ランダムな個人がセキュリティ証明書を使用してイントラネット サイトにアクセスしようとする問題。ほとんどのユーザーは、スマートカード/CAC 証明書を選択し、暗証番号を入力するだけで、サイトのページへのアクセスが許可されます。
ただし、無作為に個人が PIN を入力すると、すぐに IE 警告ダイアログによって、ドメインのユーザー名とパスワードを入力するように再度求められます。ネットワーク ドメインのユーザー名と MS パスワードを入力しない場合、401.1 Unauthorized を受け取ります。
これらの特定のユーザー (成功したものと同じ証明書を選択している) がドメイン名/pwd の入力を求められている理由について、私は混乱しています。さらに、セキュリティ証明書を通過するために CAC を必要とする他のサイトにアクセスできます。
特定のサイトの CAC カードを介してユーザー トークンを確立できない可能性がありますが、その理由は不明です。これらのユーザーは 401.1 を取得しているため、どういうわけか、CAC 資格情報に関連付けられた ID が検証されていません。
IIS の場合: 匿名ユーザーは許可されません (オフ)。SSL では 128 ビット暗号化が必要です。統合 Windows 認証がチェックされています。クライアント証明書の受け入れ サイトの web.config ファイルでは、すべてのユーザーが許可され、匿名のみが拒否されます。
まったく同じセットアップが開発ボックスにまったく問題なく存在します。これは、これらの個人からの CAC 情報を適切に受信/処理する実稼働サーバーの機能に問題があること、またはセキュリティの方法で奇妙なことが起こっていることを示しています。証明書は、クライアントの CAC x.509 証明書に関連しています。
役に立つかもしれないもう少しの情報: 最初に CAC を要求するブラウザー プロンプトは、サイトのコードとは関係なく、IIS のサイトにセキュリティ証明書を適用することで有効になります。したがって、ブラウザを介してActivClientエージェントに関連付けられたクライアント証明書を探す何かが証明書に書き込まれていることを私に示しています???
繰り返しになりますが、私はおそらく私が何について話しているのかわかりません。ここに骨を投げて、誰かが同じ問題を抱えているか、何かアイデアがあるかどうかを確認してください。
ご意見、ご質問、アイデアをお寄せいただきありがとうございます。