选择具有智能卡身份验证 IIS7 Server 2008 的证书答案

【问题标题】：Choose Certificate with Smart Card Authentication IIS7 Server 2008选择具有智能卡身份验证 IIS7 Server 2008 的证书
【发布时间】：2012-09-26 12:43:42
【问题描述】：

我正在尝试为我创建的网站设置智能卡身份验证。将身份验证设置为 Windows 并将 SSL 设置为 required 我可以让智能卡读卡器在他们访问网站时弹出。虽然卡上有 2 个凭据，但其中只有一个显示为选项（我需要的信息在另一个凭据上）。我问了一位同事，他说在 IIS 6 中有一种方法可以在智能卡上指定一个位置来查找证书。我已经研究这个问题大约一周了，但还没有找到解决这个问题的方法。有人知道怎么做吗？

【问题讨论】：

标签： iis-7 windows-server-2008 smartcard

【解决方案1】：

IIS 实际上只知道基于证书的身份验证，而不是智能卡本身（这实际上只是基于证书的身份验证的一种形式）。将您的站点配置为使用基于证书的身份验证，例如“需要客户端证书”，并且 IIS 会将调用链接到 Windows 安全性，进而识别身份证书的来源之一是智能卡读卡器。根据您的站点要求，您可能还需要启用证书映射，它将证书转换为 Windows 帐户身份。

【讨论】：

大卫，这个话题似乎是关于 IIS7 而不是 6。而且他成功地获得了卡上的证书。但据我所知，只有两者之一。
我已经从 IIS 名称中删除了“6”。 OP 表示，他被告知“IIS6”允许在智能卡上指定源以读取证书，我的答复是指出 IIS6 和 IIS7 都不特别了解智能卡；他们了解基于证书的身份验证。智能卡只是携带证书的车辆。
直接看我电脑上的卡，上面有3个证书。我已经设置了尝试该途径的映射，我之前能够看到这些卡片，但我需要的证书没有列出。通过这个过程的某个地方，我做了一个改变，所以它不再显示智能卡了。我试图让它再次显示，看看现在有哪些可用的选项。当我再次显示它时，我会通知你。
将 ssl 设置为接受并将身份验证设置为 windows，我得到用户名和密码以及服务器上的智能卡。客户端只显示用户名和密码。将此更改为 required 不会在任一位置提示任何内容（头部撞到桌子）。
当我将其设置为要求时，我不会被提示输入任何内容。我们认为此时我们可能有一个坏的服务器。非常感谢您的帮助。

【解决方案2】：

当需要（或接受）证书时，IIS 将在会话启动时在 SSL 协商中请求客户端证书。 IIS 将向客户端发送它信任的证书颁发机构列表。然后客户端获取这些并查看与它信任的证书颁发机构列表匹配的内容。然后它获取常见条目列表并检查它是否具有双方信任的 CA 颁发的任何证书。通常，如果没有证书，它将根本不发送证书，并且如果需要证书，请求将失败。如果只有一个证书，IE 通常会在不询问客户端发送哪个证书的情况下发送该证书，但如果需要，它会提示输入 PIN。最后，如果双方信任的 CA 颁发了多个证书，则会向客户端显示一个对话框，询问使用哪个证书。

在这种情况下，您希望客户端发送的凭证（证书）可能是由不受一方或双方信任的证书颁发机构颁发的。

【讨论】：