Справочник функций

Ваш аккаунт

Войти через: 
Забыли пароль?
Регистрация
Информацию о новых материалах можно получать и без регистрации:

Почтовая рассылка

Подписчиков: 6308
Последний выпуск: 19.06.2015

IIS - Сопоставление клиентских сертификатов учетным записям пользователей

Для проверки подлинности пользователей, входящих в систему с клиентским сертификатом, можно сопоставить данные, содержащиеся в сертификате, с учетной записью пользователя Windows. Есть два способа сопоставления сертификатов: один-к-одному и многие-к-одному. Оба эти способа можно применить в оснастке IIS.

Важно!

  • Сопоставление сертификатов возможно только при наличии установленного серверного сертификата. Дополнительные сведения об установке серверного сертификата см. в разделе Получение сертификата сервера.
  • Чтобы гарантировать вступление в силу изменений, внесенных в правила сопоставления сертификатов, нужно остановить и заново запустить веб-узел. Для этого: В оснастке IIS выделите веб-узел и либо выберите команду Остановить в меню Действие, либо нажмите кнопку Остановка объекта на панели инструментов. Затем выберите команду Пуск в меню Действие или нажмите кнопку Запуск объекта на панели инструментов.

 

Общие сведения о сопоставлении

Сопоставление «один-к-одному»

При сопоставлении «один-к-одному» учетным записям сопоставляются отдельные клиентские сертификаты. Сервер сравнивает имеющуюся у него копию клиентского сертификата с клиентским сертификатом, отправляемым обозревателем. Для успешного сопоставления эти два сертификата должны быть абсолютно идентичными. Если клиент получит другой сертификат, содержащий те же сведения о пользователе, то нужно будет заново выполнить сопоставление.

Сопоставление «многие-к-одному»

При сопоставлении «многие-к-одному» используются правила сопоставления с помощью подстановочных знаков, которые позволяют выяснить, содержит ли клиентский сертификат определенную информацию, например имя издателя или тему. Этот способ сопоставления не сравнивает сами клиентские сертификаты, а принимает все сертификаты, удовлетворяющие определенным критериям. Если клиент получит другой сертификат, содержащий те же сведения о пользователе, то существующее сопоставление будет по-прежнему действительно.

Сопоставление службы каталогов (DS)

Сопоставление сертификатов службы каталогов (DS) использует встроенные в Windows 2000 средства активных каталогов для проверки подлинности пользователей с клиентскими сертификатами. Этот способ сопоставления имеет как преимущества, так и недостатки. Например, преимуществом является то, что сведения клиентского сертификата могут совместно использоваться большим числом серверов. Недостаток состоит в том, что проверка соответствия с использованием подстановочных знаков менее развита по сравнению с имеющейся в средстве сопоставления IIS. Дополнительные сведения о сопоставлении службы каталогов см. в документации Windows 2000.

Включить сопоставление службы каталогов можно только на уровне основных свойств и только будучи членом домена Windows 2000. Включение сопоставления службы каталогов отменяет использование сопоставления «один-к-одному» и «многие-к-одному» для всей веб-службы.

Стратегии сопоставления

Сопоставление клиентских сертификатов очень гибко: можно использовать любой из трех способов сопоставления сертификатов учетным записям пользователей. Можно сопоставить один клиентский сертификат любому числу учетных записей пользователей и любое число клиентских сертификатов одной учетной записи. Сопоставление сертификатов можно использовать в различных ситуациях, в том числе:

  • Большие сети. В сетях с большим числом клиентских сертификатов используется сопоставление «многие-к-одному» или сопоставление службы каталогов. Администратор имеет возможность задать одно или несколько правил для сопоставления сертификатов одной или нескольким учетным записям Windows.
  • Малые сети. В сетях с малым количеством пользователей можно использовать сопоставление «один-к-одному» для обеспечения лучшего контроля за использованием и отзывом сертификатов, или сопоставление «многие-к-одному» для упрощения администрирования.
  • Дополнительная безопасность. Для ресурсов, доступных лишь нескольким пользователям и требующих дополнительной защиты, используйте сопоставление «один-к-одному». Это позволит гарантировать допустимость лишь конкретных сертификатов. Кроме того, этот способ обеспечивает поддержку лучших политик отзыва сертификатов.
  • Интернет. Узлы Интернета, проверяющие подлинность с помощью сертификатов, могут использовать сопоставление «многие-к-одному», принимая различные сертификаты и сопоставляя их все учетной записи, имеющей права, аналогичные правам учетной записи IUSR_имя_компьютера.
  • По службе сертификации. Для разрешения доступа в систему всем пользователям, входящим в систему с клиентским сертификатом, выданным определенной организацией, можно использовать сопоставление «многие-к-одному» и задать правило для автоматического сопоставления любого сертификата, выданного этой организацией, учетной записи пользователя.

Примечание.   Если требуется более гибкий механизм проверки соответствия с помощью подстановочных знаков, воспользуйтесь возможностями средства сопоставления IIS. Если сопоставление используется для интеграции веб-узлов в домен Windows, то средство Windows DS подойдет лучше. Дополнительные сведения см. в документации Windows.

Экспорт сертификата

Некоторые сертификаты необходимо экспортировать, чтобы их можно было использовать в сопоставлении «один-к-одному». Для сопоставления «многие-к-одному» экспортировать сертификаты не требуется. Дополнительные сведения можно получить у службы сертификации.

Чтобы экспортировать сертификат с помощью обозревателя Internet Explorer версии  4.0 или новее.

Примечание.   Этой процедурой можно также воспользоваться для создания резервной копии сертификата.

  1. В обозревателе Internet Explorer откройте меню Сервис и выберите команду Свойства обозревателя.
  2. В диалоговом окне Свойства обозревателя откройте вкладку Содержание.
  3. На вкладке Содержание нажмите кнопку Личные (Internet Explorer версии 4.0), либо нажмите кнопку Сертификатов и откройте вкладку Личные (Internet Explorer версии  5).
  4. Выберите сертификат из списка и нажмите кнопку Экспорт.
  5. В мастере нажмите кнопку Далее, выберите флажок Нет, не экспортировать закрытый ключ и нажмите кнопку Далее.
  6. На следующей странице выберите формат Вase-64 шифрование X.509 (.CER) и нажмите кнопку Далее. Завершите процедуру, следуя указаниям мастера.
  7. Теперь сертификат готов к сопоставлению «один-к-одному». Для каждого сертификата эту процедуру нужно выполнить всего один раз.

Сопоставление сертификатов

При сопоставлении «один-к-одному» учетным записям сопоставляются отдельные клиентские сертификаты. При сопоставлении «многие-к-одному» используются правила сопоставления с помощью подстановочных знаков, которые позволяют выяснить, содержит ли клиентский сертификат определенную информацию, например имя издателя или тему.

Чтобы сопоставить конкретный клиентский сертификат учетной записи пользователя (сопоставление «один-к-одному»)
  1. В оснастке IIS выделите веб-узел, для которого нужно настроить проверку подлинности, и откройте окно его свойств.
  2. На вкладке Безопасность каталога в группе Безопасные подключения нажмите кнопку Изменить.
  3. В диалоговом окне Безопасные подключения установите флажок Разрешить сопоставление сертификатов клиентов, если он еще не установлен. Нажмите кнопку Изменить.
  4. На вкладке 1-к-1 диалогового окна Сопоставление с учетными записями добавьте новый сертификат, нажав кнопку Добавить, либо измените существующее сопоставление, выделив его и нажав кнопку Изменить.
  5. Для добавления сертификата, найдите его файл и откройте его.
  6. Примечание.   Если найти файл сертификата не удается, то, возможно, его нужно экспортировать.

  7. В диалоговом окне Сопоставление с учетной записью введите имя сопоставления. Это имя будет выводиться в списке диалогового окна Сопоставление с учетными записями.
  8. Введите имя учетной записи Windows или перейдите к ней. Введите пароль учетной записи, с которой сопоставляется сертификат.
  9. Нажмите кнопку OK.
  10. Повторите эти шаги для сопоставления других сертификатов или для сопоставления этого же сертификата с другими учетными записями.
Чтобы сопоставить клиентский сертификат с помощью правила, использующего подстановочные знаки (сопоставление «многие-к-одному»)

Примечание.   Для сопоставления «многие-к-одному» экспортировать сертификаты не нужно.

  1. В оснастке IIS выделите веб-узел, для которого нужно настроить проверку подлинности, и откройте окно его свойств.
  2. На вкладке Безопасность каталога в группе Безопасные подключения нажмите кнопку Изменить.
  3. В диалоговом окне Безопасные подключения установите флажок Разрешить сопоставление сертификатов клиентов, если он еще не установлен. Нажмите кнопку Изменить.
  4. На вкладке Многие к 1 диалогового окна Сопоставление с учетными записями нажмите кнопку Добавить.
  5. В диалоговом окне Общие введите имя правила. Это имя будет выводиться в списке диалогового окна Сопоставление с учетными записями. Можно создавать правила на будущее или отключать правила, не удаляя их; для этого предназначен флажок Включить данное правило. Нажмите кнопку Далее.
  6. В диалоговом окне Правила нажмите кнопку Создать.
  7. В диалоговом окне Изменение элемента правила выберите соответствующий критерий и нажмите кнопку OK.
  8. Примечание.   Повторите шаги 6 и 7, если нужно задать более конкретное правило.

  9. По завершении нажмите клавишу Далее.
  10. В диалоговом окне Сопоставление введите имя учетной записи пользователя Windows или перейдите к ней. Введите пароль учетной записи, с которой сопоставляется данное правило.
  11. Примечание.   Если учетная запись, с которой сопоставляется правило, расположена на компьютере, являющемся членом рабочей группы, нужно будет указать имя компьютера и имя учетной записи. Например, если сопоставление выполняется с учетной записью «RegionalSales» на компьютере с именем «Sales1», то имя будет выглядеть следующим образом: Sales1\RegionalSales.

  12. Нажмите кнопку OK.
  13. Повторите эти шаги для создания других правил сопоставления.
  14. Порядком применения правил можно управлять с помощью кнопок Вниз и Вверх. Приоритет имеют правила, расположенные выше.
Чтобы изменить существующее правило сопоставления с использованием подстановочных знаков (сопоставление «многие-к-одному»)
  1. В оснастке IIS выделите веб-узел, для которого нужно настроить проверку подлинности, и откройте окно его свойств.
  2. На вкладке Безопасность каталога в группе Безопасные подключения нажмите кнопку Изменить.
  3. В диалоговом окне Безопасные подключения установите флажок Разрешить сопоставление сертификатов клиентов, если он еще не установлен. Нажмите кнопку Изменить.
  4. На вкладке Многие-к-1 диалогового окна Сопоставление с учетными записями выделите правило и нажмите кнопку Изменить.
  5. Внесите нужные изменения.
  6. По завершении нажмите кнопку OK.

 

Примечания

  • Сопоставления конкретных клиентских сертификатов всегда имеют преимущество над сопоставлениями с помощью подстановочных знаков.
  • Некоторые клиентские сертификаты могут содержать большое количество идентификационных данных и могут включать дополнительные, нестандартные поля. Сведения о форматах сертификатов можно получить у сертификационной службы.
  • Используйте как можно более точно сформулированные правила. Хорошее правило, использующее подстановочные знаки, проверяет содержимое нескольких различных полей и дополнительных полей. Например, названия «Бухгалтерия», «Доставка» и «Сбыт» могут появляться в дополнительном поле нескольких клиентских сертификатов организации. Правило, задающее сопоставление сертификатов только по значению этого дополнительного поля, может привести к неверному сопоставлению.

Оставить комментарий

Комментарий:
можно использовать BB-коды
Максимальная длина комментария - 4000 символов.
 
Реклама на сайте | Обмен ссылками | Ссылки | Экспорт (RSS) | Контакты
Добавить статью | Добавить исходник | Добавить хостинг-провайдера | Добавить сайт в каталог