有没有办法在 powershell 中调用带有客户端和服务证书的 Web 服务？

Question

我正在编写一个 Powershell 脚本，该脚本需要调用一个带有客户端和服务证书的 Web 服务。 我在 C# .Net 中有连接半工作。 在 .Net app.config 我有这些配置：

...
<security mode="TransportWithMessageCredential">
            <message clientCredentialType="Certificate" negotiateServiceCredential="false" establishSecurityContext="false"/>
            <transport clientCredentialType="Certificate"/>
          </security>
        </binding>
      </wsHttpBinding>
    </bindings>
    <behaviors>
      <endpointBehaviors>
        <behavior name="CertificateAuthenticationBehavior">
          <clientCredentials>
            <clientCertificate findValue="Capital Market FIONAsi" storeLocation="LocalMachine" storeName="My" x509FindType="FindBySubjectName" />
            <serviceCertificate>
              <defaultCertificate findValue="example.dk" storeLocation="LocalMachine" storeName="My" x509FindType="FindBySubjectName"/>
              <authentication certificateValidationMode="PeerTrust" />
            </serviceCertificate>
          </clientCredentials>
        </behavior>

.net 代码。

var stinaProxy = new StinaServiceProxy("StinaService");
var stinaHandshakeResponse = stinaProxy.HandShake(testValueArgument);

这似乎让我通过了 .net 中的证书验证

但如前所述，我实际上需要它在 powershell 中为我工作。 我不知道如何调用 Web 服务并提供客户端和服务证书。

这是我到目前为止在 powershell 中得到的结果，但它以超时结束，我认为是证书问题。

    [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

    $ClientCertificate = Get-ChildItem Cert:\LocalMachine\My\af4269b1d7190be23f1e48001fc345011f7ade80
    $defaultCertificate = Get-ChildItem Cert:\LocalMachine\My\42097f29a5bd2fb4d9960e74f67654d369b7a2e3
    $url = "https://example.dk/StinaService.svc?wsdl"
    $webserviceex = New-WebServiceProxy -Uri $url -Namespace WebServiceProxy 
    $webserviceex.Timeout = 5000
    $webserviceex.ClientCertificates.Add($ClientCertificate)
    $webserviceex.ClientCertificates.Add($defaultCertificate)
    $handshakeResult = $webserviceex.HandShake("1234!")

任何帮助表示赞赏:)

Answer 1

我怀疑ServiceCertificate 是否会成为您问题的原因，因为只有客户才应该关心。您是否尝试过仅添加$ClientCertificate 来设置$webserviceex？通常，如果您有链并且还需要 CA 证书，您只会添加额外的证书。

---

我确实找到了如何在 powershell 中添加服务证书。您没有包含您使用的类，但我能够使用 [System.ServiceModel.ServiceHost] 创建与您所拥有的类似的东西。这是一个使用客户端和服务器证书的 web 服务的 powershell 示例。

[URI]$URI = 'https://example.dk/StinaService.svc'

# WSHttpBinding
$binding = New-Object System.ServiceModel.WSHttpBinding
$binding.Security.Mode = [System.ServiceModel.SecurityMode]::TransportWithMessageCredential
$binding.Security.Transport.ClientCredentialType = [System.ServiceModel.HttpClientCredentialType]::Certificate
$binding.Security.Message.ClientCredentialType   = [System.ServiceModel.MessageCredentialType]::Certificate

# Create service host
$ServiceHost = [System.ServiceModel.ServiceHost]::new([StinaService], $URI)
    $ServiceHost.AddServiceEndpoint([IStinaService], $binding,"")

    # Add Service Certificate (authenticate the server)
    $ServiceHost.Credentials.ServiceCertificate.SetCertificate(
        [System.Security.Cryptography.X509Certificates.StoreLocation]::LocalMachine,
        [System.Security.Cryptography.X509Certificates.StoreName]::My,
        [System.Security.Cryptography.X509Certificates.X509FindType]::FindBySubjectName,
        'example.dk'
    )
    # Add Client Certificate (authenticate the client)
    $ServiceHost.Credentials.ClientCertificate.SetCertificate(
        [System.Security.Cryptography.X509Certificates.StoreLocation]::LocalMachine,
        [System.Security.Cryptography.X509Certificates.StoreName]::My,
        [System.Security.Cryptography.X509Certificates.X509FindType]::FindBySubjectName,
        'Capital Market FIONAsi' 
    )

# Open the service
$ServiceHost.Open()

# Close the service.
$ServiceHost.Close()

我基于示例 .net WCF 代码 in this MS how-to，并使用 Chrissy Lemaire 在她的 powershell tcp service proof-of-concept 中的定义定义了 [StinaService] ServiceContract。

---

请注意，您可能可以忽略此示例 - 只需复制现有的 .Net 代码，将其格式化为 powershell，然后导入您已在使用的相同 app.config。

[System.AppDomain]::CurrentDomain.SetData("APP_CONFIG_FILE", "$dllPath.config")
$null = [Reflection.Assembly]::LoadFrom($dllPath)

复制自https://stackoverflow.com/a/33927024/7411885。