SSLとクライアント証明書認証を使用した安全なASP.NET MVCアプリケーション

Question

私はSSLとクライアント証明書認証を使用してASP.NET MVCアプリケーションを保護しようとしています。私はIIS 7.5、Windows Server 2008 R2を使用しています。

私はそれがWeb.configファイルを通じて次の操作を行うことは可能ですかどうかを知りたいのですが（それはそこを通じてなければなりません！）

1. は、すべての要求
2. 地図複数のクライアント証明書へのSSL通信を必要とシングルユーザー
3. が

を認証することをユーザーに要求する。また、このことについて任意のチュートリアルやその他の関連リソースを上に行く方法上の任意のポインタはずっとAPPRになります私はこれらの事のほとんどすべてを初めて知っているからです。

Answer 1

だから、私自身の質問に答えるために...上記のすべては、Web.configファイルを介して達成することができます。 Web.configの次のセクションでは、システム/アクセスセクションを通じてSSLが必要で、多対1のクライアント証明書マッピングを構成します。これらのセクションはapplicationHost.configにロックされているため、Web.configで編集したい人は誰でもロックを解除する必要があります。そこには多くのチュートリアルがありますので、私はそれには入りません。

 <security> 
      <access sslFlags="Ssl, SslNegotiateCert" /> 
      <authentication> 
       <anonymousAuthentication enabled="false" /> 
       <iisClientCertificateMappingAuthentication enabled="true" manyToOneCertificateMappingsEnabled="true"> 
        <manyToOneMappings> 
         <add name="Authentication Certificate" 
          enabled="true" 
          permissionMode="Allow" 
          userName="foo" 
          password="bar"> 
          <rules> 
           <add certificateField="Issuer" certificateSubField="CN" matchCriteria="*.stackoverflow.com" compareCaseSensitive="false" /> 
          </rules> 
         </add> 
        </manyToOneMappings> 
       </iisClientCertificateMappingAuthentication> 
      </authentication> 
     </security> 

Answer 2

ために行く：

1. は、すべての要求のためにSSL通信を要求する - はい。 IISでは、httpsバインディングのみでサイトを設定し、httpバインディングを削除します。サイトはhttp要求に応答しません。これを行う場合は、403.4エラーをhttp://mysite.comからhttps://mysite.comにリダイレクトするスクリプトを作成する必要があります。さまざまなツールを使用してこれを行う方法の例がたくさんあります。

2. 複数のクライアント証明書を1人のユーザーにマップする - 私はうんざりです。私はこれを渡します。

3. ユーザーに認証を要求する - はい。 web.configファイルで、<system.web>要素で、次の行を追加します。

   <authorization> 
       <deny users="?"/> 
   </authorization>