26

我正在尝试在 IIS7 上运行的 Web 应用程序上设置双向身份验证。客户将主要是移动设备，首先我试图让一个使用第三代 iPad 运行的演示。我想我会先让它在我的工作站（也运行 IIS）上运行，然后在 iPad 上复制工作证书。

但是我碰壁了。

我已经让网站通过 https 安全运行并安装了自签名服务器证书，但是我似乎无法弄清楚如何生成可以安装在 iPad 上的客户端证书。当我在运行 Windows 7 的本地工作站上工作时，我不能使用通常http://machinename/CertSvr的方法来执行此操作。

所以我想知道是否有办法makecert生成测试客户端证书，或者我是否可以更改服务器证书中的使用标志以使其适合在客户端上使用。或者也许有一些工具在谷歌搜索的最后一天还没有发现？

更新：

我找到了这个指南，并按照它来写信。一切似乎都正常，没有错误，最后我得到了两个 pfx 文件，一个用于服务器，一个用于客户端（我使用这些文件生成这些文件pvk2pfx并保留原始文件.pvk和.cer文件以防万一）。

我在.下安装了服务器证书，在.下Certificates (Local Computer) > Trusted Root Certification Authority安装了客户端证书Certificates (Current User) > Personal。我还将服务器证书（CA 证书）导入 IIS。当 IIS 配置为接受或忽略客户端证书时，一切正常。但是，一旦将其设置为“要求”，我在请求站点时就会得到 403.7。我还尝试将客户端证书导入 IE/Chrome 中的证书存储区，但还是没有骰子。

有什么明显的我做错了吗？

4

2 回答 2

4

当你问这个问题时，也许这并不存在，但微软现在有一个指南可以做到这一点。易于理解，对我来说非常完美！

于 2013-10-18T19:16:31.763 回答
4

在本地 IIS Express上启用客户端证书：

将 \YourSlnFolder\.vs\config\applicationhost.config -><section name="access" overrideModeDefault="Deny" />更改为<section name="access" overrideModeDefault="Allow" />

<sectionGroup name="system.webServer">
...
  <sectionGroup name="security">
  ...
    <section name="access" overrideModeDefault="Allow" />

然后像这样编辑您的 Web.config：

<configuration>
    <system.webServer>
        <security>
            <access sslFlags="SslRequireCert" />
        </security>
    </system.webServer>
</configuration>

在IIS上启用客户端证书：

转到 IIS 管理器中的网站，然后单击 SSL 设置。然后将应用程序设置为需要 SSL 和需要客户端证书。

在此处输入图像描述

创建新证书：

启动 VS 开发者命令提示符

根证书：

makecert.exe -r -n "CN=TestRootCertificate" -pe -sv TestRootCertificate.pvk -a sha1 -len 2048 -b 01/01/2017 -e 01/01/2030 -cy authority TestRootCertificate.cer

输入您的密码。

创建证书吊销列表 (CRL)

makecert -crl -n "CN=TestRootCertificate" -r -sv TestRootCertificate.pvk TestRootCertificate.crl

捆绑到 .pfx（pvk2pfx.exe 需要为 VS2017 安装“使用 C++ 进行桌面开发”）

pvk2pfx.exe -pvk TestRootCertificate.pvk -pi {password} -spc TestRootCertificate.cer -pfx TestRootCertificate.pfx

来自根证书的客户端证书：

makecert.exe -ic TestRootCertificate.cer -iv TestRootCertificate.pvk -pe -sv localtestclientcert.pvk -a sha1 -n "CN=localtestclientcert" -len 2048 -b 01/01/2015 -e 01/01/2030 -sky exchange localtestclientcert.cer -eku 1.3.6.1.5.5.7.3.2

输入您的密码。

pvk2pfx.exe -pvk localtestclientcert.pvk -pi {password} -spc localtestclientcert.cer -pfx localtestclientcert.pfx

导入证书。

启动 mmc.exe。

File -> Add or Remove Snap-ins -> Certificates -> Add -> Computer account -> Local computer

Certificates (Local Computer) -> Personal -> Certificates -> Right click -> All tasks -> Import -> localtestclientcert.pfx

Certificates (Local Computer) -> Trusted Root Certification Authorities -> Certificates -> Right click -> All tasks -> Import -> RootCertificate.cer

用于在浏览器中进行身份验证：

File -> Add or Remove Snap-ins -> Certificates -> Add -> My user account

Certificates - Current User -> Personal -> Certificates -> Right click -> All tasks -> Import -> localtestclientcert.pfx

现在访问您的站点需要服务器信任的客户端证书：

在此处输入图像描述

如果您已遵循本指南并收到如下错误：

HTTP Error 500.19 - Internal Server Error
The requested page cannot be accessed because the related configuration data for the page is invalid.

或者

HTTP Error 403.7 - Forbidden
The page you are attempting to access requires your browser to have a Secure Sockets Layer (SSL) client certificate that the Web server recognizes.

您可能需要重新启动计算机。请注意，仅关闭 iisexpress 进程或 Visual Studio 是不够的。500.19无需重新启动即可解决，但证书很棘手，因此推荐的方法是重新启动计算机。

如果您收到错误The request was aborted: Could not create SSL/TLS secure channel，可能是由于应用程序池无权访问特定证书。

证书（本地计算机） -> 个人 -> 证书 -> localtestclientcert -> 右键单击​​ -> 所有任务 -> 管理私钥 -> 添加IIS APPPOOL\YourWebSite并授予它完全控制权。

于 2019-08-01T14:26:47.713 回答