Certificato client

L'autenticazione con certificato client garantisce che i computer client dispongano di un determinato certificato durante la connessione a PowerShell Universal. La verifica del certificato viene gestita durante la negoziazione HTTP, quindi interessa l'intero server web e non può essere configurata per singola route.

Per informazioni dettagliate sull'autenticazione con certificato client in ASP.NET Core 5.0, può consultare la documentazione Microsoft qui.

Abilitare l'autenticazione con certificato client

Sarà necessario abilitare l'hosting HTTPS e attivare l'autenticazione con certificato client. Innanzitutto, si assicuri di aver selezionato un certificato HTTP e di aver impostato ClientCertificateMode su RequireCertificate. Queste impostazioni possono essere definite all'interno del file appsettings.json.

"Kestrel": {
  "Endpoints": {
    "HTTPS": {
      "Url": "https://*:5000",
      "ClientCertificateMode": "RequireCertificate",
      "Certificate": {
        "Subject": "localhost",
        "Store": "My",
        "Location": "LocalMachine",
        "AllowInvalid": "true"
      }
    }
  },
  "RedirectToHttps": "false"
},

Successivamente, sarà necessario abilitare l'autenticazione con certificato client.

"ClientCertificate": {
  "Enabled": "true"
},

Autorizzazione

Può utilizzare il file roles.ps1 per valutare il certificato fornito dal client. Questo può essere usato per determinare quali ruoli riceverà l'utente durante la connessione a PSU.

Per valutare le proprietà disponibili durante l'autorizzazione, può serializzare la variabile $user fornita alle funzioni dei criteri dei ruoli.

param($User)

$User | ConvertTo-Json | Out-File .\user.txt

$true

Riceverà informazioni sul certificato all'interno dell'oggetto utente, simili a quelle riportate di seguito.

{
  "Claims": [
    {
      "Type": "issuer",
      "Value": "CN=Cert1, OU=Cert2, O=Org, L=Scottsdale, S=Arizona, C=US",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/thumbprint",
      "Value": "8D2212B6EA170A33055A5",
      "ValueType": "http://www.w3.org/2001/XMLSchema#base64Binary",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/x500distinguishedname",
      "Value": "CN=*.cert.com, OU=Domain Control Validated",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.microsoft.com/ws/2008/06/identity/claims/serialnumber",
      "Value": "009D21369",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/dns",
      "Value": "*.cert.com",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    },
    {
      "Type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name",
      "Value": "*.cert.com",
      "ValueType": "http://www.w3.org/2001/XMLSchema#string",
      "Issuer": "LOCAL AUTHORITY",
      "Properties": "System.Collections.Generic.Dictionary`2[System.String,System.String]"
    }
  ],
  "Identity": {
    "Name": "*.cert.com"
  }
}

Può valutare le attestazioni utilizzando il metodo HasClaim. Di seguito è riportato un esempio di verifica dell'identificazione personale del certificato.

param($User)

$User.HasClaim('http://schemas.xmlsoap.org/ws/2005/05/identity/claims/thumbprint', '8D2212B6EA170A33055A5')