如何使用客户端证书访问网站

Question

我在IIS上托管了网站。我的主要问题是我只希望安装了特定证书的用户能够访问该站点。我尝试按照一些教程，但我找不到任何覆盖服务器和客户端的人，因为我无法让它工作。

我对主要问题有一些疑问：

• 我应该使用哪种证书（IIS 7.5中的域/自签名）？我可以访问Active Directory证书服务，在那里我可以创建其他类型的证书（CA），但问题是在尝试将它们导入我的IIS时（“证书不能用作ssl服务器证书”）

• 我想使用CA证书，但使用IIS时是否可以？或者，如果用户拥有正确的证书，我是否需要编写所有代码？

• 为网站创建证书时（例如，通过IIS）..如何创建服务器证书信任的用户证书？

你现在可能已经注意到我不知道如何做到这一切，并且真的想要一些帮助。

Answer 1

1. 服务器应使用SSL服务器证书。此证书必须在ng-options中具有Server Authentication扩展名。服务器证书应具有Extended key usage扩展名（使用者替代名称），域名为服务器作为DNS名称（即somesite.com）
2. 必须将CA证书导入服务器和客户端计算机上的受信任的根存储（最好是本地计算机）。
3. 客户端证书应在SAN中包含Client Authentication个扩展名。

所有EndEntity（客户端和服务器）证书中都应包含Extended key usage，其中包含CA颁发的CRL的URL。客户端和服务器都必须可以访问CRL，并且应始终有效。

您可以使用XCA进行培训。它有一个很好的GUI，默认情况下它有CA，SSL服务器和SSL客户端证书的模板。然后，您可以在Active Directory证书服务中模仿这些证书。可以找到文档和一些指南here。