使用来自另一个 web api 的客户端证书调用 web api

Question

场景：用户与 angularjs 客户端称为“网关”的 WebApi 对话。 'Gateway' 就像一个门面或代理，所以从 User 到 'Gateway' 的所有请求都将被转发到另一个 WebApis。

安全细节：“网关”WebApi 和所有其他 WebApi 都放置在具有 HTTPS 绑定的 IIS 中，并且 SSL 客户端证书选项为“接受”。因此，用户将向 IIS 提供有效的客户端证书，经过验证后，请求将由 WebApi 处理。

问题：当“网关”WebApi 收到请求时，请求对象中会显示客户端证书。然后我只是使用 HttpClient 将此请求转发到另一个 WebApi。但是当另一个 WebApi 端点收到请求时，不再附加客户端证书。

以下是请求转发的代码片段：

var request = Request; // income request from angularjs

var handler = new WebRequestHandler();
handler.ClientCertificates.Add(request.GetClientCertificate()); // setting up client certificate from user's request
using (var httpClient = new HttpClient(handler))
{
    request.RequestUri = *chaning request address here*;
    var response = await httpClient.SendAsync(request);
    return ResponseMessage(response);
}

注意：如果我尝试直接访问另一个 WebApi，客户端证书将按预期显示。如果我尝试通过“网关”，客户端证书也会出现在“网关”请求中，但是在成功附加并发送请求后，另一个 WebApi 不会收到任何附加的证书。

有什么想法吗？ 谢谢。

Answer 1

在您的网关服务器上，您需要将身份验证密钥导入“机器”证书存储（MMC.exe，添加管理单元“证书”，计算机帐户“，证书-个人-证书，导入）。
向您的 IIS 池正在使用的帐户授予权限（用于身份验证证书）。 （右键单击证书，所有任务，管理私钥。添加，高级，位置=[机器名称]，立即查找，（可能）网络服务，读取）。

在您的 web.config 中（在您的网关服务器上），检查您的 system.serviceModel / behaviors / endpointBehaviors / behavior / clientCredentials / clientCertificate。确保属性：storeLoction="LocalMachine"，以使用机器密钥存储中的证书。