Configurando o IIS ARR para autenticação de certificado de cliente de backend

Question

Eu tenho um servidor IIS configurado com ARR para reverter as solicitações de proxy para um servidor de back-end. O servidor de backend requer autenticação de certificado de cliente, no entanto, ele só precisa autenticar o proxy reverso (não o usuário final).

A autenticação do usuário final é passada dentro do conteúdo da solicitação e não é a parte problemática.

End User -->-- IIS with ARR -->(mutual SSL)>-- Backend web server

Como se configura o certificado de cliente no IIS ou no ARR?

Ao pesquisar, muitas vezes encontro perguntas e encadeamentos relacionados ao encaminhamento do certificado de cliente do usuário final para o servidor de back-end e isso não é possível. Além disso, estes geralmente indicam para desativar a autenticação de certificado de cliente no servidor de back-end, mas isso deve permanecer ativado.

Aqui estão algumas perguntas que encontrei, mas todas estão relacionadas ao certificado de cliente do usuário final:

• link
• link
• link

Answer 1

Provavelmente, o Microsoft ARR está usando o CAPI para armazenar seus certificados, mas não há garantia de que o ARR o utilizará mesmo se você disponibilizar o certificado para ele. A autenticação do lado do cliente requer código extra e seus requisitos não são tão comuns. Poderia ter sido esquecido e deixado para trás ...

Para disponibilizar seu certificado de cliente para um serviço, você precisa editar sua loja "MY" CAPI. Execute mmc.exe em um prompt elevado e adicione o snap-in de certificado. Você terá que selecionar qual armazenamento CAPI usar. Selecione o armazenamento do computador. Importe seu certificado nos "Certificados pessoais", certificando-se de que você importou a chave privada com ele (isso será dito quando você voltar e visualizar o certificado que você importou).

Se adicionar seu certificado ao armazenamento do computador não funcionar, tente o repositório de serviços. Isso será necessário se a ARR for executada com sua própria identidade.

Eu também tive um problema com o AD-LDS, onde o serviço não tinha acesso de leitura à chave privada. Este artigo foi útil, mas pode estar muito longe para ARR. Procure por um caso especial do ADAM nessa página, o comando que você está procurando é

Certutil –V –Verifystore MY 0