Certificat client

L'authentification par certificat client garantit que les machines clientes détiennent un certificat particulier lors de la connexion à PowerShell Universal. La vérification du certificat est effectuée pendant la négociation HTTP, ce qui affecte donc l'ensemble du serveur Web et ne peut pas être configuré par route.

Pour des informations détaillées sur l'authentification par certificat client dans ASP.NET Core 5.0, vous pouvez consulter la documentation Microsoft ici.

Activer l'authentification par certificat client

Vous devrez activer l'hébergement HTTPS et activer l'authentification par certificat client. Tout d'abord, assurez-vous d'avoir sélectionné un certificat HTTP et d'avoir défini le ClientCertificateMode à RequireCertificate. Ces paramètres peuvent être définis dans le fichier appsettings.json.

"Kestrel": {
  "Endpoints": {
    "HTTPS": {
      "Url": "https://*:5000",
      "ClientCertificateMode": "RequireCertificate",
      "Certificate": {
        "Subject": "localhost",
        "Store": "My",
        "Location": "LocalMachine",
        "AllowInvalid": "true"
      }
    }
  },
  "RedirectToHttps": "false"
},

Ensuite, vous devrez activer l'authentification par certificat client.

"ClientCertificate": {
  "Enabled": "true"
},

Autorisation

Vous pouvez utiliser le fichier roles.ps1 pour évaluer le certificat fourni par le client. Cela peut être utilisé pour déterminer quels rôles l'utilisateur recevra lors de la connexion à PSU.

Pour évaluer les propriétés disponibles pendant l'autorisation, vous pouvez sérialiser la variable $user fournie aux fonctions de stratégie de rôle.

param($User)

$User | ConvertTo-Json | Out-File .\user.txt

$true

Vous recevrez des informations sur le certificat dans l'objet utilisateur, semblables à ce qui suit.

{
  "Claims": [
    {
      "Type": "issuer",
      "Value": "CN=Cert1, OU=Cert2, O=Org, L=Scottsdale, S=Arizona, C=US",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/thumbprint",
      "Value": "8D2212B6EA170A33055A5",
      "ValueType": "http://www.w3.org/2001/XMLSchema#base64Binary",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/x500distinguishedname",
      "Value": "CN=*.cert.com, OU=Domain Control Validated",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.microsoft.com/ws/2008/06/identity/claims/serialnumber",
      "Value": "009D21369",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/dns",
      "Value": "*.cert.com",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name",
      "Value": "*.cert.com",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    }
  ],
  "Identity": {
    "Name": "*.cert.com"
  }
}

Vous pouvez évaluer les revendications à l'aide de la méthode HasClaim. Voici un exemple de vérification de l'empreinte du certificat.

param($User)

$User.HasClaim('http://schemas.xmlsoap.org/ws/2005/05/identity/claims/thumbprint', '8D2212B6EA170A33055A5')