設定一對一用戶端憑證對應

發行項
07/19/2023

背景

IIS 6 具有使用者介面，可設定一個憑證並對應至一個憑證以進行驗證。它允許使用者選取驗證用戶端憑證，並指派授權的使用者認證。 IIS 7 和更新版本中沒有類似的 UI。本逐步解說旨在指示使用者使用系統管理元件的組態編輯器設定一對一用戶端憑證。沒有此附加元件的使用者可以檢視 AppCmd 引數和 C# 程式碼範例的附錄一節，以執行本逐步解說。

IIS 7 和更新版本架構

這是 IIS 7 和更新版本中 IIS 用戶端憑證對應驗證功能的架構。

<sectionSchema name="system.webServer/security/authentication/iisClientCertificateMappingAuthentication">
  <attribute name="enabled" type="bool" defaultValue="false" />
  <attribute name="oneToOneCertificateMappingsEnabled" type="bool" defaultValue="true" />
  <element name="oneToOneMappings">
    <collection addElement="add" clearElement="clear">
      <attribute name="enabled" type="bool" defaultValue="true" />
      <attribute name="userName" type="string" />
      <attribute name="password" type="string" encrypted="true" />
      <attribute name="certificate" type="string" required="true" isUniqueKey="true" />
    </collection>
  </element>
</sectionSchema>

必要條件

這些是本逐步解說所需的必要條件。我不會涵蓋如何建立或執行這些動作。

已安裝的 IIS 用戶端憑證對應模組
已正確設定 HTTPS 系結的網站
Base-64 憑證 (.cer 檔案) 。 [注意： 這可以是任何有效的 64 位憑證，但必須是檔案格式]
在用戶端上安裝用戶端憑證
安裝 IIS 7 系統管理元件 Technical Preview 2

步驟 1：取得憑證 Blob

oneToOneMappings 集合專案具有稱為憑證的屬性。這個屬性的必要值不是憑證，而是實際的憑證 Blob。以下是您擷取它的方式。

以滑鼠右鍵按一下 .cer 檔案。
在操作功能表中選取[開啟方式...]。
從 [其他程式] 清單中選取 [記事本]，然後按一下 [確定]。 [注意：記事本可能會隱藏在 Vista/Windows 2008 清單檢視的下拉式清單底下]

這是應該在記事本中顯示的內容：

移除 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----
將憑證 Blob 格式化為單行。
將此檔案儲存為 clientCertBlob.txt

步驟 2：啟用 IIS 用戶端憑證對應驗證，以及網站一對一憑證對應

後續步驟將說明如何啟用用戶端憑證對應驗證功能：一對一憑證對應，並新增對應專案。

啟動 Inetmgr，IIS 管理員 UI
選取正在設定的 SSL 網站，然後開啟 [ 組態編輯器]
在 [區段] 下拉式方塊中輸入「system.webServer/security/authentication/iisClientCertificateMappingAuthentication」。
選取 啟用的 欄位，並將值變更為 true
選取 oneToOneCertificateMappingsEnabled 屬性方格專案，並將值變更為 true
選取oneToOneMappings屬性方格專案，然後按一下 [動作工作窗格] 中的[編輯專案...]
按一下[集合編輯器]工作清單中的 [新增]
複製上述單一字串憑證 Blob，並將其貼到憑證欄位中
設定用戶端將驗證為的 userName 和密碼。
將啟用的欄位設定為 true
關閉 集合編輯器
按一下 [動作] 工作窗格中的 [注意：按一下 [腳本產生]，再按一下 [套用] 以取得此程式的腳本]

完成之後，伺服器會設定為使用單一對一憑證對應專案來處理 IIS 用戶端憑證對應驗證。

步驟 3：使用 SSL 為網站啟用用戶端憑證驗證

建立對應並啟用此功能之後，必須設定月臺以使用用戶端憑證。

從 Inetmgr 的 IIS 管理員 UI 中，選取您想要使用用戶端憑證的 SSL 網站
選取 SSL UI 模組
在 [用戶端憑證]底下： 選取 [ 接受 ] 選項按鈕
按一下 [動作] 工作窗格中的 [ 套用 ]

現在網站已設定為根據用戶端憑證接受和驗證用戶端。

步驟 4：確認其全部運作

嘗試存取 SSL 網頁的用戶端需要正確安裝用戶端憑證。如果用戶端嘗試要求沒有憑證的頁面，將會提供 401。正確安裝用戶端憑證之後，頁面就會正常運作。

使用不同的授權規則組合，以符合您的需求。

總結

您現在已設定 IIS 用戶端憑證對應，以及單一對一憑證對應。

附錄

以下是執行逐步解說步驟 2 和 3 的程式碼片段。所有專案都是使用組態編輯器的腳本產生來產生。

AppCmd 特定指示

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/iisClientCertificateMappingAuthentication 
    /enabled:"True" /oneToOneCertificateMappingsEnabled:"True"  /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/iisClientCertificateMappingAuthentication 
    /+"oneToOneMappings.[userName='testUser',password='securePassWord!1',certificate='CERTIFICATE_BLOB']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/access /sslFlags:"Ssl, SslNegotiateCert, Ssl128"  /commit:apphost

C# 程式碼：

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample {

    private static void Main() {
        
        using(ServerManager serverManager = new ServerManager()) { 
            Configuration config = serverManager.GetApplicationHostConfiguration();
            
            ConfigurationSection iisClientCertificateMappingAuthenticationSection = 
                    config.GetSection("system.webServer/security/authentication/iisClientCertificateMappingAuthentication", "Default Web Site");
            iisClientCertificateMappingAuthenticationSection["enabled"] = true;
            iisClientCertificateMappingAuthenticationSection["oneToOneCertificateMappingsEnabled"] = true;
            
            ConfigurationElementCollection oneToOneMappingsCollection = 
                     iisClientCertificateMappingAuthenticationSection.GetCollection("oneToOneMappings");
            
            ConfigurationElement addElement = oneToOneMappingsCollection.CreateElement("add");
            addElement["userName"] = @"testUser";
            addElement["password"] = @"securePassWord!1";
            addElement["certificate"] = @"CERTIFICATE_BLOB";
            oneToOneMappingsCollection.Add(addElement);
            
            serverManager.CommitChanges();
        }
    }
}

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample {

    private static void Main() {
        
        using(ServerManager serverManager = new ServerManager()) { 
            Configuration config = serverManager.GetApplicationHostConfiguration();
            
            ConfigurationSection accessSection = config.GetSection("system.webServer/security/access", "Default Web Site");
            accessSection["sslFlags"] = @"Ssl, SslNegotiateCert, Ssl128";
            
            serverManager.CommitChanges();
        }
    }
}