配置IIS以接受或过滤特定颁发者的用户证书

Question

您可以使用IIS管理器轻松配置IIS以使用特定的SSL证书。但是，当用户在网页上打开浏览器时，我发现难以过滤选择中显示的用户证书。选择包含所有有效的用户证书，但我只希望列出特定证书（特定CA优先），我知道这是可能的。

我已经发现这不是客户端，而是IIS端设置。有谁知道如何配置它？

Answer 1

稍晚一些，但可以使用IIS客户端证书映射身份验证来筛选证书。 按照this documentation进行操作。您可以在IIS中过滤要允许的客户端证书类型。

要限制浏览器显示的弹出窗口的选择，您需要发送受信任的颁发者列表。然后，浏览器将仅显示服务器信任的证书。从IIS8.5及更高版本开始，默认为false。 See this link

为此设置： HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ SendTrustedIssuerList 设置为 DWORD 值 1

请注意，可以发送的受信任发行者数量有限！如果这很长一段时间，则可能会导致客户端无法在弹出窗口中看到所有有效证书的问题。