTP GET
(with redirects) and POST. (This simpler protocol is defi ned in the
WS-Federation specifi cation, section 13.)
In this book, an active client is a rich client or a smart client.
A passive client is a Web browser.
preface
Why This Book Is Pertinent Now
Although claims-based identity has been possible for quite a while, there are now tools available that make it much easier for developers of Windows-based applications to implement it. These tools include the Windows Identity Foundation (WIF) and Microsoft Active Direc- tory® Federation Services (ADFS) v2. This book shows you when and how to use these tools in the context of some commonly occurring scenarios.
A Note About Terminology
This book explains claims-based identity without using a lot of new terminology. However, if you read the various standards and much of the existing literature, you’ll see terms such as “relying party,” “STS,” “subject,” “identity provider,” and so on. Here is a short list that equates some of the most common expressions used in the literature with the more familiar terms used in this book. For additional clarifi ca-
tion about terminology, see the glossary at the end of the book.
relying party (rp) = application
service provider (sp) = application
A relying party or a service provider is an application that uses claims.
The term “relying party” arose because the application relies on an
issuer to provide information about identity. The term “service
provider” is commonly used with the Security Assertion Markup
Language (SAML). Because this book is intended for people who
design and build applications, it uses “application,” or “claims-aware
application,” instead of “relying party,” “RP,” “service provider” or “SP.”
subject = user
principal = user
A subject or a principal is a user. The term “subject” has been around
for years in security literature, and it does make sense when you think
about it—the user is the subject of access control, personalization,
and so on. A subject can be a non-human entity, such as printer
or another device, but this book doesn’t discuss these scenarios. In
addition, the .NET Framework uses the term “principal” rather
than “subject.” This book talks about “users” rather than “subjects” or
“principals.”

15. xvi xvii
“Claims-Based Single Sign-On for the Web” shows you how to
implement single-sign on within a corporate intranet. Although this
may be something that you can also implement with Windows inte-
grated authentication, it is the fi rst stop on the way to implementing
more complex scenarios. It includes a section for Windows Azure™
that shows you how to move the claims-based application to the
cloud.
“Federated Identity for Web Applications” shows you how you
can give your business partners access to your applications while
maintaining the integrity of your corporate directory and theirs. In
other words, your partners’ employees can use their corporate creden-
tials to gain access to your applications.
“Federated Identity for Web Services” shows you how to use the
claims-based approach with Web services, where a partner uses a
smart client rather than a browser.
“Federated Identity with Multiple Partners” is a variation of the
previous scenario that shows you how to federate with partners who
have no issuer of their own as well as those who do. It demonstrates
how to use the ASP.NET MVC framework to create a claims-aware
application.
What You Need to Use the Code
You can either run the scenarios on your own system or you can cre- ate a realistic lab environment. Running the scenarios on your own system is very simple and has only a few requirements. These are the system requirements for running the scenarios on your system:
Microsoft Windows Vista SP1, Windows 7, or Microsoft
•
Windows Server 2008 (32-bit or 64-bit) Microsoft Internet Information Services (IIS) 7.0
•
Microsoft .NET Framework 3.5 SP1•
Microsoft Visual Studio® 2008 SP1•
Windows Azure Tools for Microsoft Visual Studio•
Windows Identity Foundation•
Running the scenarios in a realistic lab environment, with an instance of Active Directory Federation Services (ADFS) and Active Directory, requires an application server, ADFS, Active Directory, and a client system. Here are their system requirements.
preface
How This Book Is Structured
You can think of the structure of this book as a subway that has main stops and branches. After the preface, there are two chapters that contain general information. These are followed by scenarios that show how to apply this knowledge with increasingly more sophisti- cated requirements.
Here is the map of our subway.
figure 1
Map of the book
“An Introduction to Claims” explains what a claim is and gives general rules on what makes a good claim and how to incorporate them in your application. It’s probably a good idea that you read this chapter before you go on to the scenarios.
“Claims-Based Architectures” shows you how to use claims with
browser-based applications and smart client–based applications. In
particular, the chapter focuses on how to implement single sign-on for
your users, whether they are on an intranet or an extranet. This chap-
ter is optional. You don’t need to read it before you go on to the
scenarios.
Preface
Introduction to
Claims
Claims-Based
Architecture
Web Single Sign-On
Web Services
Windows
Azure
Federation
Federation with
Multiple Partners

16. xviii xix
Who’s Who
As we’ve said, this book uses a set of scenarios that traces the evolu-
tion of several corporate applications. A panel of experts comments
on the development efforts. The panel includes a security specialist,
a software architect, a software developer, and an IT professional. The
scenarios can be considered from each of these points of view. Here
are our experts.
If you have a particular area of interest, look for notes provided by the
specialists whose interests align with yours.
Bharath is a security specialist. He checks that solutions for
authentication and authorization reliably safeguard a company’s
data. He is a cautious person, for good reasons.
Providing authentication for a single application
is easy. Securing all applications across our
organization is a different thing.
Jana is a software architect. She plans the overall structure of an
application. Her perspective is both practical and strategic. In other
words, she considers not only what technical approaches are needed
today, but also what direction a company needs to consider for the
future.
It’s not easy, balancing the needs of users, the IT
organization, the developers, and the technical
platforms we rely on.
Markus is a senior software developer. He is analytical, detail-
oriented, and methodical. He’s focused on the task at hand,
which is building a great claims-based application. He knows
that he’s the person who’s ultimately responsible for the code.
I don’t care what you use for authentication,
I’ll make it work.
Poe is an IT professional who’s an expert in deploying and running in
a corporate data center. He’s also an Active Directory guru. Poe has
a keen interest in practical solutions; after all, he’s the one who gets
paged at 3:00 AM when there’s a problem.
Each application handles authentication differ-
ently. Can I get a bit of consistency please?!?
preface
application server
The application server requires the following:
Windows Server 2008•
Microsoft IIS 7.0•
Microsoft Visual Studio 2008 SP1•
.NET Framework 3.5 SP1•
Windows Identity Foundation •
adfs
The ADFS server requires the following:
Windows Server 2008 •
Internet Information Services (IIS) 7.0 •
.NET Framework 3.5 SP1•
SQL Server® 2005/2008 Express Edition•
active directory
The Active Directory system requires a Windows server 2008 with Active Directory installed.
client computer
The client computer requires Windows Vista or Windows 7 for active scenarios. Passive scenarios may use any Web browser as the client that supports redirects

17. xx
xxi
This book marks a milestone in a journey I started in the winter
of 2007. At that time, I was offered the opportunity to enter a
completely new domain, the world of software delivered as a service.
Offerings such as Windows Azure were far from being realized, and
“the cloud” was still to be defi ned and fully understood. My work
mainly focused on uncovering the specifi c challenges that companies
would face with this new way of delivering software.
It was immediately obvious that managing identity and access
control was a major obstacle for developers. Identity and access con-
trol were fundamental. They were prerequisites for everything else.
If you didn’t get authentication and authorization right, you would
be building your application on a foundation of sand.
Thus began my journey in the world of claims-based identity. I
was very lucky to initiate this journey with none other than a claims
Jedi, Vittorio Bertocci. He turned me into a convert.
Initially, I was puzzled that so few people were deploying what
seemed, at fi rst glance, to be simple principles. Then I understood
why. In my discussions with colleagues and customers, I frequently
found myself having to think twice about many of the concepts and
about the mechanics needed to put them into practice. In fact, even
after longer exposure to the subject, I found myself having to care-
fully retrace the interactions among implementation components.
The principles may have been simple, but translating them into
running code was a different matter. Translating them into the right
running code was even harder.
Around this same time, Microsoft announced Windows Identity
Foundation, ADFS v2, and Access Control Service. Once I understood
how to apply those technologies, and how they dramatically simpli-
fi ed claims-based development, I realized that the moment had come
to create a guide like the one you are now reading.
Even after I had spent a signifi cant amount of time on the subject,
I realized that providing prescriptive guidance required greater profi -
Acknowledgments

18. xxii xxiii
Krish Shenoy, Travis Spencer (www.travisspencer.com), Mario Szpusz-
ta (Sr. Architect Advisor, Microsoft Austria), Chris Tavares, Peter M.
Thompson, and Todd West.
Finally, I want to thank Stuart Kwan and Conrad Bayer from the
Identity Division at Microsoft for their support throughout. Even
though their teams were extremely busy shipping WIF and ADFS,
they always found time help us.
Eugenio Pace Senior Program Manager—patterns & practices
Microsoft Corporation
Redmond, January 2010
acknowledgments
ciency than my own, and I was lucky to be able to recruit for my quest
some very bright and experienced experts. I have thoroughly enjoyed
working with them on this project and would be honored to work
with this fi ne team again. I was also fortunate to have skilled software
developers, software testers, technical writers, and others as project
contributors.
I want to start by thanking the following subject matter experts
and key contributors to this guide: Dominick Baier, Vittorio Bertocci,
Keith Brown, and Matias Woloski. These guys were outstanding. I
admired their rigor, their drive for excellence, and also their commit-
ment to pragmatic solutions.
Running code is a very powerful device for explaining how tech-
nology works. Designing sample applications that are both techni-
cally and pedagogically sound is no simple task. I want to thank the
project’s development and test teams for providing that balance:
Federico Boerr, Carlos Farre, Diego Marcet, Anant Manuj Mittal, Er-
win van der Valk, and Matias Woloski.
This guide is meant to be authoritative and prescriptive in the
topics it covers. However, we also wanted it to be simple to under-
stand, approachable, and entertaining, a guide you would fi nd interest-
ing and you would enjoy reading. We invested in two areas to achieve
this: an approachable writing style and an appealing visual design.
A team of technical writers and editors were responsible for the
text. They performed the miracle of translating and organizing our
jargon- and acronym-plagued drafts, notes, and conversations into
clear, readable text. I want to direct many thanks to RoAnn Corbisier,
Colin Campbell, Roberta Leibovitz, and Tina Burden for doing such a
fi ne job on that.
The innovative visual design concept used for this guide was
developed by Roberta Leibovitz and Colin Campbell (Modeled
Computation LLC) who worked with a team of talented designers
and illustrators. The book design was created by John Hubbard (eson).
The cartoon faces and chapter divisions were drawn by the award-
winning Seattle-based cartoonist Ellen Forney. The technical illustra-
tions were adapted from my Tablet PC mock ups by Veronica Ruiz.
I want to thank the creative team for giving this guide such a great
look.
I also want to thank all the customers, partners, and community
members who have patiently reviewed our early content and drafts.
You have truly helped us shape this guide. Among those, I want to
highlight the exceptional contributions of Zulfi qar Ahmed, Michele
Leroux Bustamante (IDesign), Pablo Mariano Cibraro (Tellago Inc),
Hernan DeLahitte (DigitFactory), Pedro Felix, Tim Fischer (Microsoft
Germany), Mario Fontana, David Hill, Doug Hiller, Jason Hogg, Eze-
quiel Jadib, Brad Jonas, Seshadri Mani, Marcelo Mas, Vijayavani Nori,

19. xxiv
1
An Introduction to Claims
1
This chapter talks about some concepts, such as claims and federated
identity, that may sound new to you. However, many of these ideas
have been around for a long time. The mechanics involved in a claims-
based approach have a similar fl avor to Kerberos, which is one of the
most broadly accepted authentication protocols in use today and is
also the protocol used by Microsoft® Active Directory® directory
service. Federation protocols such as WS-Federation and the Security
Assertion Markup Language (SAML) have been with us for many years
as interoperable protocols that are implemented on all major technol-
ogy platforms.
What Do Claims Provide?
To see the power of claims, you might need to change your view of authentication. It’s easy to let a particular authentication mechanism constrain your thinking. If you use Windows Integrated authentica- tion (Kerberos or NTLM), you probably think of identity in terms of Windows user accounts and groups. If you use the ASP.NET member- ship and roles provider, you probably think in terms of user names, passwords, and roles. If you try to determine what the different authentication mechanisms have in common, you can abstract the individual elements of identity and access control into two parts: a single, general notion of claims along with the concept of an issuer or an authority. Thinking in terms of claims and issuers is a powerful abstraction that supports new ways of securing your applications. Because claims involve an explicit trust relationship with an issuer, your application believes a claim about the current user only if it trusts the entity that issued the claim. Trust is explicit in the claims-based approach, not implicit as in other authentication and authorization approaches you may be familiar with.
╭ Claims-based identity isn’t 
new. It’s been in use for 
almost a decade.

20. 2 chapter one 3an introduction to claims
The following table shows the relationships between security to-
kens, claims, and issuers.
Security token Claims Issuer
Windows token. This
token is represented as a
security identifi er (SID).
This is a unique value of
variable length that is
used to identify a
security principal or
security group in
Windows operating
systems.
User name and groups. Domain.
User name token. User name. Application.
Certifi cate. Examples can include a
thumbprint, a subject, or
a distinguished name.
Issuer chains to the root.
The claims-based approach to identity makes it easy for users to sign
in using Kerberos where it makes sense, but at the same time, it’s just
as easy for them to use one or more (perhaps more Internet-friendly)
authentication techniques, without you having to recode, recompile,
or even reconfi gure your applications. You can support any authenti-
cation technique, some of the most popular being Kerberos, forms
authentication, X.509 certifi cates, smart cards, as well as information
cards and others.
not every system needs claims
This is an important disclaimer. Companies with a host of internal ap- plications can use Windows Integrated authentication to achieve many of the benefi ts provided by claims. Active Directory does a great
job of storing user identities, and because Kerberos is a part of Win-
dows, your applications don’t have to include much authentication
logic. As long as every application you build can use Windows inte-
grated authentication, you may have already reached your identity
utopia.
However, there are many reasons why you might need something
other than Windows authentication. You might have Web-facing ap-
plications that are used by people who don’t have accounts in your
Windows domain. Another reason is that your company has merged
with another company and you’re having trouble authenticating across
two Windows forests that don’t (and may never) have a trust relation-
ship. Perhaps you want to share identities with another company that
has non-.NET Framework applications or you need to share identities
between applications running on different platforms (for example, the
Macintosh). These are just a few situations where claims-based iden-
tity can be the right choice for you.
claims simplify authentication logic
Most applications include a certain amount of logic that supports identity-related features. Applications that can’t rely on Windows In- tegrated authentication tend to have more of this than applications that do. For example, Web-facing applications that store user names and passwords must handle password reset, lockout, and other issues. Enterprise-facing applications that use Windows Integrated authenti- cation can rely on the domain controller.
But even with Windows Integrated authentication, there are still
challenges. Kerberos tickets only give you a user’s account and a list
of groups. What if your application needs to send e-mail to the user?
What if you need the e-mail address of the user’s manager? This starts
to get complicated quickly, even within a single domain. To go beyond
Kerberos’s limitations, you need to program Active Directory. This is
not a simple task, especially if you want to build effi cient Lightweight
Directory Access Protocol (LDAP) queries that don’t slow down your
directory server.
Claims-based identity allows you to factor out the authentication
logic from individual applications. Instead of the application determin-
ing who the user is, it receives claims that identify the user.
a familiar example
Claims-based identity is all around us. A very familiar analogy is the authentication protocol you follow each time you visit an airport. You can’t simply walk up to the gate and present your passport or driver’s license. Instead, you must fi rst check in at the ticket counter. Here,
you present whatever credential makes sense. If you’re going overseas,
you show your passport. For domestic fl ights, you present your driv-
er’s license. If your children fl y with you, they don’t need to show
anything at all, but the ticket agent asks you their names to provide
some level of authentication. After verifying that your picture ID
matches your face, the agent looks up your fl ight and verifi es that
you’ve paid for a ticket. Assuming all is in order, you receive a boarding
pass that you take to the gate.
A boarding pass is very informative. Gate agents know your name
and frequent fl yer number (authentication and personalization), your
fl ight number and seating priority (authorization), and perhaps even
more. The gate agents have everything that they need to do their jobs
effi ciently.
You can use claims to
implement Role-
Based Access Control
(RBAC). Roles are
claims, but claims can
contain more
information than
roles. Also, you can
send claims inside a
signed (and possibly
encrypted) security
token and be certain
that they come from
a trusted issuer.
╭ Claims provide a 
powerful abstraction 
for identity.
╭ Claims help you to factor  authentication logic out
of your applications.

21. Random documents with unrelated
content Scribd suggests to you:

22. "Se joka aina ihmisiä moisiossa pieksee, kun käsketään — vahti!"
Ja Mai koetti osottaa kamaripalvelijan sanoja todeksi vilkkaasti
päätään pudistaen ja pyyhkien esiliinan nurkalla vetisiä silmiään.
Mutta Tohver rupesi kertomaan tapausta ja koetti sitä pitkillä
selityksillä ja elävillä kädenliikkeillä tehdä kouluneidille niin selväksi
kuin suinkin. Mai, pannen kaiken saksan kielen taitonsa käytäntöön
oli todistajana ja vakuuttajana ja koetti loppumattomilla pään
nyökkäyksillä vahvistaa Tohverin selityksiä.
Molemmilta sai Juliette kuulla, minkälaisen ilkivaltaisuuden uhriksi
Miina raukka oli joutunut. Ehdoin, tahdoin ahdistaa opman Miinaa,
tyttö taistelee vastaan, ilmottaa vihdoin hätänsä sulhaselle, tämä
tulee eräänä yönä odottamatta avuksi ja vihan vimmassa kostaa
viettelijälle. Tämä ilmaantuu, lyötyään ensin itse syytöntä tyttöä,
moisioon kaipaamaan ja täällä tehdään tuomio, jota inhimilliseltä
kannalta katsoen on vaikea ymmärtää; tyttö saa moision tallissa,
poika haagioikeudessa ruumiinrangaistuksen. Tyttö piestään veriseksi
ja suolavedellä tehdään haavat tulisen kirveleviksi; mutta poika
viedään sidotuin käsin vielä kovemman rangaistuksen alaiseksi.
Mutta päärikollinen itse jää rankaisematta, sillä hän ei suinkaan olisi
lähtenyt kaipaamaan, jos hänellä olisi ollut jotakin pelättävää.
Kouluneiti ei voinut kaikkea tuota uskoa; hänestä tuntui koko
kertomus pöyristyttävältä valheelta, tai ainakin äärettömästi
liiotetulta. Ehkä syytti tyttö opmannia tehdäkseen itsensä
viattomaksi. Mutta Juliettea loukkasi kuitenkin se tieto, että
moisiossa vielä nuoren paronin isännyyden aikanakin
ruumiinrangaistusta käytettiin; että siellä jälleen oli naista rangaistu
ja vielä niin raa'alla tavalla. Mutta hänen epäilyksensä tapauksen

23. todenmukaisuudesta alkoi kadota, kun Tohver nyt lisäsi,
minkätähden hän asiasta oli kouluneidille tullut puhumaan.
"Mai Miina raukan puolesta pyytää neidin kertomaan nuorelle
paronille asian oikean laidan, että opman saisi vähän nenälleen.
Luultava on, että opman aivan toisin kertoi asian herroille, eihän
muuten viattomalle Miinalle vitsaa olisi annettu. Olihan opman itse
kotona sanonut Miinalle: 'Saa nähdä, ketä uskotaan, sinua vai
minua'."
"Kelle on opman käynyt kaipaamassa?" kysyi Juliette värisevin
huulin.
"Saksoille — kenelle sitten?"
"Tietysti vanhalle herralle!"
Siihen tiesi Tohver vastata, että hän oli opmannin nähnyt varhain
sinä aamuna paronin kirjoitushuoneessa, jossa molemmat paronit jo
olivat olleet ylhäällä.
"Molemmat?" huusi neiti Marchand ja hänen katseissaan ilmeni
jälleen kylmää, vastustavaa epäluuloa. "Se ei ole mahdollista", lisäsi
hän varmasti. "Te erehdytte, Tohver, molemmat paronit eivät ole
antaneet käskyä Miinan piiskaamisesta."
"En tiedä, kuka käskyn antoi", vastasi kamaripalvelija, "mutta
molemmat paronit olivat kirjoitushuoneessa opmannin sinne tullessa,
sen tiedän varmasti; minä vein juuri sitä ennen herroille sinne
sikareja."
Juliette käänsi kalpeat kasvonsa syrjään; hänen sydäntään painoi
ja ahdisti, että hänen oli vaikea pidättää huutoa.

24. "Mutta eivätkö sitten Miina ja hänen sulhasensa itse selittäneet
paronille, kuinka asia oikeastaan oli?" lausui hän kääntyen vihdoin
jälleen kamaripalvelijan puoleen.
"Heiltä ei ole mitään kysyttykään", vastasi Tohver, "he eivät ole
herrojen luona käyneetkään."
"Mitä puhutte? Kuinka voitiin heitä kuulustamatta rangaista?"
Kamaripalvelija kohotti olkapäitään. Hänen kasvoilleen levisi
lystikäs, puoleksi katkera, puoleksi leikillinen ilme.
"Saksat uskovat ainoastaan opmannia — hän on korkeampi kuin
palvelustyttö ja kylän poika."
Kouluneidin katse ilmaisi epäilystä ja kauhua.
"Minä en usko tuota kaikkea", virkkoi hän kärsimättömänä ja
kääntyi jälleen akkunaan päin. "Ainakaan ei ole totta, että rangaistus
annettiin, ennenkun rangaistuksen alaisten syy oli selvä ja varma.
Minä tahdon tutkia, kuinka kaikki on ollut."
"Neiti", lausui jälleen Tohver nöyrällä, rukoilevalla äänellä. "Miina
raukka on heti lähtenyt opmannin luota kylään vanhempain kotiin.
Opman on häijy mies — Miina pelkää, että tämä häntä vielä
rankaisee tuon poislähdön tähden, tai ainakin kiusaa, tai pakottaa
takaisin tulemaan. Siitä on tytöllä suuri kauhu. Neiti on ehkä niin
hyvä ja pyytää nuorta paronia, ettei opman enää saa Miinalle tehdä
pahaa ja antaa hänen olla vanhempainsa luona."
"Sen tahdon tehdä."

25. "Opman on myös uhannut, että Miinan isältä nyt talo otetaan",
lisäsi Tohver vielä. "Neiti ehkä pyytäisi herra Herbertiltä, ettei sitä
tehtäisi."
Senkin lupasi Juliette erinomaisen varmalla ja lujalla äänellä.
Mutta tähän ei kamaripalvelijan kertomus päättynyt. Hän piti
tarpeellisena vielä enemmän herättää hyväsydämmisen kouluneidin
myötätuntoa puolustettaviaan kohtaan. Sentähden hän sanoi:
"Neidille tahtoisin kertoa, että Miinan sulhanen on meidän Maien
veli. Neiti ehkä vielä muistaa — sama nuori mies, joka viime syksynä
sai moision tallissa vitsoja, josta neiti niin pelästyi."
Juliette muisti hyvästi Päärnun, tuon suuren, tukevan, totisen
näköisen työmiehen, jonka mökkiäkin hän kerran oli käynyt
katsomassa. Myötätuntoisesti silmäillen Maiea, kysyi hän
kamaripalvelijalta:
"Ja minkälaisen rangaistuksen Maien veli tällä kertaa sai?"
"Hänelle on haagioikeudessa annettu kahdeksankymmentä
kepinlyöntiä", vastasi Tohver. "Se ei ole leikin asia, neiti! Päärn on
tukeva mies kuin karhu, mutta sittenkin on hän nyt sängyssä ja
sairastaa haavojaan."
"Kahdeksankymmentä kepinlyöntiä!" kertoi kouluneiti, ja
Tohverista näytti kuin olisi hänen pieni, valkea kätensä mennyt
nyrkkiin. Sitten kääntyi neiti Marchand tutkivin katsein vielä kerran
kamaripalvelijan ja tytön puoleen. "Ja te molemmat uskotte
varmasti, että asia on niinkuin Miina ja Päärn ovat kertoneet? Te ette

26. epäile, että molemmat puhuvat totta? Teidän sydämmenne sen
varmasti tuntee?"
Tohver nosti sormensa ylös, joka merkitsi, että hän uskalsi, vaikka
päänsä kautta sen vannoa ja vakuutti, että tyttö ja poika ovat
kunniallisia ihmisiä, joihin jokainen täysin luottaa. Mutta sitä ei
voinut opmannista sanoa.
"Puhutaanko hänestä pahaa?" kysyi Juliette.
Tohver kohotti harmaita kulmakarvojaan ja pyyhkäsi halveksivasti
molemmilla käsillään.
"Oi taivas, neiti! Minä en tahtoisi olla kielittelijä, mutta minun pitää
sittenkin sanoa, että se mies on monen lapsen isä, vaikkei hänellä
ole puolisoa. — — —"
"Onkos Maien veljellä vielä mitään pelättävää isännöitsijän
puolelta?" kysyi Juliette katsellen myötätuntoisesti tytön kauniita,
surullisia kasvoja.
"Eikös tämä häntäkin voi kiusata", vastasi Tohver, "ja viedä talliin
vähimmästäkin syystä. Mutta sitä miestä onkin jo niin kiusattu ja
ahdistettu, että hän siihen on melkein tottunut."
"Kertokaa neidille Päärnun talon asiasta", kuiskaili Mai, joka
ymmärsi, että hänen veljestään oli puhe, ja nykäsi Tohveria takin
liepeestä. "Ehkä neiti voisi hänenkin hyväkseen jotakin tehdä!"
Tohver arvasi itsekin, että nyt oli paras hetki kertoa kouluneidille
senkin seikan. Tunsihan hän sen niin hyvästi. Ja ainoastaan neiti
Marchand saattoi jotakin tehdä myöskin Maien veljen hyväksi, jota
vanha kamaripalvelija itse kelpo miehenä arvosteli. Vanhan,

27. tottuneen kamaripalvelijan tietoon kyllä tuli kaikki, mitä talossa
tapahtui. Tohver tiesi jo aikoja sitten, millä silmin nuori paroni katseli
kaunista kouluneitiä ja kuinka kovin hän tätä kunnioitti ja kuinka
neidon sanat häneen vaikuttivat. Eikä tarvinnut epäillä sitäkään, ettei
ranskalainen neito tahtonut auttaa, sillä ei kukaan tiennyt niin hyvin
kuin Tohver, kuinka lämmin sydän hänellä oli talonpoikaraukkoja
kohtaan.
"Ei suinkaan neiti pane pahaksi, jos kerron vielä jotakin Maien
veljestä", virkkoi hän ja nauroi ikäänkuin anteeksi pyytäen. Mai koetti
salaa häntä kehottaa tuon tuostakin nykäisten häntä takaa päin.
"Sillä miehellä on, neiti, varsin kurjat päivät ja hän olisi iloinen, jos
joku hänestäkin puhuisi hyvän sanan nuorelle moision herralle."
Juliette kuunteli yhä enenevällä mielenkiinnolla hyväsydämmisen
Tohverin kertomusta. Tohver alkoi Päärnun isän onnettomasta
elämäkerrasta, kuvasi hänen kuolemaansa haagioikeudessa saatujen
lyöntien seurauksena ja selitti, minkätähden isän talo pojalta oli pois
otettu ja kuinka Päärn turhaan oli koettanut paronilta saada takaisin
isänsä taloa tai jotakin toista vuokrapaikkaa, sillä vanha paroni ei
häntä kärsinyt. Tohver ei salannut, että miehellä oli kiivas ja
taipumaton luonne, mutta sanoi vanhan paronin itsensä täytyneen
tunnustaa, ettei hänellä ollut ahkerampaa, huolellisempaa ja
kunniallisempaa työläistä kuin tuo "vastahakoinen koira". Kaikkein
surullisempaa sanoi hän olevan, ettei Päärn ilman paikkaa voisi
mennä naimisiin, sillä nyt hänen piti pienessä mökkihökkelissä
itseänsä elättää. Näin viettivät morsian ja sulhanen surullista,
toivotonta elämää. — — Tohver ei jättänyt sitäkään kertomatta,
kuinka kupias oli tahtonut väliin tunkeutumalla rikkoa Miinan ja
Päärnun liittoa.

28. "Tuohan on koko romaani!" huudahti neiti Marchand lyöden
käsiään yhteen, kun kertoja oli lopettanut.
Tohver kyllä ei tiennyt, mitä 'romaani' sana merkitsi, mutta oli
kuitenkin tyytyväinen, kun kertomuksensa oli neitiin vaikuttanut. Sillä
tämä oli liikutetun näköinen ja hänen kauniissa, mustissa silmissään
ilmeni päättäväisyyttä ikäänkuin aikoisi hän jotakin tehdä. Sen hän
vihdoin sanoillaankin todisti:
"Minä en tiedä, kuinka paljon minun sanani paroniin vaikuttavat",
lausui neiti Marchand, "mutta minä tahdon hänen kanssaan sopivalla
hetkellä kaikista näistä asioista puhua. Minä pyydän paronia
muistamaan Miinaa ja Maien veljeä."
Tuo lupaus oli Maien ja Tohverin mielestä yhtä hyvä kuin voitto.
Maie oli niin hyvillään, että tahtoi suudella kouluneidin kättä, jota
tämä ei kuitenkaan sallinut. Kiitollisina lähtivät molemmat neiti
Marchandin huoneesta. —
Huolimatta suuresta väsymyksestä matkan jälkeen, ei hän
tahtonut sinä yönä paljon unta saada. Mitä piti hänen ajatella
kaikista noista hirveistä asioista, joita sinä iltana oli saanut kuulla?
Mikä mies oli Herbert Heidegg, kun hänen moisiossaan saattoi
tapahtua tuollaisia seikkoja? Sehän oli aivan kuin nyrkkivallan
aikoina. Ja tuo tapahtui miehen nähden — ei miehen tahdosta ja
luvalla, hänen, joka puhui vapaamielisyydestä ja lempeämmistä
uudistuksista, jonka oikeutta rakastava sydän ja selvempi näkökanta
ei voisi sallia vääryyttä ja väkivaltaa! — — — Hän ei ole vapaa —
sanoo Gottlieb Lustig — hän on vanhempain ja seurapiirin
vaikutuksen alainen. Olkoon. Mutta milloinka voi hän heidän
vaikutuksestaan vapautua, kun ei hän yritäkään sitä tehdä? Vai eikö
hän tahtonutkaan heidän vaikutuksestaan vapautua? — — — Hän ei

29. siis puhunut totta, kun hän sitä tuonaan vakuutti. — — — Herbert
Heidegg valehteli! — — —
Ahdistava, kiusallinen tuska teki Juliette Marchandin
rauhattomaksi, jotta hän vasta myöhään saattoi nukkua. —
Jo seuraavana päivänä oli hänellä hyvä tilaisuus puhua Herbertin
kanssa kahden kesken. Nuori paroni itse antoi hänelle siihen aihetta.
—
Vanha paroni puolisonsa ja vanhimman tyttärensä kanssa oli
puolisen jälkeen ajanut naapuriin kyläilemään. Juliette istui hieno
käsityö kädessä puutarhan puoleisella verannalla ja koetti haihduttaa
kiusallisia tunteitaan lukemisella. Samassa astui Herbert Heidegg
puutarhasta rappusille, pyyhki hikeä otsaltaan — hän tuli nähtävästi
pellolta — ja kääntyi kouluneidin puoleen kohteliaasti kysyen, saisiko
hän täällä levätä ja polttaa jonkun sikarin.
Neiti Marchand ei sitä vastustanut.
Herbert otti itselleen tuolin nurkasta ja istui lähelle Juliettea.
Äänetönnä sytytti hän sikarin ja katseli mietteissään alas
kevätihanuudessa kukoistavaan puutarhaan.
"No, kuinka teitä miellytti meidän vanha Tallinna, neiti Marchand?"
kysyi hän vihdoin puheen jatkoksi.
"Minä olin iloinen, kun kerran vielä sain nähdä merta", vastasi
neito.
"Te rakastatte merta?"

30. "Kovin. Se on niin avara, niin rajaton ja ääretön. Minä rakastan
vapautta, sentähden rakastan merta."
"Minä taas vainioita ja niittyjä, joita metsä ympäröi", nauroi
Herbert.
"Lainehtivat viljatasangot ovat minun mereni."
"Ovatko ne tänä vuonna hyvin menestyneet?"
"Koko lailla. Tietysti ne vastaisuudessa tulevat vielä
kukoistavimmiksi, kun rupean perusteellisemmin tekemään työtä.
Eilen sain ensimmäiset, uudenaikaiset työkalut — suoraan tilatut
Englannista."
"Taloudellisiin uudistuksiin olette siis jo ryhtyneet?"
"Olen, neiti. Asioiden pitää muuttua täällä moisiossa; minä tahdon
vapautua Aasian oloista. Teidän pitäisi parin, kolmen vuoden perästä
nähdä minun talouttani, minun peltojani ja niittyjäni!"
Juliettea ei tuo kehuminen miellyttänyt. Tuo iloinen ja itsetietoinen
puhetapa viilsi hänen sydäntään. Tuo mies on ryhtynyt uudistuksiin
ja parannuksiin, mutta ensiksi omassa taloudessaan! Toisia kohtaan,
joilla on suurempi hätä, ei hän vielä ole mitään tehnyt!
"Tietysti tulevat teidän vuokralaisenne pellot ja niityt myös
vastaisuudessa kauniimmin kukoistamaan", huomautti Juliette.
"Heillähän on nyt parempi aika pitää niistä huolta. He olivat
varmaankin teille hyvin kiitollisia huojennetuista työpäivistä?"
"Huojennuksia eivät ole vielä saaneet", vastasi Herbert, puhaltaen
tuuleen sikarin tuhkaa, joka oli hänen polvelleen pudonnut.

31. "Ei vielä? Eivätkös teidän talonpojat Yrjönpäivästä lähtien ole
saaneet huojennuksia?"
"Ei, se voi vasta tulevaisuudessa tapahtua. Uusi maanvuokralaki
säätää, että maat ovat mitattavat ja arvioitavat, ennenkun
huojennuksia voi panna toimeen."
"Onkos huojennusten antaminen ennen sitä kielletty?"
"Ei ole. Minä kyllä heti tahdoin noudattaa uusia asetuksia, mutta
minun täytyi myöntyä isän ja toisten vanhempien maanviljelijäin
mielipiteeseen, jotka siitä pelkäsivät koituvan vahinkoa. Eihän
viivykään kauvan, ennenkun talonpoikain huojennukset laillista tietä
toteutetaan."
"Olen kuullut, että talonpojat ovat rauhattomia ja vaativat heti
huojennuksia. Eivätkös teidänkin talonpojat ole ilmaisseet sellaisia
toiveita?"
"Ovat kyllä, mutta, paha kyllä, piti minun vastata heille, että minun
täytyy menetellä lain mukaan. Työpäiväin vähentyessä täytyisi
moision isäntien rahalla palkata päiväläisiä, pitää palvelijoita, ja
siihen eivät kaikki maanviljelijät vielä ole valmistuneet."
"Kaikki?" kysyi Juliette. "Pitääkö sitten kaikkien yhtaikaa olla siihen
valmiit? Minä arvelen, että jolla on varoja, hän voisi heti palkata
työläisiä. Ettekö te sitä saattaisi, herra paroni?"
"Minä kyllä, neiti, mutta yksityisen henkilön tulee myös katsoa
toisten etua, muuten tuotamme toisille vahinkoa. Jos yksi voi, ja
kaksi ei voi, niin hän tekee noille kahdelle vahinkoa. Mutta jos
enemmistö voisikin, niin jäisi yhä vielä vähemmistö, joka ei voi, ja

32. me olemme aikojen kuluessa oppineet vähemmistönkin etuja silmällä
pitämään. — — — Ajatelkaa, neiti Marchand, kuinka suurta
sekaannusta synnyttäisi, ja nyt jo on lain väärin tulkitsemisesta
syntynytkin, jos minä heti soisin huojennuksia, mutta minun
naapurini eivät sitä voisi. Talonpojat vaatisivat sitä kuitenkin väkisin,
ja siitä syntyisi kapina."
Yhä kovemmin alkoi Julietten sydän sykkiä. Tuo mies ajatteli kyllä
kiitettävällä tavalla naapuriensa etuja, mutta talonpoikain edut eivät
häntä paljon liikuttaneet, ikäänkuin ei sillä asialla olisi mitään
merkitystä, ikäänkuin ei talonpoika olisikaan moision isännän naapuri
ja lähimmäinen. Talonpoika voi odottaa ja kärsiä — hänestä ei ole
huolta, meidän etumme on pääasia! Tuo kova, loukkaava
katsantotapa ilmeni moision isännän puheissa ja kaikissa hänen
mielipiteissään. Se oli hänestä niin luonnollista, niin itsestään selvää,
että hän puhui siitä, kuin olisi kaikkein sen pitänyt hyväksyä ja
oikeana pitää.
Juliette ei tahtonut hänen kanssaan näistä asioista väitellä, hän
tahtoi vain tutkia hänen mielipiteitään ja luonnettaan. Sentähden
hän karttoi arvostelevaa vastausta ja kysyi ainoastaan:
"Eikö kukaan moision isäntä ole täyttänyt talonpoikain toiveita
työpäiväin vähentämiseen nähden?"
"On sitä tehty. Mutta nuo pari miestä, joista sitä on kuultu, katuvat
varmaankin jo hyvyyttään. He olivat varomattomia. He tekivät hyvää
omille talonpojilleen, mutta monelle moision alustalaiselle pahaa.
Meidän naapuripitäjään, Koselle on marssinut sotaväkeä, kun
talonpojat saatuaan kuulla, että orjuutta muutamissa moisioissa oli
vähennetty, sitä myöskin vaativat omilta herroiltaan eivätkä tulleet
työhön, kun heidän tahtoonsa ei suostuttu. Nuo ihmiset saavat nyt

33. kovan rangaistuksen. Haagioikeuden pitää heitä sotaväen avulla —
paha kyllä! — ruumiinrangaistuksella pakottaa lain noudattamiseen.
Tuo olisi varmaankin jäänyt tekemättä, jos eivät nuo pari moision
isäntää olisi niin kiirehtineet hyväntekeväisyyttään osottamaan. — —
—"
"Minun mieleeni johtuu, herra paroni, että te talvella lämpimästi
ajattelitte kansakoulukysymystä", lausui Juliette lyhyen
äänettömyyden jälkeen. "Teidän kuntaanne, ellen erehdy, piti heti
perustettaman kyläkoulu. Vieläkö sitä olette ajatellut?"
"Koulun perustaminen on oikeastaan kunnan oma asia", vastasi
Herbert, koputtaen hiukan hämillään kepillään saappaansa kärkeä.
"Mutta tietysti koetan tehdä kaikki, mitä voin edistääkseni ja
auttaakseni asiaa. Tähän asti ei minulla ole vielä ollut aikaa kysyä,
onko kunta tehnyt asiassa päätöstä. Nythän tuskin vielä on
kuukauttakaan kulunut uuden lain voimaan astumisesta."
"Ettekö te aikonut ryhtyä asian vireille herättämiseen ja johtoon?"
Herbert rupesi nauramaan.
"En todellakaan voisi itselleni toivoa parempaa omantunnon
muistuttajaa kuin te olette! Mutta te voitte olla varma siitä, neiti
Marchand, etten unhota päätöstäni. Teidän pitää kuitenkin antaa
minulle vähän miettimisen aikaa!"
"Ettehän ole pahoillanne, vaikka sekaannun asioihinne, herra
paroni?"
"Pahoillani teille? En!" vastasi nuori mies lämpimästi. "Te saatte
minua nuhdella niin paljon kuin haluatte. Minä olen onnellinen, kun

34. te ylipäätään minun kanssani keskustelette! Sitä onnea, Jumala
paratkoon, en usein saa nauttia."
"Lupaustanne tahdon nyt hyväkseni käyttää", lausui Juliette, mutta
ei leikillisesti, vaan hyvin totisesti. "Jos ei kaikki ole valhetta, mitä
tiedän, niin on teidän moisiossanne, herra paroni Heidegg, näinä
päivinä oikeutta vastaan paljon rikottu."
Herbert käänsi levottomat katseensa neitoon.
"Vai niin? Ja missä asiassa?"
"Te olette antanut viatonta ihmistä kovasti rangaista."
"Tuo ei ole oikein, neiti Marchand! Ketä te ajattelette?"
"Opman Winterin palvelustyttöä, Miinaa. Häntä on maanantai
aamuna moision tallissa armottomasti piesty."
"Mutta ei hän ollut syytön, armas neiti! Hän oli vasten isäntänsä
kieltoa laskenut yöllä miehiä luokseen, ja kun eräänä yönä mentiin
sellaista pois ajamaan, ei tyttö laskenut isäntää kyökkiin ja vastasi
hänelle röyhkeästi. Winterin täytyi väkisin avata ovi. Nyt karkasi
tytön seuralainen isännän kimppuun ja tyttö häntä siihen vielä yllytti.
Isäntä lyötiin tunnottomaksi ja piestiin maassa melkein vialliseksi.
Tuo oli suorastaan hengen vaarallista ja sellaista täytyy toki
rangaista!"
"Mistä te tiedätte, herra paroni, että kaikki niin tapahtui?"
"Isännöitsijä Winteriltä."
"Hän oli kantaja?"

35. "Niin."
"Mutta mitä vastaajat sanoivat?"
Herbert käänteli itseään rauhattomasti tuolilla.
"Sitä en tiedä."
"Kuinka? Te vain tiedätte mitä kantaja kertoi, mutta ei mitään siitä,
mitä syytetyillä on sanomista. Oliko tapaus todistajien kautta niin
varma?"
"Ei, todistajia ei ollutkaan. Mutta isännöitsijän onneton
ulkomuotokin todisti liian selvästi, mitä hänelle oli tapahtunut. Hänen
silmänsä olivat lyönneistä siniset ja koko ruumis niin pehmitetty, että
hän tuskin pääsi käymään."
"Kun ei näkijöitä ollut — mistä te sitten niin varmasti tiedätte, kuka
häntä ylipäätään pieksi?"
"Sen hän itse kertoi."
"Hän itse! Mutta jos ei hän puhunut totta?"
Herbert jäi katsomaan Juliettea, etsi sanoja, mutta vaikeni.
"Minä en ymmärrä teitä, neiti", virkkoi hän vihdoin. "Minkätähden
isännöitsijä Winter sitä olisi tullut valittamaan; kuka hänelle olisi
väkivaltaa tehnyt? Minkätähden olisi hän syyttänyt noita kahta eikä
sitä, joka hänen kimppuunsa karkasi?"
"Mutta jos hänellä siihen olisi ollut kyllin syytä? Sehän on
mahdollista. Mutta olkoon miten on, sitä en ole kuitenkaan
milloinkaan kuullut, että ainoastaan kantajan syyttämisen perusteella

36. rikollisia tuomitaan, ilman että heiltä itseltään mitään kysytään. Tuo
on — suokaa anteeksi — hieman yksipuolinen tuomitsemistapa ja
sentähden kohtuuton, väkivaltainen — — —."
Syvä puna muutti paronin kauniit kasvot tummiksi. Loukkasiko
häntä tuo oikea huomautus, vai hävettikö häntä? Mutta sittenkään ei
hän menettänyt mielenmalttiaan.
"Te voitte olla oikeassa, ettemme, isäni ja minä, ole huomanneet
oikein seurata lakitieteellisiä sääntöjä", hän vastasi. "Mutta se on
kuitenkin varma, ettemme itse asiassa ole päätöksessämme
erehtyneet."
"Mihin te perustatte varmuutenne?"
"Me tunnemme miehen, joka isännöitsijää ahdisti. Hän on jo
ennen osottanut intohimoista, väkivaltaista luonnetta, jota siitä
syystä jo ennenkin on rangaistu. Toiseksi tunnemme
talonpoikaisneitojen huonon tavan, että ottavat yöllä nuoria miehiä
luokseen."
"Mutta tunnetteko sitten isännöitsijä Winterin elintapoja?"
"Minä en tiedä mitään — olen täältä ollut kauvemmin aikaa poissa
— — —."
"Vai niin! Mitä sanotte sitten siitä, herra paroni, jos isännöitsijä
Winter itse halusi yöllä päästä tytön luo, mutta ei päässyt, kun tytölle
toinen oli rakkaampi ja kun tuo rakkaampi luulevaisuudesta tai tytön
suojelemisen halusta näytti isännälle tien takaisin omaan
huoneeseen?"
Herbert katseli suurin silmin puhujaa.

37. "Neiti Marchand, te tiedätte jotakin tuosta asiasta?" virkkoi hän
sitten.
"Niin tiedän", vastasi Juliette, "ainakin niin paljon, etten voi pitää
oikeana teidän tuomitsemistapaanne. Tiedän nimittäin, mitä
rikollisiksi tuomitut, syytteenalaiset tunnustavat."
"Ja mitä sitten?"
"Ei muuta kuin sen, että sulhanen suojeli morsiantaan
häpeämättömältä viettelijältä. Kun hän sen teki väkivaltaisesti, olisi
hän tietysti oikeuden edessä rikollinen, mutta inhimillisesti ajateltuna
pitää hänet vapauttaa. Minä luulen, että kuka mies hyvänsä hänen
sijassaan olisi tehnyt samoin. Mutta tyttö ei ole tehnyt mitään pahaa.
Hän on ollut kantajan koston ja teidän surkean tuomionne uhrina."
Tuskallisen levottomana katsoi nuori paroni neitoa.
"Niinkö ovat tyttö ja poika asian kertoneet?" hän kysyi.
"Niin."
Nyt kertoi Juliette tarkemmin Tohverilta saadut tietonsa. Hän
huomasi, että Herbert kuunteli hyvin tarkkaavasti. Kun hän oli
lopettanut, kysyi paroni:
"Mutta mistä te sitten tiedätte, että tytön ja pojan tunnustukset
ovat oikeat, vaan isännöitsijän valheelliset? Tässä on tunnustus
tunnustusta vastaan — todistajia ei ole, todenmukaisempi on, että
syytteenalaiset valehtelevat, kuin että isäntä sen tekee."
"Tunnetteko sitten kantajan siveellistä elämää, herra paroni?" kysyi
Juliette.

38. "Siveellistä elämää? Minä vain tiedän, että hän on kunnon
maanviljelijä ja pitemmän aikaa ollut isäni uskollinen palvelija."
"Voi olla. Mutta tiedättekö, kuinka hän kohtelee naisia, jotka ovat
hänen mielivaltansa alaisia?"
Herbert ajatteli.
"Jos oikein muistan, niin puhuttiin monta vuotta sitten, että
Winterille oli sattunut joku julkinen hairahdus. Mutta tarkemmin en
asiaa tunne."
"Te voitte helposti saada siitä selvää. Minulle vakuutettiin, että
kaikki ihmiset täällä tietävät, ettei isännöitsijä Winter ole mies, johon
naiset voisivat luottaa. Julkisia 'hairahduksia' on hänelle sattunut
useampiakin. — — — Sitä vastoin ei rangaistujen, syytteenalaisten
elämästä tiedetä mitään pahaa. Tyttö, jonka itse tunnen ja josta olen
kuullut toistenkin arvosteluja, ei elämässään ja käytöksessään ole
antanut epäluulolle minkäänmoista aihetta. Hän on jo monta vuotta
liikuttavalla uskollisuudella ja mielenlujuudella rakastanut miestä,
joka köyhyyden tähden tuskin koko elinkautenaan voi häntä
vaimokseen pyytää. Hänen uskollisuutensa on niin luja, että hän
erään toisen, hyvin itsepintaisen sulhasen, joka hänelle voisi tarjota
kaikkia, mitä tuollainen talon tyttö saattaa itselleen toivoa, miltei
väkivallalla luotaan torjui. Opmannin puhe siis, että tuo tyttö
miesten, monen miehen kanssa yöllä pitäisi seuraa, ei voi olla oikea.
Mutta tyttö ei ole niinkuin hän on vakuuttanut ja niinkuin hänestä
uskotaankin, omaa sulhastaankaan yöllä ottanut vastaan, vaikka
kyllä sellaiset seurustelut täällä maassa kuuluvat olevan tapana.
Mutta minun mielestäni on aivan mahdotonta, että tuo siisti, siveä
tyttö voisi yllyttää sulhastaan pieksemään omaa isäntäänsä. — — —
Nuoren miehen tavoista on myös kuultu pelkkää hyvää. Hän saattaa

39. tosin olla kiivas ja kovapintainen, mutta sellaisia hairahduksia kuin
opman Winterille, ei hänelle milloinkaan kuulu tapahtuneen. — — —
Ei siis huomaa mitään pätevää syytä, minkätähden opmannia
paremmin pitäisi uskoa kuin noita kahta. Mutta niinkuin jo sanoin, en
ensinkään ymmärrä teidän tuomiotanne, joka yksin perustuu
opmannin syytöksiin."
"Me olemme tottuneet uskomaan ylempiä ja sivistyneitä
palvelijoitamme enemmän kuin talonpoikia", vastasi Herbert hiljaa ja
nousi, kävellen alakuloisena pari kertaa edes takaisin. "Mutta on
mielestäni ikävää, jos isä ja minä tässä asiassa olemme erehtyneet
ja jos meidän tahdostamme on jollekin vääryyttä tehty. Voitte
varmasti luottaa siihen, neiti Marchand, että rupean perinpohjin
tutkimaan asiaa."
"Tiedättekö, herra paroni, kuinka suuren rangaistuksen molemmat
syynalaiset ovat saaneet?"
"Tytön piti saada kahdeksantoista vitsanlyöntiä; pojan rangaistus
jäi oikeusherran määrättäväksi. Minä en ole vielä muistanut kysyä,
kuinka suuri hänen rangaistuksensa oli."
"Kahdeksankymmentä kepinlyöntiä paljaalle iholle, herra paroni",
sanoi neiti Marchand tuskaisena ja hänen mustat silmänsä liekitsivät.
"Mies, vaikka kyllä vahva kuin jättiläinen, on siitä sairaana. Ja sairas
on tyttökin. — — — Uskallanko kysyä, herra paroni, oliko teidän
rangaistusmäärässänne mitään koventavaa lisäystä?"
"Ei."
"Kuka oli rangaistusta annettaessa peräänkatsojana?"

40. "Opman Winter."
"Itse kantaja?!"
"Niin."
Katkera hymy levisi ranskalaisen neidon tulipunaisille, hienoille
huulille. Tuo hymy nosti jälleen paronin poskille tummaa verta.
"Sitten myöskin ymmärrän, minkätähden lyöntien kerrottiin
nousseen kolmeenkymmeneen ja että onnettoman uhrin veristä ihoa
vielä silakan suolavedellä valettiin. Pitihän halpamielisen kaipaajan
täydellisesti kostaa."
"Mitä te puhutte! Silakan suolavedellä?"
"Ja te ette tiedä siitä mitään?"
"Minä kuulen siitä ensimmäisen kerran! Isäni ja minun käskystäni
se ei ole tapahtunut!"
"No sitten opitte tuosta työstä tuntemaan miehen luonnetta ja
tapoja, miehen, johon te niin luotitte, että hänestä kaipaajana teitte
syytteenalaisen rankaisijan. Minun täytyy sanoa, herra paroni, teidän
maassanne vallitsee omituinen oikeus! Tuollaista oikeuskäsitettä en
ole vielä missään tavannut!"
Herbert Heideggin huulet olivat lujasti yhteen sulkeutuneet,
kulmat rypyssä, kädet selän takana hän astui edes takaisin.
Tuskaiset tunteet näyttivät täyttävän hänen mielensä, kun hän asiaa
ajatteli. Vihdoin jäi hän kouluneidin eteen seisomaan ja sanoi:

41. "Jos tässä on erehdys tapahtunut — ja teidän selityksenne
kuultuani pelkään todellakin niin tapahtuneen — niin olen siitä hyvin
pahoillani ja luulen isänikin samoin olevan. Tahdon heti ottaa selvän
asiasta. Oikea syyllinen ei saa jäädä rankaisematta; mutta niille,
jotka syyttömästi ovat kärsineet, tahdon hyvällä mielellä maksaa
sovintoa. — — — Mutta teille, armas neiti, tahtoisin huomauttaa,
että te liian ankarasti olette minua tuominneet. Ettekö huomaa, että
minun erehdykseni — jos se on sellainen — on ainakin anteeksi
annettava. Ajatelkaa itse: isäni pitkäaikainen, uskollinen ja
luottamusta ansaitseva palvelija, moision isännöitsijä, moision
poliisin sijainen tulee ja nostaa kanteen uskottavalla ja varmalla
tavalla; syytös on isäni ja minun mielestäni täydellisesti
todenmukainen; liiottelua ja valhetta ei voi missään huomata, ja
kantajan ulkomuotokin todistaa hänen sanojensa todenmukaisuutta.
Me emme ensinkään voi epäillä, ettei asia ole niin tapahtunut kuin
sitä kerrotaan. Mikä ihme siis, että me uskomme kaikki, pidämme
kanteenalaisten kuulustamisen tarpeettomana ja kiihottuneina
määräämme syyllisille rangaistuksen?"
"Teidän erehdyksenne saattaa tällä kertaa olla anteeksiannettava",
vastasi Juliette. "Mutta anteeksiannettava ei ole teidän
tuomitsemistapanne, jota sanotte tavalliseksi. Te sanoitte uskovanne
ylempiä, sivistyneitä palvelijoitanne enemmän kuin talonpoikia.
Tahtoisin saada tietää, minkätähden? Minkätähden luulette
työmiehen ja palvelustytön olevan alemmalla siveellisellä kannalla
kuin opmannin, kamarineitsyen tai kouluneidin? Yleensähän
sivistymättömissä maalaisihmisissä löytyy vähemmän rikollisia kuin
niin sanotuissa sivistyneissä piireissä."
"Meidän maassamme ajatellaan asiasta toisin, ankara tuomarini",
vastasi Herbert, "ja varmaankin on meillä siihen omat syymme."

42. Meillä talonpojat eivät ole ensinkään niin viattomia kuin toivoisimme.
Siitä voisin teille luetella paljon esimerkkejä, mutta mainitsen vain
yhden. Meidän talonpoikain siveellistä tunnetta ei loukkaa se, että he
kaikin mahdollisin keinoin koettavat puuttua moision omaisuuteen.
Talonpoika varastaa hyvällä omallatunnolla tavaraa, jos hänellä
siihen on vähänkin tilaisuutta. Hän varastaa riihestä viljaa, pellolta
perunoita, puutarhasta hedelmiä, niityltä heiniä, metsästä puita, ja
kun hän viinaa lähtee kaupunkiin viemään, niin kaivaa hän uuteen,
ehjään tynnyriin reijän ja varastaa väkijuomia. Nuo kaikki ovat meillä
tavallisia, jokapäiväisiä asioita.
"Tiedättekö, armas ystävä — minä en ensinkään ihmettele tuota
surkeata asiain tilaa", vastasi Juliette Marchand. "Minun mielestäni
näyttää kuin olisivat moision isännät ja talonpojat teidän maassanne
alituisessa sodassa, jossa talonpoikain puoli on paljon heikompi ja
jotka sentähden eivät voi sodankäynnissään valita parhaimpia
keinoja. Talonpoika huomaa tietysti, että moision isäntä häneltä
ottaa kaikki — minkätähden ei talonpoikakin saisi viholliseltaan ottaa
jotakin sotasaaliikseen? Onhan saaliin ottaminen sodassa luvallista —
ja tavallista! — — — Sehän ei muuta asiaa, että moision isännällä on
laillinen valta riistää itselleen talonpoikain elintarpeita, mutta
talonpojalla ei ole sitä valtaa vastustajaansa kohtaan. Talonpoika
ymmärtää, että tuo valta on kohtuuton, hän ei pidä oikeana, että
hänen täytyy paljon rikkaammalle moision isännälle uhrata
työkykynsä ja varansa, mutta että hän ei voi häneltä mitään ottaa.
Ja kun talonpoika sitä ei pidä oikeana, ottaa hän rauhallisella
tunnolla moision isännältä jotakin — varsinkin kun huomaa isännän
siitä huolimatta pysyvän yhtä rikkaana, mutta hän itse aina
köyhänä."

43. Paroni Heidegg varmaankin jo katui, että oli antanut Juliettelle niin
suuren arvosteluoikeuden. Hän ei juuri näyttänyt olevan
parhaimmassa mielentilassa. Mutta hän ei hennonut vastata neidolle
loukkaavasti ja koetti sentähden leikillä kääntää puheen toiseen
suuntaan.
"Jos te osaisitte meidän talonpoikain kieltä, kallis ystävä", virkkoi
hän, "niin luulen, että te astuisitte heidän joukkoonsa ja kiihottaisitte
heitä ilmi sotaan poloisia moision isäntiä vastaan. Aikahan olisi siihen
varsin suotuisa. Rauhaton kiihkohan jo on alkanut. Puhetaitoista,
innostunutta ja toimekasta johtajaa vain puuttuu. — — —"
Mutta tuo leikkipuhe ei varmaankaan miellyttänyt Juliettea, sillä
hän ei siihen kiinnittänyt huomiotaan, vaan alkoi uudestaan ahdistaa
ystäväänsä. — — —
"Jos oikein muistan, niin aijoitte, herra paroni, omassa
moisiossanne rajottaa ruumiinrangaistusta ja lopullisesti sen
kokonaan poistaa. Mutta isännöitsijän palvelustytön rankaiseminen ei
osota, että olette ryhtynyt päätöstänne toteuttamaan."
Herbert istuutui jälleen vastapäätä neitoa ja katseli häntä suoraan
silmiin.
"Minä en puolustanut tuota rangaistusta, neiti Marchand", lausui
hän. "Kaikki tunteeni sitä vastustivat, varsinkin sentähden, että
rangaistava oli nainen. Mutta minun täytyi myöntyä isäni tahtoon,
joka vaati sellaista rangaistusta."
"Teidän täytyi?" kysyi Juliette.

44. "Niin. — — — Me olemme tottuneet kuulemaan vanhempaimme
sanaa ja ottamaan huomioon heidän neuvojaan. Meidän
ymmärtääksemme se on lasten velvollisuus vanhempia kohtaan.
Meitä on niin kasvatettu ja opetettu, ja sitä vaatii meidän
siveysoppimme."
"Ei mikään siveysoppi vaadi, että lasten pitää vasten
omaatuntoaan noudattaa vanhempain mieltä. Silloinhan pitäisi
lapsen vanhempain käskystä myöskin varastaman."
"Tuo vastaus ei minun mielestäni pidä paikkaansa, neiti
Marchand", vastasi nuori paroni hieman kärsimättömästi. "Minä
tarkotin vain, että isäni on minua paljon vanhempi, että hänellä on
enemmän kokemusta kuin minulla, että hän paljon paremmin tuntee
ihmiset ja olot kuin minä; sentähden pidin velvollisuutenani myöntyä
hänen tahtoonsa ja kuulla hänen neuvoansa."
"Ja tuo neuvo oli."
"Hän luuli, että pehmeys niin suureen rikokseen nähden olisi
suorastaan vahingoksi. — — — Tytön rankaiseminen moisiossa oli
oikeastaan huojennusta. Jos olisimme lähettäneet Miinan
haagioikeuteen, olisi hän kaikissa tapauksissa siellä saanut
ruumiinrangaistusta ja tietysti paljon kovempaa."
Juliette huokasi. Joka puolella kohosivat hänen mielestään
keskiaikaiset, vahvat ja korkeat väkivallan muurit. Alemman säädyn
ihmisiä varten ei ollut olemassakaan muuta kuritusta kuin
ruumiinrangaistus — kepeillä ja vitsoilla opetettiin kansalle hyveitä ja
siveysoppia, samoin rangaistiin myös rikoksia. Ja tuo nuori, oikeisiin
mielipiteisiin tottunut mies, oli niin täydellisesti noiden olojen
vaikutuksen alaisena, että hän kätki paremmat tunteensa ja aikeensa

45. Welcome to our website – the ideal destination for book lovers and
knowledge seekers. With a mission to inspire endlessly, we offer a
vast collection of books, ranging from classic literary works to
specialized publications, self-development books, and children's
literature. Each book is a new journey of discovery, expanding
knowledge and enriching the soul of the reade
Our website is not just a platform for buying books, but a bridge
connecting readers to the timeless values of culture and wisdom. With
an elegant, user-friendly interface and an intelligent search system,
we are committed to providing a quick and convenient shopping
experience. Additionally, our special promotions and home delivery
services ensure that you save time and fully enjoy the joy of reading.
Let us accompany you on the journey of exploring knowledge and
personal growth!
ebookultra.com