Настраиваем в IIS авторизацию по клиентским сертификатам при помощи OpenSSL

[parta]

замечательно и позновательно :)

кстати, а крайний IIS умеет быть fcgi бакендом? :)

[RUSH]

Спасибо за хорошую статью.

В дополнение к статьи несколько полезных команд:
inetmgr — оснастка iss
certmgr.msc — оснастка сертификаты

[Scratch]

учтем ) как раз вспоминал что то подобное перед написанием

[SpeCT]

Спасибо за статью. Задумался о применении подобной аутентификации на одном из проектов :)

Хотел задать вопрос о кросс-платформенности/кросс-браузерности, но нашёл аналогичную статью для Apache / Firefox+Safari.

[maseal]

Такое ощущение, что схожие задачи возникают у многих людей одновременно. Буквально пару недель назад проделывал те же самые шаги, что описаны в статье, только «обложившись мануалами»

[okolobaxa]

А можно ли как-то переопределить окно выбора сертификата?

Нужна примерно такая логика работы:
1) Пользователь переходит на страницу где отображаются все установленные в системе сертификаты.
2) Пользователь выбирает подходящий сертификат и пробует войти с ним.
3) Если серт правильный то пользователю прописываются куки и он дальше работает с системой.

Примерно такая логика реализована в системе сдачи налоговой отчетности Контур-Экстерн.

[ashumkin]

Работает ли маппинг many-to-one в IIS с сертификатами, созданными в openssl?
У меня не работает (IIS 7.5). Работает почему-то только с теми, что созданы makecert… или one-to-one (где указывается Base64 сертификата).

[Scratch]

Статья 2011 года, вряд ли вам ответят )

[ashumkin]

дык, я автору (т.е. Вам) и задавал :)
* к слову, у 73 в избранном )

[Scratch]

Я с IIS завязал очень давно, сори )

[ashumkin]

похоже, это трабла IIS 7.5. В IIS 10 всё работает как задумано.

JFI

[Ghool]

Ваша статья лучшая на эту тему, что я нашёл.
Так как при настройке я столкнулся с проблемами, напишу тут, что помогло их решить:

1) пара советов отсюда:
switch-case.ru/59638860
— Удалить несамоподписанные сертификаты из списка корневых доверенных
Найти их можно такой командой Powershell:
Get-Childitem cert:\LocalMachine\root -Recurse |
Where-Object {$_.Issuer -ne $_.Subject}

— Почистить список доверенных корневых сертификатов или отключить листинг
Set HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL Value name: SendTrustedIssuerList Value type: REG_DWORD Value data: 0

ещё странно:
вроде после этого заработало, но потом опять вылезали проблемы.
я полез включать трассировку, установил ASP и CGI и модуль трассировки — и проблемы ушли целиком.
Трассировать не пришлось ничего :(

Инструкция по настройке трассировки, которая может помочь, если проблемы останутся (в логе будет писаться, почему не принят клиентский сертификат):
docs.microsoft.com/en-us/iis/troubleshoot/using-failed-request-tracing/troubleshooting-failed-requests-using-tracing-in-iis