<authentication> de l’élément <clientCertificate>

Article
06/08/2023

Spécifie les comportements d'authentification des certificats clients utilisés par un service.

<configuration>
  <system.serviceModel>
    <behaviors>
      <serviceBehaviors>
        <behavior>
          <serviceCredentials>
            <clientCertificate>
              <authentification>

Syntaxe

<authentication customCertificateValidatorType="namespace.typeName, [,AssemblyName] [,Version=version number] [,Culture=culture] [,PublicKeyToken=token]"
                certificateValidationMode="ChainTrust/None/PeerTrust/PeerOrChainTrust/Custom"
                includeWindowsGroups="Boolean"
                mapClientCertificateToWindowsAccount="Boolean"
                revocationMode="NoCheck/Online/Offline"
                trustedStoreLocation="CurrentUser/LocalMachine" />

Attributs et éléments

Les sections suivantes décrivent des attributs, des éléments enfants et des éléments parents.

Attributs

Attribut	Description
customCertificateValidatorType	Chaîne facultative. Type et assembly utilisés pour valider un type personnalisé. Cet attribut doit être défini lorsque `certificateValidationMode` a la valeur `Custom`.
certificateValidationMode	Énumération facultative. Spécifie l'un des modes utilisés pour valider les informations d'identification. Cet attribut est de type X509CertificateValidationMode. S'il est défini à X509CertificateValidationMode.Custom, un `customCertificateValidator` doit également être fourni. La valeur par défaut est X509CertificateValidationMode.ChainTrust.
includeWindowsGroups	Valeur booléenne facultative. Spécifie si des groupes Windows sont inclus dans le contexte de sécurité. L'affectation de la valeur `true` à cet attribut a un impact sur les performances du fait que cela provoque une expansion de groupe complète. Affectez la valeur `false` à cet attribut s'il n'est pas nécessaire d'établir la liste des groupes auxquels appartient un utilisateur.
mapClientCertificateToWindowsAccount	Propriété booléenne. Spécifie si le client peut être mappé à une identité Windows à l'aide du certificat. Active Directory doit être activé pour cela.
revocationMode	Énumération facultative. Un des modes utilisés pour vérifier des listes de certificats révoqués (RCL). Par défaut, il s’agit de `Online`. Cette valeur est ignorée lors de l'utilisation de la sécurité de transport HTTP.
trustedStoreLocation	Énumération facultative. L'un des deux emplacements du magasin du système : `LocalMachine` ou `CurrentUser`. Cette valeur est utilisée lorsqu'un certificat de service est négocié au client. La validation est exécutée sur le magasin Personnes autorisées dans l’emplacement de magasin spécifié. Par défaut, il s’agit de `CurrentUser`.

customCertificateValidatorType, attribut

Valeur	Description
String	Spécifie le nom de type, l'assembly et d'autres données utilisées pour rechercher le type.

certificateValidationMode, attribut

Valeur	Description
Énumération	Une des valeurs suivantes : None, PeerTrust, ChainTrust, PeerOrChainTrust, Custom. Pour plus d’informations, consultez Utilisation des certificats.

revocationMode, attribut

Valeur	Description
Énumération	Une des valeurs suivantes : NoCheck, Online, Offline. Pour plus d’informations, consultez Utilisation des certificats.

trustedStoreLocation, attribut

Valeur	Description
Énumération	L’une des valeurs suivantes : `LocalMachine` ou `CurrentUser`. Par défaut, il s’agit de `CurrentUser`. Si l'application cliente s'exécute sous un compte système, le certificat se trouve généralement dans `LocalMachine`. Si l'application cliente s'exécute sous un compte d'utilisateur, le certificat se trouve généralement dans `CurrentUser`.

Éléments enfants

Aucune.

Éléments parents

Élément	Description
<clientCertificate>	Définit un certificat X.509 utilisé pour authentifier un client à un service.

Notes

L'élément <authentication> correspond à la classe X509ClientCertificateAuthentication. Il vous permet de personnaliser la manière dont les clients sont authentifiés. Vous pouvez affecter certificateValidationMode, None, ChainTrust, PeerOrChainTrust ou PeerTrust à l'attribut Custom. Par défaut, le niveau a la valeur ChainTrust, laquelle spécifie que chaque certificat doit se trouver dans une hiérarchie de certificats se terminant dans une autorité racine au sommet de la chaîne. C’est le mode le plus sécurisé. Vous pouvez également affecter la valeur PeerOrChainTrust, laquelle spécifie que les certificats auto-émis (approbation homologue) sont acceptés, de même que les certificats qui se trouvent dans une chaîne approuvée. Cette valeur est utilisée lors du développement et du débogage des clients et des services car il n'est pas nécessaire d'acheter les certificats auto-émis auprès d'une autorité approuvée. Lorsque vous déployez un client, utilisez à la place la valeur ChainTrust.

Vous pouvez également utiliser Custom. Lorsque vous utilisez Custom, vous devez également affecter l'assembly et le type utilisés pour valider le certificat à l'attribut customCertificateValidatorType. Pour créer votre propre validateur personnalisé, vous devez hériter de la classe X509CertificateValidator abstraite. Pour plus d’informations, consultez Comment : créer un service qui utilise un validateur de certificat personnalisé.

Exemple

Le code suivant spécifie un certificat X.509 et un type de validation personnalisé dans l'élément <authentication>.

<serviceBehaviors>
  <behavior name="myServiceBehavior">
    <clientCertificate>
      <certificate findValue="www.cohowinery.com"
                   storeLocation="CurrentUser"
                   storeName="TrustedPeople"
                   x509FindType="FindByIssuerName" />
      <authentication customCertificateValidatorType="MyTypes.Coho"
                      certificateValidationMode="Custom"
                      revocationMode="Offline"
                      includeWindowsGroups="false"
                      mapClientCertificateToWindowsAccount="true" />
    </clientCertificate>
  </behavior>
</serviceBehaviors>

Share via