1:1-Zuordnungen <oneToOneMappings>

Artikel
03/25/2024

Übersicht

Das <oneToOneMappings>-Element des <iisClientCertificateMappingAuthentication>-Elements ordnet einzelne Clientzertifikate einzelnen Benutzerkonten auf 1:1-Basis zu. Diese n:1-Zertifikatzuordnungen können anstelle der am häufigsten verwendeten Authentifizierungsmethoden verwendet werden, z . B. Windows-Authentifizierung oder Standardauthentifizierung.

Hinweis

1:1-Zertifikatzuordnungen unterscheiden sich von 1:1-Zertifikatzuordnungen, die mehrere Zertifikate einem einzelnen Benutzerkonto zuordnen können.

Kompatibilität

Version	Hinweise
IIS 10.0	Das `<oneToOneMappings>` Element wurde in IIS 10.0 nicht geändert.
IIS 8.5	Das `<oneToOneMappings>` Element wurde in IIS 8.5 nicht geändert.
IIS 8.0	Das `<oneToOneMappings>` Element wurde in IIS 8.0 nicht geändert.
IIS 7.5	Das `<oneToOneMappings>`-Element wurde in IIS 7.5 nicht geändert.
IIS 7.0	Das `<oneToOneMappings>`-Element des `<iisClientCertificateMappingAuthentication>`-Elements wurde in IIS 7.0 eingeführt.
IIS 6.0	Das Element `<oneToOneMappings>` ersetzt das IIS 6.0 Metabasisobjekt IIsCertMapper.

Setup

Das Element <iisClientCertificateMappingAuthentication> ist für die Standardinstallation von IIS 7 und höher nicht verfügbar. Verwenden Sie zum Installieren die folgenden Schritte.

Windows Server 2012 oder Windows Server 2012 R2

Klicken Sie auf der Taskleiste auf Server-Manager.
Klicken Sie im Server-Manager auf Verwalten und dann auf Rollen und Features hinzufügen.
Klicken Sie im Assistenten zum Hinzufügen von Rollen und Features auf Weiter. Wählen Sie den Installationstyp aus, und klicken Sie auf Weiter. Wählen Sie den Zielserver aus, und klicken Sie auf Weiter.
Erweitern Sie auf der Seite ServerrollenWebserver (IIS), erweitern Sie Webserver, erweitern Sie Sicherheit, und wählen Sie dann die Authentifizierung durch IIS-Clientzertifikatszuordnung. Klicken Sie auf Weiter.
.
Klicken Sie auf der Seite Features auswählen auf Weiter.
Klicken Sie auf der Seite Installationsauswahl bestätigen auf Installieren.
Klicken Sie auf der Seite Ergebnisse auf Schließen.

Windows 8 oder Windows 8.1

Bewegen Sie auf dem Startbildschirm den Mauszeiger ganz nach links unten, klicken Sie mit der rechten Maustaste auf die Starttaste und klicken Sie dann auf Systemsteuerung.
Klicken Sie in der Systemsteuerungauf Programme und dann auf „Windows-Features aktivieren oder deaktivieren“.
Erweitern Sie Internetinformationsdienste, erweitern Sie World Wide Web Services, erweitern Sie Sicherheit, und wählen Sie dann die Authentifizierung durch IIS-Clientzertifikatszuordnung.
Klicken Sie auf OK.
Klicken Sie auf Schließen.

Windows Server 2008 oder Windows Server 2008 R2

Klicken Sie auf der Taskleiste auf Start, zeigen Sie auf Verwaltungstools, und klicken Sie dann auf Server-Manager.
Erweitern Sie im Hierarchiebereich des Server-Managers die Rollenund klicken Sie dann auf den Webserver (IIS) .
Scrollen Sie im Bereich Webserver (IIS) zum Abschnitt Rollendienste, und klicken Sie dann auf Rollendienste hinzufügen.
Wählen Sie auf der Seite Rollendienste auswählen des Assistenten zum Hinzufügen von Rollendiensten die Authentifizierung durch IIS-Clientzertifikatszuordnung, und klicken Sie dann auf Weiter.
Klicken Sie auf der Seite Installationsauswahl bestätigen auf Installieren.
Klicken Sie auf der Seite Ergebnisse auf Schließen.

Windows Vista oder Windows 7

Klicken Sie auf der Taskleiste auf Start und dann auf Systemsteuerung.
Klicken Sie in der Systemsteuerungauf Programme und Funktionenund dann auf Windows-Features aktivieren oder deaktivieren.
Erweitern Sie Internetinformationsdienste, wählen Sie dann Authentifizierung durch IIS-Clientzertifikatszuordnung, und klicken Sie dann auf OK.

Gewusst wie

Es gibt keine Benutzeroberfläche zum Konfigurieren der Authentifizierung durch IIS-Clientzertifikatszuordnung für IIS 7. Beispiele für die programmgesteuerte Konfiguration der Authentifizierung durch IIS-Clientzertifikatszuordnung finden Sie im Abschnitt Codebeispiele dieses Dokuments.

Konfiguration

Attribute

Keine

Untergeordnete Elemente

Element	Beschreibung
`add`	Optionales Element. Fügt der Auflistung von 1:1-Zuordnungen eine 1:1-Zuordnung hinzu.
`clear`	Optionales Element. Entfernt alle Verweise auf 1:1-Zuordnungen aus der 1:1-Zuordnungssammlung.

Konfigurationsbeispiel

Im folgenden Konfigurationsbeispiel wird die Authentifizierung der IIS-Clientzertifikatzuordnung mithilfe der 1:1-Zertifikatzuordnung für die Standardwebsite aktiviert, eine 1:1-Zertifikatzuordnung für ein Benutzerkonto erstellt und die Website so konfiguriert, dass SSL erforderlich ist und Clientzertifikate aushandeln.

<location path="Default Web Site">
   <system.webServer>
      <security>
         <access sslFlags="Ssl, SslNegotiateCert" />
         <authentication>
            <windowsAuthentication enabled="false" />
            <anonymousAuthentication enabled="false" />
            <digestAuthentication enabled="false" />
            <basicAuthentication enabled="false" />
            <iisClientCertificateMappingAuthentication enabled="true"
                  oneToOneCertificateMappingsEnabled="true">
               <oneToOneMappings>
                  <add enabled="true"
                     userName="administrator"
                     password="[enc:57686f6120447564652c2049495320526f636b73:enc]"
                     certificate="Base64-Encoded-Certificate-Data" />
               </oneToOneMappings>
            </iisClientCertificateMappingAuthentication>
         </authentication>
      </security>
   </system.webServer>
</location>

So rufen Sie base-64-codierte Zeichenfolgen aus einem Clientzertifikat ab

Hinweis

Zum Abrufen einer Base64-codierten Zertifikatdaten für alle Beispiele in diesem Thema können Sie ein Zertifikat mithilfe der folgenden Schritte exportieren:

Klicken Sie auf Start und dann auf Ausführen.
Geben Sie MMC ein, und klicken Sie dann auf OK.
Wenn die Microsoft Management Console geöffnet wird, klicken Sie auf Datei, und Snap-Ins hinzufügen/entfernen.
Im Dialogfeld Snap-Ins hinzufügen bzw. entfernen:
- Markieren Sie Zertifikate in der Liste der verfügbaren Snap-Ins, und klicken Sie dann auf Hinzufügen.
- Wählen Sie aus, ob Zertifikate für Mein Benutzerkonto verwaltet werden sollen, und klicken Sie dann auf Fertig stellen.
- Klicken Sie auf OK , um das Dialogfeld zu schließen.
Microsoft Management Console:
- Erweitern Sie Zertifikate – Aktueller Benutzer, dann Persönlich und dann Zertifikate.
- Klicken Sie in der Liste der Zertifikate mit der rechten Maustaste auf das Zertifikat, das Sie exportieren möchten, und klicken Sie dann auf Alle Aufgaben, Exportieren.
Wenn der Zertifikatexport-Assistent geöffnet wird:
- Klicken Sie auf Weiter.
- Wählen Sie Nein, nicht den privaten Schlüssel exportieren aus, und klicken Sie dann auf Weiter.
- Wählen Sie Base-64-codierter X.509 9 (. CER) für das Exportformat, und klicken Sie dann auf Weiter.
- Wählen Sie aus, dass das Zertifikat als MyCertificate.cer auf dem Desktop gespeichert werden soll, und klicken Sie dann auf Weiter.
- Klicken Sie auf Fertig stellen; Es sollte ein Dialogfeld angezeigt werden, in dem angegeben wird, dass der Export erfolgreich war.
Schließen Sie das Fenster Microsoft Management Console.
Öffnen Sie die MyCertificate.cer-Datei, die Sie mit dem Windows-Editor exportiert haben:
- Entfernen Sie „-----BEGIN CERTIFICATE-----“ vom Anfang des Texts.
- Entfernen Sie „-----END CERTIFICATE-----“ vom Ende des Texts.
- Verketten Sie alle Zeilen in eine einzelne Textzeile – dies sind die Base64-codierten Zertifikatdaten, die Sie für alle Beispiele in diesem Thema verwenden werden.

Beispielcode

Im folgenden Codebeispiel wird die Authentifizierung der IIS-Clientzertifikatzuordnung mithilfe der 1:1-Zertifikatzuordnung für die Standardwebsite aktiviert, eine 1:1-Zertifikatzuordnung für ein Benutzerkonto erstellt und die Website so konfiguriert, dass SSL erforderlich ist und Clientzertifikate aushandeln.

Hinweis

Um die Base64-codierten Zertifikatdaten für die unten aufgeführten Codebeispiele abzurufen, können Sie ein Zertifikat mithilfe der Im Abschnitt Konfigurationsdetails dieses Dokuments aufgeführten Schritte exportieren.

AppCmd.exe

Hinweis

Aufgrund von Zeichen in Zertifikatzeichenfolgen, die von AppCmd.exe nicht analysiert werden können, sollten Sie AppCmd.exe nicht zum Konfigurieren von 1:1-Zertifikatzuordnungen von IIS verwenden.

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetApplicationHostConfiguration();

         ConfigurationSection iisClientCertificateMappingAuthenticationSection = config.GetSection("system.webServer/security/authentication/iisClientCertificateMappingAuthentication", "Default Web Site");
         iisClientCertificateMappingAuthenticationSection["enabled"] = true;
         iisClientCertificateMappingAuthenticationSection["oneToOneCertificateMappingsEnabled"] = true;

         ConfigurationElementCollection oneToOneMappingsCollection = iisClientCertificateMappingAuthenticationSection.GetCollection("oneToOneMappings");
         ConfigurationElement addElement = oneToOneMappingsCollection.CreateElement("add");
         addElement["enabled"] = true;
         addElement["userName"] = @"Username";
         addElement["password"] = @"Password";
         addElement["certificate"] = @"Base-64-Encoded-Certificate-Data";
         oneToOneMappingsCollection.Add(addElement);

         ConfigurationSection accessSection = config.GetSection("system.webServer/security/access", "Default Web Site");
         accessSection["sslFlags"] = @"Ssl, SslNegotiateCert";

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample

   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration

      Dim iisClientCertificateMappingAuthenticationSection As ConfigurationSection = config.GetSection("system.webServer/security/authentication/iisClientCertificateMappingAuthentication", "Default Web Site")
      iisClientCertificateMappingAuthenticationSection("enabled") = True
      iisClientCertificateMappingAuthenticationSection("oneToOneCertificateMappingsEnabled") = True

      Dim oneToOneMappingsCollection As ConfigurationElementCollection = iisClientCertificateMappingAuthenticationSection.GetCollection("oneToOneMappings")
      Dim addElement As ConfigurationElement = oneToOneMappingsCollection.CreateElement("add")
      addElement("enabled") = True
      addElement("userName") = "Username"
      addElement("password") = "Password"
      addElement("certificate") = "Base-64-Encoded-Certificate-Data"
      oneToOneMappingsCollection.Add(addElement)

      Dim accessSection As ConfigurationSection = config.GetSection("system.webServer/security/access", "Default Web Site")
      accessSection("sslFlags") = "Ssl, SslNegotiateCert"

      serverManager.CommitChanges()
   End Sub

End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";

var iisClientCertificateMappingAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/iisClientCertificateMappingAuthentication", "MACHINE/WEBROOT/APPHOST/Default Web Site");
iisClientCertificateMappingAuthenticationSection.Properties.Item("enabled").Value = true;
iisClientCertificateMappingAuthenticationSection.Properties.Item("oneToOneCertificateMappingsEnabled").Value = true;

var oneToOneMappingsCollection = iisClientCertificateMappingAuthenticationSection.ChildElements.Item("oneToOneMappings").Collection;
var addElement = oneToOneMappingsCollection.CreateNewElement("add");
addElement.Properties.Item("enabled").Value = true;
addElement.Properties.Item("userName").Value = "Username";
addElement.Properties.Item("password").Value = "Password";
addElement.Properties.Item("certificate").Value = "Base-64-Encoded-Certificate-Data";
oneToOneMappingsCollection.AddElement(addElement);

var accessSection = adminManager.GetAdminSection("system.webServer/security/access", "MACHINE/WEBROOT/APPHOST/Default Web Site");
accessSection.Properties.Item("sslFlags").Value = "Ssl, SslNegotiateCert";

adminManager.CommitChanges();

VBScript

Set adminManager = WScript.CreateObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"

Set iisClientCertificateMappingAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/iisClientCertificateMappingAuthentication", "MACHINE/WEBROOT/APPHOST/Default Web Site")
iisClientCertificateMappingAuthenticationSection.Properties.Item("enabled").Value = True
iisClientCertificateMappingAuthenticationSection.Properties.Item("oneToOneCertificateMappingsEnabled").Value = True

Set oneToOneMappingsCollection = iisClientCertificateMappingAuthenticationSection.ChildElements.Item("oneToOneMappings").Collection
Set addElement = oneToOneMappingsCollection.CreateNewElement("add")
addElement.Properties.Item("enabled").Value = True
addElement.Properties.Item("userName").Value = "Username"
addElement.Properties.Item("password").Value = "Password"
addElement.Properties.Item("certificate").Value = "Base-64-Encoded-Certificate-Data"
oneToOneMappingsCollection.AddElement(addElement)

Set accessSection = adminManager.GetAdminSection("system.webServer/security/access", "MACHINE/WEBROOT/APPHOST/Default Web Site")
accessSection.Properties.Item("sslFlags").Value = "Ssl, SslNegotiateCert"

adminManager.CommitChanges()

Freigeben über

1:1-Zuordnungen <oneToOneMappings>

Übersicht

Kompatibilität

Setup

Windows Server 2012 oder Windows Server 2012 R2

Windows 8 oder Windows 8.1

Windows Server 2008 oder Windows Server 2008 R2

Windows Vista oder Windows 7

Gewusst wie

Konfiguration

Attribute

Untergeordnete Elemente

Konfigurationsbeispiel

So rufen Sie base-64-codierte Zeichenfolgen aus einem Clientzertifikat ab

Beispielcode

AppCmd.exe

C#

VB.NET

JavaScript

VBScript

Feedback

Zusätzliche Ressourcen