MQTT-ügyfélhitelesítés tanúsítványok használatával

Az Azure Event Grid MQTT-közvetítője X.509-tanúsítványokkal támogatja az ügyfelek hitelesítését. Az X.509-tanúsítvány biztosítja azokat a hitelesítő adatokat, amellyel egy adott ügyfelet társíthat a bérlőhöz. Ebben a modellben a hitelesítés általában egyszer történik a munkamenet-létrehozás során. Ezután a rendszer feltételezi, hogy az azonos munkamenetet használó összes jövőbeli művelet ebből az identitásból származik.

A támogatott hitelesítési módok a következők:

• Hitelesítésszolgáltató (CA) által kibocsátott tanúsítványok
• Önaláírt ügyféltanúsítvány – ujjlenyomat
• Microsoft Entra ID token

Ez a cikk a tanúsítványokra összpontosít. A Microsoft Entra ID-jogkivonatokkal történő hitelesítéssel kapcsolatos további információkért tekintse meg az ügyfél hitelesítését a Microsoft Entra ID-jogkivonattal.

Hitelesítésszolgáltató (CA) által aláírt tanúsítványok

Ebben a metódusban a rendszer egy fő vagy köztes X.509-tanúsítványt regisztrál a szolgáltatásban. Az ügyféltanúsítvány aláírásához használt főtanúsítványt vagy közvetítő tanúsítványt alapvetően először a szolgáltatásban kell regisztrálni.

Fontos

• Győződjön meg arról, hogy feltölti az ügyféltanúsítvány aláírásához használt főtanúsítványt vagy köztes tanúsítványt. Nem szükséges a teljes tanúsítványlánc feltöltése.
• Ha például gyökér-, köztes- és levéltanúsítvány-lánccal rendelkezik, győződjön meg arról, hogy feltölti a levél-/ügyféltanúsítványokat aláíró köztes tanúsítványt.

Az ügyfelek regisztrálása során azonosítania kell az ügyfél hitelesítési nevének tárolásához használt tanúsítványmezőt. A szolgáltatás megfelel a tanúsítvány hitelesítési nevének és az ügyfél hitelesítési nevének az ügyfél metaadataiban az ügyfél ellenőrzéséhez. A szolgáltatás az ügyféltanúsítványt is ellenőrzi annak ellenőrzésével, hogy a korábban regisztrált főtanúsítvány vagy közvetítő tanúsítvány alá van-e írva.

Önaláírt ügyféltanúsítvány – ujjlenyomat

Ebben a hitelesítési módszerben az ügyfélregisztrációs adatbázis tárolja annak a tanúsítványnak a pontos ujjlenyomatát, amelyet az ügyfél használni fog a hitelesítéshez. Amikor az ügyfél megpróbál csatlakozni a szolgáltatáshoz, a szolgáltatás ellenőrzi az ügyfelet az ügyféltanúsítványban bemutatott ujjlenyomat és az ügyfél metaadataiban tárolt ujjlenyomat összehasonlításával.

Feljegyzés

• Javasoljuk, hogy az ügyfél-hitelesítés nevét adja meg az ügyfél csatlakozási csomagjának felhasználónév mezőjében. Ezt a hitelesítési nevet és az ügyféltanúsítványt használva a szolgáltatás hitelesíteni tudja az ügyfelet.
• Ha nem adja meg a hitelesítési nevet a felhasználónév mezőben, konfigurálnia kell az ügyfél-hitelesítés nevének alternatív forrásmezőit a névtér hatókörében. A szolgáltatás az ügyfél-hitelesítés nevét keresi az ügyféltanúsítvány megfelelő mezőjében az ügyfélkapcsolat hitelesítéséhez.

A névtér hatókörében található konfigurációs lapon engedélyezheti az alternatív ügyfélhitelesítési névforrásokat, majd kiválaszthatja az ügyfél-hitelesítés nevét tartalmazó ügyféltanúsítvány-mezőket.

Fontos az ügyféltanúsítvány-mezők kiválasztásának sorrendje a névtér konfigurációs oldalán. A szolgáltatás ugyanabban a sorrendben keresi meg az ügyfél-hitelesítés nevét az ügyféltanúsítvány mezőiben.

Ha például először a Tanúsítvány DNS-beállítását, majd a Tulajdonos neve lehetőséget választja – az ügyfélkapcsolat hitelesítése közben

• a szolgáltatás először ellenőrzi az ügyféltanúsítvány tulajdonos alternatív neve DNS-mezőjét az ügyfél-hitelesítési névhez
• ha a DNS-mező üres, akkor a szolgáltatás ellenőrzi az ügyféltanúsítvány Tulajdonos neve mezőjét
• ha az ügyfélhitelesítés neve nem szerepel a két mező egyikében sem, az ügyfélkapcsolat le lesz tagadva

Az ügyfélhitelesítés mindkét módjában elvárjuk, hogy az ügyfélhitelesítés neve a kapcsolódási csomag felhasználónév mezőjében vagy az ügyféltanúsítvány egyik mezőjében legyen megadva.

Támogatott ügyféltanúsítvány-mezők az ügyfélhitelesítési név alternatív forrásához

Az alábbi mezők egyikével megadhatja az ügyfél-hitelesítés nevét az ügyféltanúsítványban.

Hitelesítési név forrásbeállítása	Tanúsítványmező	Leírás
Tanúsítvány tulajdonosának neve	tls_client_auth_subject_dn	A tanúsítvány tulajdonosának megkülönböztető neve.
Tanúsítvány dns-ének	tls_client_auth_san_dns	A dNSName tanúsítvány san-bejegyzése.
Tanúsítvány URI-ja	tls_client_auth_san_uri	A uniformResourceIdentifier tanúsítvány san-bejegyzése.
Tanúsítvány IP-címe	tls_client_auth_san_ip	A tanúsítvány iPAddress SAN bejegyzésében található IPv4- vagy IPv6-cím.
Tanúsítvány e-mail-címe	tls_client_auth_san_email	A rfc822Name tanúsítvány san-bejegyzése.

Következő lépések

• Megtudhatja, hogyan hitelesítheti az ügyfeleket tanúsítványlánc használatával
• Megtudhatja, hogyan hitelesítheti az ügyfelet a Microsoft Entra ID token használatával