Конфигурирование IIS ARR для клиентской аутентификации сертификата бэкенда
Мне настроили сервер IIS с ARR для инвертирования запросов прокси к серверу бэкэнда. Сервер бэкэнда требует клиентской аутентификации сертификата, однако, это только должно аутентифицировать обратный прокси (не конечный пользователь).
Аутентификация конечного пользователя передается в содержании запроса и не является проблематичной частью.
End User -->-- IIS with ARR -->(mutual SSL)>-- Backend web server
Как каждый настраивает клиентский сертификат в IIS или ARR?
При поиске вокруг, я часто нахожу вопросы и потоки связанными с передачей клиентского сертификата с конечного пользователя на сервер бэкэнда, и это не возможно. Далее, они обычно указывают для выключения клиентской аутентификации сертификата на сервере бэкэнда, но это должно остаться на.
Вот некоторые вопросы, которые я нашел, но они все связывают конечному пользователю клиентский сертификат:
Скорее всего, Microsoft ARR использует CAPI для хранения своих сертификатов, но нет гарантии, что ARR будет использовать его, даже если вы сделаете сертификат доступным для него. Аутентификация на стороне клиента требует дополнительного кода, и ваши требования не так распространены. Его можно было упустить из виду и оставить позади ...
Чтобы сделать ваш клиентский сертификат доступным для службы, вы должны отредактировать его "МОЕ" хранилище CAPI. Запустите mmc.exe из командной строки с повышенными привилегиями и добавьте оснастку сертификата. Вам нужно будет выбрать, какое хранилище CAPI использовать. Выберите магазин компьютера. Импортируйте свой сертификат в «Личные сертификаты», убедившись, что вы импортировали с ним закрытый ключ (это будет сказано, когда вы вернетесь и просмотрите импортированный сертификат).
Если добавить сертификат в компьютерное хранилище не удается, попробуйте сервисный магазин. Это потребуется, если ARR работает с собственным идентификатором.
У меня также была проблема с AD-LDS, когда у службы не было доступа на чтение к закрытому ключу. Эта статья была полезной, но, возможно, она слишком далека от ARR. Найдите на этой странице особый случай ADAM, вы ищете команду
Certutil –V –Verifystore MY 0