Certificado de cliente

La autenticación por certificado de cliente garantiza que las máquinas cliente dispongan de un certificado concreto al conectarse a PowerShell Universal. La comprobación del certificado se realiza durante la negociación HTTP, por lo que afecta a todo el servidor web y no puede configurarse por ruta.

Para obtener información detallada sobre la autenticación por certificado de cliente en ASP.NET Core 5.0, puede consultar la documentación de Microsoft aquí.

Habilitar la autenticación por certificado de cliente

Deberá habilitar el alojamiento HTTPS y activar la autenticación por certificado de cliente. En primer lugar, asegúrese de tener seleccionado un certificado HTTP y de haber establecido ClientCertificateMode en RequireCertificate. Estas opciones se pueden definir en el fichero appsettings.json.

"Kestrel": {
  "Endpoints": {
    "HTTPS": {
      "Url": "https://*:5000",
      "ClientCertificateMode": "RequireCertificate",
      "Certificate": {
        "Subject": "localhost",
        "Store": "My",
        "Location": "LocalMachine",
        "AllowInvalid": "true"
      }
    }
  },
  "RedirectToHttps": "false"
},

A continuación, deberá habilitar la autenticación por certificado de cliente.

"ClientCertificate": {
  "Enabled": "true"
},

Autorización

Puede utilizar el fichero roles.ps1 para evaluar el certificado proporcionado por el cliente. Esto puede servir para determinar qué roles recibirá el usuario al conectarse a PSU.

Para evaluar las propiedades disponibles durante la autorización, puede serializar la variable $user que se proporciona a las funciones de política de roles.

param($User)

$User | ConvertTo-Json | Out-File .\user.txt

$true

Recibirá información sobre el certificado dentro del objeto de usuario, similar a la siguiente.

{
  "Claims": [
    {
      "Type": "issuer",
      "Value": "CN=Cert1, OU=Cert2, O=Org, L=Scottsdale, S=Arizona, C=US",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/thumbprint",
      "Value": "8D2212B6EA170A33055A5",
      "ValueType": "http://www.w3.org/2001/XMLSchema#base64Binary",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/x500distinguishedname",
      "Value": "CN=*.cert.com, OU=Domain Control Validated",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.microsoft.com/ws/2008/06/identity/claims/serialnumber",
      "Value": "009D21369",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/dns",
      "Value": "*.cert.com",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name",
      "Value": "*.cert.com",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    }
  ],
  "Identity": {
    "Name": "*.cert.com"
  }
}

Puede evaluar los claims mediante el método HasClaim. A continuación se muestra un ejemplo de comprobación de la huella digital del certificado.

param($User)

$User.HasClaim('http://schemas.xmlsoap.org/ws/2005/05/identity/claims/thumbprint', '8D2212B6EA170A33055A5')