Configuration de mappages de certificats client un-à-un

Article
03/11/2024

Background

IIS 6 comprenait une interface utilisateur pour configurer et mapper des certificats un-à-un pour l’authentification. Les utilisateurs pouvaient sélectionner le certificat client de validation et attribuer les informations d’identification de l’utilisateur autorisé. Il n’existe pas d’interface utilisateur similaire dans IIS 7 et versions ultérieures. Dans cette procédure pas à pas, les utilisateurs sont invités à configurer des certificats clients un-à-un à l’aide de l’Éditeur de configuration du Pack d’administration. Les utilisateurs qui ne disposent pas de ce module complémentaire peuvent se reporter à la section Annexe où ils trouveront des arguments AppCmd et des exemples de code C# pour effectuer cette procédure pas à pas.

Schéma IIS 7 et versions ultérieures

Il s’agit du schéma de la fonctionnalité Authentification par mappage de certificat client IIS dans IIS 7 et versions ultérieures.

<sectionSchema name="system.webServer/security/authentication/iisClientCertificateMappingAuthentication">
  <attribute name="enabled" type="bool" defaultValue="false" />
  <attribute name="oneToOneCertificateMappingsEnabled" type="bool" defaultValue="true" />
  <element name="oneToOneMappings">
    <collection addElement="add" clearElement="clear">
      <attribute name="enabled" type="bool" defaultValue="true" />
      <attribute name="userName" type="string" />
      <attribute name="password" type="string" encrypted="true" />
      <attribute name="certificate" type="string" required="true" isUniqueKey="true" />
    </collection>
  </element>
</sectionSchema>

Prérequis

Voici les prérequis de cette procédure pas à pas. Notez que je n’explique pas comment les créer ou les mettre en place.

Module de mappage de certificat client IIS installé
Un site web avec une liaison HTTPS, correctement configuré
Un certificat codé en base 64 (fichier .cer). [Remarque : vous pouvez utiliser n’importe quel certificat 64 bits valide, mais il doit se présenter sous forme d’un fichier.]
Un certificat client installé sur un client
Pack d’administration IIS 7 Technical Preview 2 installé

Étape 1 : obtention de l’objet blob de certificat

L’élément de collection oneToOneMappings possède un attribut appelé certificate. La valeur requise pour cet attribut n’est pas le certificat, mais l’objet blob du certificat. Voici comment l’extraire.

Cliquez avec le bouton droit sur votre fichier .cer.
Sélectionnez Ouvrir avec... dans le menu contextuel.
Sélectionnez le Bloc-notes dans la liste Autres programmes, puis cliquez sur OK. [Remarque : il est possible que le Bloc-notes soit masqué sous une liste déroulante dans le mode Liste Vista/Windows 2008.]

Voici le contenu que vous devriez voir dans le Bloc-notes :

Supprimez-----BEGIN CERTIFICATE----- et -----END CERTIFICATE----.
Mettez en forme l’objet blob de certificat sur une seule ligne.
Enregistrez ce fichier sous clientCertBlob.txt.

Étape 2 : activation de l’authentification par mappage de certificat client IIS et du mappage de certificat un-à-un pour un site web

Les étapes suivantes expliquent comment activer la fonctionnalité d’authentification par mappage de certificat client, activer le mappage de certificat un-à-un et ajouter une entrée de mappage.

Démarrez Inetmgr, l’interface utilisateur du Gestionnaire IIS.
Sélectionnez le site web SSL en cours de configuration et ouvrez l’Éditeur de configuration.
Tapez « system.webServer/security/authentication/iisClientCertificateMappingAuthentication » dans la liste déroulante Section.
Sélectionnez le champ enabled et remplacez la valeur par true.
Sélectionnez l’entrée de grille de propriétés oneToOneCertificateMappingsEnabled, puis remplacez la valeur par true.
Sélectionnez l’entrée de grille de propriétés oneToOneMappings, puis cliquez sur Modifier les éléments... dans le volet des tâches Actions.
Cliquez sur Ajouter dans la liste des tâches de l’Éditeur de collections.
Copiez l’objet blob de certificat à chaîne unique ci-dessus et collez-le dans le champ certificate.
Définissez le nom d’utilisateur (userName) et le mot de passe (password) avec lesquels les clients seront authentifiés.
Définissez le champ enabled sur true.
Fermez l’Éditeur de collections.
Cliquez sur Appliquer dans le volet des tâches Actions. [Remarque : cliquez sur Génération de script avant de cliquer sur Appliquer pour obtenir des scripts pour ce processus.]

Une fois cette procédure terminée, le serveur est configuré pour gérer l’authentification par mappage de certificat client IIS avec une seule entrée de mappage de certificat un-à-un.

Étape 3 : activation de l’authentification par certificat client pour un site web avec SSL

Après avoir créé un mappage et activé la fonctionnalité, vous devez configurer un site pour utiliser des certificats clients.

Dans Inetmgr, l’interface utilisateur du Gestionnaire IIS, sélectionnez le site web SSL pour lequel vous souhaitez utiliser des certificats clients.
Sélectionnez le module d’interface utilisateur SSL.
Sous Certificats clients sélectionnez la case d’option Accepter.
Cliquez sur Appliquer dans le volet des tâches Actions.

Le site web est maintenant configuré pour accepter et authentifier les clients en fonction de certificats clients.

Étape 4 : vérification du bon fonctionnement de l’ensemble

Le client qui tente d’accéder à la page web SSL doit avoir correctement installé le certificat client. Si un client tente de demander une page sans le certificat, une erreur 401 est générée. Une fois le certificat client correctement installé, la page s’affiche normalement.

Essayez différentes combinaisons de règles d’autorisation pour répondre à vos besoins.

Résumé

Vous venez de configurer des mappages de certificats clients IIS et un mappage de certificat un-à-un.

Annexe

Ces extraits de code permettent d’effectuer les étapes 2 et 3 de la procédure pas à pas. Tout ceci a été généré à l’aide de la fonctionnalité Génération de script de l’Éditeur de configuration.

Instructions propres à AppCmd

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/iisClientCertificateMappingAuthentication 
    /enabled:"True" /oneToOneCertificateMappingsEnabled:"True"  /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/iisClientCertificateMappingAuthentication 
    /+"oneToOneMappings.[userName='testUser',password='securePassWord!1',certificate='CERTIFICATE_BLOB']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/access /sslFlags:"Ssl, SslNegotiateCert, Ssl128"  /commit:apphost

Code C# :

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample {

    private static void Main() {
        
        using(ServerManager serverManager = new ServerManager()) { 
            Configuration config = serverManager.GetApplicationHostConfiguration();
            
            ConfigurationSection iisClientCertificateMappingAuthenticationSection = 
                    config.GetSection("system.webServer/security/authentication/iisClientCertificateMappingAuthentication", "Default Web Site");
            iisClientCertificateMappingAuthenticationSection["enabled"] = true;
            iisClientCertificateMappingAuthenticationSection["oneToOneCertificateMappingsEnabled"] = true;
            
            ConfigurationElementCollection oneToOneMappingsCollection = 
                     iisClientCertificateMappingAuthenticationSection.GetCollection("oneToOneMappings");
            
            ConfigurationElement addElement = oneToOneMappingsCollection.CreateElement("add");
            addElement["userName"] = @"testUser";
            addElement["password"] = @"securePassWord!1";
            addElement["certificate"] = @"CERTIFICATE_BLOB";
            oneToOneMappingsCollection.Add(addElement);
            
            serverManager.CommitChanges();
        }
    }
}

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample {

    private static void Main() {
        
        using(ServerManager serverManager = new ServerManager()) { 
            Configuration config = serverManager.GetApplicationHostConfiguration();
            
            ConfigurationSection accessSection = config.GetSection("system.webServer/security/access", "Default Web Site");
            accessSection["sslFlags"] = @"Ssl, SslNegotiateCert, Ssl128";
            
            serverManager.CommitChanges();
        }
    }
}