Настройка сопоставлений сертификатов клиента "один к одному"

Основные сведения

В IIS 6 был пользовательский интерфейс для настройки и сопоставления одного с одним сертификатом для проверки подлинности. Он позволил пользователям выбрать сертификат клиента проверки и назначить авторизованные учетные данные пользователя. В IIS 7 и более поздних версиях нет аналогичного пользовательского интерфейса. Это пошаговое руководство предназначено для указания пользователям настроить один на один клиентский сертификат с помощью редактора конфигурации пакета администрирования. Пользователи, у которых нет этой надстройки, могут просмотреть раздел приложения, чтобы ознакомиться с аргументами AppCmd и примерами кода C#, необходимых для выполнения этого пошагового руководства.

Схема IIS 7 и выше

Это схема функции проверки подлинности сопоставления сертификатов клиента IIS в IIS 7 и более поздних версиях.

<sectionSchema name="system.webServer/security/authentication/iisClientCertificateMappingAuthentication">
  <attribute name="enabled" type="bool" defaultValue="false" />
  <attribute name="oneToOneCertificateMappingsEnabled" type="bool" defaultValue="true" />
  <element name="oneToOneMappings">
    <collection addElement="add" clearElement="clear">
      <attribute name="enabled" type="bool" defaultValue="true" />
      <attribute name="userName" type="string" />
      <attribute name="password" type="string" encrypted="true" />
      <attribute name="certificate" type="string" required="true" isUniqueKey="true" />
    </collection>
  </element>
</sectionSchema>

Необходимые условия

Это необходимые условия для этого пошагового руководства. Я не буду охватывать, как создавать или делать эти вещи.

Установленный модуль сопоставления сертификатов клиента IIS
Правильно сконфигурированный веб-сайт с привязкой HTTPS.
Сертификат Base-64 (файл .cer). [Примечание. Это может быть любой допустимый 64-разрядный сертификат, но он должен быть в виде файла]
Установлен клиентский сертификат на устройстве клиента
Установка пакета администрирования IIS 7 Technical Preview 2

Шаг 1. Получение BLOB сертификата

Элемент коллекции oneToOneMappings имеет атрибут, называемый сертификатом. Необходимое значение для этого атрибута — это не то, что содержит сертификат, а фактический BLOB-объект сертификата. Вот как вы извлекаете его.

Щелкните правой кнопкой мыши на файл .cer.
Выберите "Открыть с помощью... в контекстном меню"
Выберите Блокнот из списка "Другие программы" и нажмите кнопку "ОК". Примечание. Блокнот может быть скрыт под выпадающим меню в представлении списка Vista/Windows 2008

Это то, что должно отображаться в блокноте:

Удалите -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----
Отформатируйте бинарный объект сертификата, чтобы он был одной строкой.
Сохраните этот файл как clientCertBlob.txt

Шаг 2: Включение проверки подлинности сопоставления клиентских сертификатов IIS и сопоставления сертификатов один-к-одному для веб-сайта

Следующие действия помогут включить функцию аутентификации с использованием сопоставления клиентских сертификатов, сопоставление сертификатов 'один-к-одному', а также добавить запись для сопоставления.

Запуск Inetmgr, пользовательский интерфейс диспетчера IIS
Выберите настраиваемый веб-сайт SSL и откройте редактор конфигурации
Введите "system.webServer/security/authentication/iisClientCertificateMappingAuthentication" в раскрывающемся списке Раздел.
Выберите поле включено и измените значение на true
Выберите запись сетки свойств oneToOneCertificateMappingsEnabled и измените значение на true
Выберите элемент сетки параметров oneToOneMappings и нажмите "Изменить элементы..." в панели задач "Действия".
Щелкните "Добавить" в списке задач редактора коллекций
Скопируйте строку с данными сертификата из приведенного выше текста и вставьте её в поле certificate.
Задайте имя пользователя и пароль, под которыми клиенты будут проходить аутентификацию.
Установите для поля enabled значение true.
Закрыть редактор коллекции
Нажмите кнопку "Применить" в области задач "Действия" [Примечание. Нажмите кнопку "Создать скрипт " перед нажатием кнопки "Применить ", чтобы получить скрипты для этого процесса]

После завершения сервер будет настроен на обработку аутентификации с сопоставлением сертификатов клиента IIS с одной записью однозначного соответствия сертификатов.

Шаг 3. Включение проверки подлинности сертификата клиента для веб-сайта с помощью SSL

После создания сопоставления и включения функции сайт должен быть настроен для использования сертификатов клиента.

Из Inetmgr, UI диспетчера IIS, выберите SSL веб-сайт для использования клиентских сертификатов.
Выбор модуля пользовательского интерфейса SSL
В разделе "Сертификаты клиента" выберите переключатель "Принять"
Нажмите кнопку "Применить" в области задач "Действия"

Теперь веб-сайт настроен для принятия и проверки подлинности клиентов на основе сертификатов клиентов.

Шаг 4. Убедитесь, что всё работает

Клиент, который пытается получить доступ к веб-странице SSL, должен правильно установить сертификат клиента. Если клиент пытается запросить страницу без сертификата, будет возвращён код 401. После правильного установки сертификата клиента страница будет использоваться как обычная.

Играйте с различными сочетаниями правил авторизации в соответствии с вашими потребностями.

Сводка

Теперь вы настроили сопоставления сертификатов клиента IIS и одно однозначное сопоставление сертификатов.

Приложение

Это фрагменты кода для выполнения пошагового руководства 2 и 3. Все это было создано с помощью создания скриптов редактора конфигурации.

Конкретные инструкции AppCmd

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/iisClientCertificateMappingAuthentication 
    /enabled:"True" /oneToOneCertificateMappingsEnabled:"True"  /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/iisClientCertificateMappingAuthentication 
    /+"oneToOneMappings.[userName='testUser',password='securePassWord!1',certificate='CERTIFICATE_BLOB']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/access /sslFlags:"Ssl, SslNegotiateCert, Ssl128"  /commit:apphost

Код C#:

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample {

    private static void Main() {
        
        using(ServerManager serverManager = new ServerManager()) { 
            Configuration config = serverManager.GetApplicationHostConfiguration();
            
            ConfigurationSection iisClientCertificateMappingAuthenticationSection = 
                    config.GetSection("system.webServer/security/authentication/iisClientCertificateMappingAuthentication", "Default Web Site");
            iisClientCertificateMappingAuthenticationSection["enabled"] = true;
            iisClientCertificateMappingAuthenticationSection["oneToOneCertificateMappingsEnabled"] = true;
            
            ConfigurationElementCollection oneToOneMappingsCollection = 
                     iisClientCertificateMappingAuthenticationSection.GetCollection("oneToOneMappings");
            
            ConfigurationElement addElement = oneToOneMappingsCollection.CreateElement("add");
            addElement["userName"] = @"testUser";
            addElement["password"] = @"securePassWord!1";
            addElement["certificate"] = @"CERTIFICATE_BLOB";
            oneToOneMappingsCollection.Add(addElement);
            
            serverManager.CommitChanges();
        }
    }
}

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample {

    private static void Main() {
        
        using(ServerManager serverManager = new ServerManager()) { 
            Configuration config = serverManager.GetApplicationHostConfiguration();
            
            ConfigurationSection accessSection = config.GetSection("system.webServer/security/access", "Default Web Site");
            accessSection["sslFlags"] = @"Ssl, SslNegotiateCert, Ssl128";
            
            serverManager.CommitChanges();
        }
    }
}

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2026-03-28