Comment faire : configurer le mappage de certificat client dans Internet Information Services (IIS) 5.0

Cet article étape par étape explique comment configurer les mappages de certificats client dans Internet Information Services (IIS) 5.0.

Mappage des certificats client sur les comptes d'utilisateurs

Dans IIS, vous pouvez authentifier les utilisateurs qui ouvrent une session avec un certificat client en mappant les certificats aux comptes d'utilisateur Windows. Les certificats mappés sont utilisés pour refuser l'accès à ressources Web soit accorder des droits et autorisations pour le compte d'utilisateur mappé. Il existe deux méthodes dans lequel mapper des certificats :

• Mappage un-à-un
  
  Mappage un-à-un associe un certificat client unique à un seul compte d'utilisateur. Le serveur compare une copie de son certificat avec le certificat client qui est envoyé par le navigateur. Les certificats doivent être identiques pour le mappage continuer.
• Plusieurs-à-un mappage
  
  Plusieurs-à-un mappage associe plusieurs certificats à un seul compte d'utilisateur. Il utilise des génériques règles de correspondance pour définir les critères de certificat pour le mappage. Ce type de mappage ne compare pas le certificat client réel, au lieu de cela, elle accepte tous les certificats clients répondant à des critères spécifiques. Si les certificats correspondent aux règles, ils sont associés au compte d'utilisateur approprié.

Mappage des services Windows 2000 Active Directory

Dans IIS, vous pouvez également mapper un certificat à un compte d'utilisateur Windows à l'aide de la fonctionnalité Microsoft Windows 2000 Active Directory répertoire service. Cette option est disponible uniquement au réplica-maître au niveau des propriétés et si le serveur est un membre d'un domaine Windows 2000.

Pour activer le mappeur de service d'annuaire Windows :

1. Démarrez le Gestionnaire des services Internet, ou ouvrez la console MMC qui contient le composant logiciel enfichable Services Internet (IIS).
2. Dans le volet de Services Internet (IIS) , cliquez avec le bouton droit sur * server name où server name est le nom du serveur et puis cliquez sur Propriétés .
3. Cliquez sur l'onglet Services Internet (IIS) .
4. Sous Propriétés de la forme de base , cliquez sur le service Web , puis cliquez sur Modifier .
5. Dans la propriétés principal de service Web de * server name propriétés boîte de dialogue, cliquez sur l'onglet Sécurité de répertoire .
6. Sous protocole de communication , activez la case à cocher Activer le mappeur de service d'annuaire Windows , puis cliquez sur OK .

Pour plus d'informations sur le service Windows 2000 Active Directory mappage, cliquez sur Démarrer , cliquez sur Aide , cliquez sur l'onglet Index et tapez mappage de certificats .

Mappage one-to-One

Exporter un certificat

Dans la correspondance un-à-un des services Internet (IIS), certains certificats doivent tout d'abord être exportées. Pour exporter un certificat à utiliser dans la correspondance un-à-un des services Internet (IIS) :

1. Démarrez Internet Explorer, puis cliquez sur Options Internet dans le menu Outils .
2. Cliquez sur l'onglet contenu .
3. Sous certificats , cliquez sur certificats , puis cliquez sur l'onglet personnel .
4. Cliquez sur le certificat que vous voulez exporter, puis cliquez sur Exporter pour démarrer l'Assistant Exportation de certificat.
5. Cliquez sur suivant .
6. Cliquez sur Non, ne pas exporter la clé privée , puis cliquez sur suivant .
7. Cliquez sur Base-64 codé X.509 (.cer) , puis cliquez sur suivant .
8. Dans la zone Nom de fichier , cliquez sur Parcourir , spécifiez un nom et un emplacement dans lequel vous souhaitez enregistrer le fichier et puis cliquez sur Enregistrer .
9. Cliquez sur suivant , puis cliquez sur Terminer .
10. Cliquez sur OK dans le message « l'exportation a réussi », cliquez sur Fermer et puis cliquez sur OK . Le certificat est prêt pour un-à-un mappage dans IIS. Cette procédure doit être exécutées une fois pour chaque certificat.

Mapper un certificat client spécifique à un compte d'utilisateur

Pour mapper d'un certificat client spécifique sur un compte d'utilisateur :

1. Démarrez le Gestionnaire des services Internet, ou ouvrez la console MMC qui contient le composant logiciel enfichable Services Internet (IIS).
2. Cliquez avec le bouton droit sur le site Web pour lequel vous souhaitez configurer l'authentification (par exemple, le site Web par défaut ), puis cliquez sur Propriétés .
3. Cliquez sur l'onglet Sécurité de répertoire , puis, sous protocole de communication , cliquez sur Modifier .
4. Activez la case à cocher Activer mappage de certificat client , puis cliquez sur Modifier .
5. Cliquez sur l'onglet 1-à-1 , puis cliquez sur Ajouter .
6. Dans la zone Ouvrir , recherchez le fichier de certificat et puis cliquez sur Ouvrir .
   
   Remarque : Si vous ne pouvez pas localiser le fichier de certificat, vous devrez peut-être exporter le fichier.
7. Dans la boîte de dialogue Mapper au compte , procédez comme suit :
   1. Dans la zone Nom de table , tapez un nom de carte.
   2. Dans la zone compte , tapez, ou cliquez sur Parcourir afin d'accéder au compte d'utilisateur Windows que vous voulez mapper. Tapez le mot de passe du compte utilisateur dans la zone mot de passe , puis cliquez sur OK .
   3. Retapez le mot de passe dans la boîte de dialogue Confirmer le mot de passe , puis cliquez sur OK .
8. Répétez les étapes 5 à 7 pour mapper des autres certificats ou pour les mapper ce certificat à d'autres comptes d'utilisateur.
9. Lorsque vous avez terminé de créer les mappages souhaité, cliquez sur OK trois fois et puis fermer Gestionnaire des services Internet ou fermez le composant logiciel enfichable Services Internet (IIS).

Plusieurs-à-un mappage

Mapper des certificats clients en utilisant des règles génériques

Pour ajouter un mappage de certificat client en utilisant des règles génériques :

1. Démarrez le Gestionnaire des services Internet, ou ouvrez la console MMC qui contient le composant logiciel enfichable Services Internet (IIS).
2. Cliquez avec le bouton droit sur le site Web pour lequel vous souhaitez configurer l'authentification (par exemple, le site Web par défaut ), puis cliquez sur Propriétés .
3. Cliquez sur l'onglet Sécurité de répertoire , puis, sous protocole de communication , cliquez sur Modifier .
4. Activez la case à cocher Activer mappage de certificat client , puis cliquez sur Modifier .
5. Cliquez sur l'onglet plusieurs-à-1 , puis cliquez sur Ajouter .
6. Dans la boîte de dialogue général , tapez un nom pour la règle et puis suivant .
7. Dans la boîte de dialogue règles , cliquez sur Nouveau .
8. Dans la boîte de dialogue Modifier un élément de règle qui s'affiche, configurez les paramètres de votre choix pour la règle, cliquez sur OK , puis cliquez sur suivant .
   
   Remarque : vous devez configurer vos règles de correspondance pour être aussi précis que possible. Utiliser des règles génériques qui correspondent aux informations de plusieurs champs différents et sub champs.
9. Dans la boîte de dialogue mappage , effectuez l'une des opérations suivantes :
   • Cliquez sur Accepter ce certificat pour l'authentification d'ouverture de session et puis dans la zone compte , tapez, ou cliquez sur Parcourir afin d'accéder au compte d'utilisateur Windows que vous voulez mapper. Tapez le mot de passe du compte d'utilisateur dans la zone mot de passe .
     
     -ou-
   • Cliquez sur Refuser l'accès .
10. Cliquez sur Terminer .
11. Répétez les étapes 5 à 10 pour créer des autres règles de mappage.
12. Pour établir la priorité des règles que vous avez défini, cliquez sur une règle dans la liste, puis cliquez sur Monter ou Descendre pour déplacer la règle supérieure ou inférieure de la liste. Règles qui sont supérieures dans la liste ont une priorité plus élevée.
13. Cliquez sur OK à trois reprises, puis fermez le Gestionnaire des services Internet ou fermez le composant logiciel enfichable Services Internet (IIS).

Modifier la une règle générique existante

Pour modifier une règle génériques existante :

1. Démarrez le Gestionnaire des services Internet, ou ouvrez la console MMC qui contient le composant logiciel enfichable Services Internet (IIS).
2. Cliquez avec le bouton droit sur le site Web pour lequel vous souhaitez configurer l'authentification (par exemple, le site Web par défaut ), puis cliquez sur Propriétés .
3. Cliquez sur l'onglet Sécurité de répertoire , puis cliquez sur Modifier sous communications sécurisées .
4. Activez la case à cocher Activer mappage de certificat client , puis cliquez sur Modifier .
5. Cliquez sur l'onglet plusieurs-à-1 , cliquez sur la règle que vous souhaitez modifier et puis cliquez sur Modifier la règle .
6. Dans la boîte de dialogue règle de mappage de caractère générique modifier , apportez les modifications souhaitées, puis cliquez sur OK .
7. Cliquez sur OK à quatre reprises, puis fermez le Gestionnaire des services Internet ou fermez le composant logiciel enfichable Services Internet (IIS).

Résolution des problèmes

Si vous utilisez des services Internet (IIS) pour mapper des certificats client aux comptes d'utilisateurs, vous ne pouvez pas également utiliser le service d'annuaire Windows pour configurer les mappages de certificats client. Vous pouvez uniquement utiliser une méthode ou l'autre.

Pour plus d'informations sur les rubriques connexes, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :

Pour plus d'informations sur la mappage de certificat client dans IIS, consultez la rubrique « certificats » dans la section « sécurité » de la documentation IIS 5.0 en ligne. Pour afficher la documentation, démarrez Microsoft Internet Explorer, tapez http://localhost/iisHelp dans la barre d'adresses et puis appuyez sur ENTRÉE.

Pour une comparaison de mappage de certificat Services Internet (IIS) 5.0 et Windows 2000 Active Directory le mappage de certificat, cliquez sur l'article ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :