authentication - （IISで）クライアント証明書認証を期待どおりに機能させるには、clientcertificateのユーザーマッピングを設定する必要がありますか？

Question

クライアント証明書認証が期待どおりに機能するために、証明書をユーザー（Active Directoryまたはローカルユーザー）にリンクする手順を実行する必要があるかどうか疑問に思っていた、クライアント証明書認証に関する私の質問にリンクしましたか？

また、clientcerticate認証を行うには、他のすべての認証スキーム（匿名、ウィンドウ）を無効にする必要がありますか？

Answer 1

IIS フォーラムで次の質問を参照してください。

これが私が達成したいことです：

1. URL 自体の SSL 証明書 ( https://example.company.com )。私の理解では、この証明書はクライアント証明書とはまったく関係がありません。
2. ローカル CA から発行され、信頼できるクライアントに共有されるクライアント証明書。
3. 特定の IIS Web サイトへの接続を許可するクライアント証明書を指定する何らかの方法。

3 は...控えめに言っても複雑に思えます。すべてをセットアップして、発行したクライアント証明書に接続するだけで機能します。CA と Web サーバーは同じドメインにあり (問題がある場合)、CA からのルート証明書を Web サーバー上の信頼できる CA に追加しました。ただし、この段階では、どのクライアント証明書を受け入れるかを Web サーバーに伝えていないため、最初の推測では、信頼するすべての CA に [チェーンされた] すべてのクライアント証明書を受け入れるということでした。

死んでいるこのサイトにリンクしているこの質問も参照してください。

「証明書信頼リスト」を作成するか、証明書をユーザーアカウントにマッピングすることになります。

ただし、サービスにカスタム証明書バリデーターを実装することはできます。その方法については、こちらで説明しています。