COMO: Configurar o mapeamento de certificados do cliente Serviços de informação Internet (IIS) 5.0

Este artigo passo a passo descreve como configurar os mapeamentos de certificados de cliente de serviços de informação Internet (IIS) 5.0.

Mapear certificados de cliente para contas de utilizador

No IIS, pode autenticar usuários que efetuam logon com um certificado de cliente através do mapeamento de certificados para contas de utilizador do Windows. Os certificados mapeados são utilizados para ou negar acesso a recursos da Web ou conceder direitos e permissões para a conta de utilizador mapeada. Existem dois métodos na qual pretende mapear certificados:

• Mapeamento um-para-um
  
  Mapeamento um-para-um mapeia um certificado único cliente para uma única conta de utilizador. O servidor compara uma cópia do respectivo certificado com o certificado de cliente enviado pelo browser. Ambos os certificados têm de ser idênticos o mapeamento continuar.
• Mapeamento muitos-para-um
  
  Mapeamento muitos-para-um mapeia vários certificados para uma conta de utilizador único. Caracteres universais que corresponda às regras utiliza para definir os critérios de certificado de mapeamento. Este tipo de mapeamento não compara o certificado de cliente propriamente dito, em vez disso, este aceita todos os certificados de cliente que satisfaçam critérios específicos. Se certificados corresponderem as regras, são mapeados para a conta de utilizador apropriados.

Mapeamento de serviço do Windows 2000 Active Directory

No IIS, também pode mapear um certificado para uma conta de utilizador do Windows utilizando a funcionalidade de serviço de directório do Active Directory do Microsoft Windows 2000. Esta opção está disponível apenas na réplica da estrutura global nível das propriedades e se o servidor é um membro de um domínio do Windows 2000.

Para activar o mapeador do serviço de directório do Windows:

1. Inicie o Gestor de serviços Internet ou abra a MMC que contém o snap-in do IIS.
2. No painel de Serviços de informação Internet (IIS) , clique com o botão direito do rato * server name em que server name é o nome do servidor e, em seguida, clique em Propriedades .
3. Clique no separador Serviços de informação Internet (IIS) .
4. Em Propriedades principais , clique em Serviço WWW e, em seguida, clique em Editar .
5. No Propriedades principais do serviço WWW para * server name propriedades diálogo, clique no separador Segurança de directórios .
6. Em comunicações seguras , clique para seleccionar a caixa de verificação activar o mapeador do serviço de directório do Windows e, em seguida, clique em OK .

Para mais informações sobre o mapeamento de serviço de directório Active Directory do Windows 2000, clique em Iniciar , clique em Ajuda , clique no separador índice remissivo e, em seguida, escreva o mapeamento de certificados .

Mapeamento one-to-One

Exportar um certificado

No mapeamento um-para-um do IIS, alguns certificados têm de ser exportados. Para exportar um certificado para utilização no mapeamento um-para-um do IIS:

1. Inicie o Internet Explorer e, em seguida, clique em Opções da Internet no menu Ferramentas .
2. Clique no separador conteúdo .
3. Em certificados , clique em certificados e, em seguida, clique no separador pessoal .
4. Clique no certificado que pretende exportar e, em seguida, clique em Exportar para iniciar o Assistente de exportação de certificados.
5. Clique em seguinte .
6. Clique em não, não exporte a chave privada e, em seguida, clique em seguinte .
7. Clique em base-64 codificado X.509 (*.cer) e, em seguida, clique em seguinte .
8. Na caixa nome do ficheiro , clique em Procurar , especifique um nome e a localização onde pretende guardar o ficheiro e, em seguida, clique em Guardar .
9. Clique em seguinte e, em seguida, clique em Concluir .
10. Clique em OK para a mensagem "A exportação foi concluída com êxito", clique em Fechar e, em seguida, clique em OK . O certificado está pronto para mapeamento um para um do IIS. Este procedimento deverá ser concluída uma vez para cada certificado.

Mapear um certificado de cliente específico para uma conta de utilizador

Para mapear um certificado de cliente específico para uma conta de utilizador:

1. Inicie o Gestor de serviços Internet ou abra a MMC que contém o snap-in do IIS.
2. Clique com o botão direito do rato para o qual pretende configurar a autenticação (por exemplo, Web Site predefinido ) do Web site e, em seguida, clique em Propriedades .
3. Clique no separador Segurança de directórios e, em seguida, em comunicações seguras , clique em Editar .
4. Clique para seleccionar a caixa de verificação Activar mapeamento de certificados de cliente e, em seguida, clique em Editar .
5. Clique no separador 1 para 1 e, em seguida, clique em Adicionar .
6. Na caixa Abrir , localize o ficheiro de certificado e, em seguida, clique em Abrir .
   
   Nota : Se não conseguir localizar o ficheiro de certificado, poderá ter de exportar o ficheiro.
7. Na caixa de diálogo mapear para conta , utilize os seguintes passos:
   1. Na caixa Nome do mapa , escreva um nome de mapa.
   2. Na caixa conta , escreva ou clique em Procurar para procurar a conta de utilizador do Windows que pretende mapear. Escreva a palavra-passe da conta de utilizador na caixa palavra-passe e, em seguida, clique em OK .
   3. Escreva novamente a palavra-passe na caixa de diálogo Confirmar palavra-passe e, em seguida, clique em OK .
8. Repita os passos 5 a 7 para mapear outros certificados ou para mapear este certificado para outras contas de utilizador.
9. Quando terminar de criar mapeamentos que pretende, clique três vezes em OK e, em seguida, saia do Gestor de serviços Internet ou feche o snap-in do IIS.

Mapeamento muitos-para-um

Mapear certificados de cliente utilizando regras de caracteres universais

Para adicionar um mapeamento de certificado de cliente utilizando regras de caracteres universais:

1. Inicie o Gestor de serviços Internet ou abra a MMC que contém o snap-in do IIS.
2. Clique com o botão direito do rato para o qual pretende configurar a autenticação (por exemplo, Web Site predefinido ) do Web site e, em seguida, clique em Propriedades .
3. Clique no separador Segurança de directórios e, em seguida, em comunicações seguras , clique em Editar .
4. Clique para seleccionar a caixa de verificação Activar mapeamento de certificados de cliente e, em seguida, clique em Editar .
5. Clique no separador muitos para 1 e, em seguida, clique em Adicionar .
6. Na caixa de diálogo Geral , escreva um nome para a regra e, em seguida, seguinte .
7. Na caixa de diálogo regras , clique em Novo .
8. Na caixa de diálogo Editar elemento da regra que aparece, configure as definições que pretende para a regra, clique em OK e, em seguida, clique em seguinte .
   
   Nota : se deve configurar as regras correspondentes seja o mais específico possível. Utilize regras de caracteres universais que correspondam às informações de vários campos diferentes e sub campos.
9. Na caixa de diálogo mapeamento , efectue um dos seguintes procedimentos:
   • Clique em aceitar este certificado para autenticação de início de sessão e, em seguida, na caixa conta , escreva ou clique em Procurar para procurar a conta de utilizador do Windows que pretende mapear. Digite a senha da conta de utilizador na caixa palavra-passe .
     
     - ou -
   • Clique em Recusar acesso .
10. Clique em Concluir .
11. Repita os passos 5 a 10 para criar outras regras de mapeamento.
12. Para estabelecer a prioridade das regras que definiu, clique numa regra na lista e, em seguida, clique em Mover para cima ou Mover para baixo para mover a regra superior ou inferior na lista. As regras que são superiores na lista têm uma prioridade mais alta.
13. Clique três vezes em OK e saia do Gestor de serviços Internet ou feche o snap-in do IIS.

Editar uma regra de caracteres universais existente

Para editar uma regra de curinga existente:

1. Inicie o Gestor de serviços Internet ou abra a MMC que contém o snap-in do IIS.
2. Clique com o botão direito do rato para o qual pretende configurar a autenticação (por exemplo, Web Site predefinido ) do Web site e, em seguida, clique em Propriedades .
3. Clique no separador Segurança de directórios e, em seguida, clique em Editar em comunicações seguras .
4. Clique para seleccionar a caixa de verificação Activar mapeamento de certificados de cliente e, em seguida, clique em Editar .
5. Clique no separador muitos-para-1 , clique na regra que pretende editar e, em seguida, clique em Editar regra .
6. Na caixa de diálogo Editar regra de mapeamento de caracteres universais , efectue as alterações que pretende e, em seguida, clique em OK .
7. Clique quatro vezes em OK e saia do Gestor de serviços Internet ou feche o snap-in do IIS.

Resolução de problemas

Se utilizar o IIS para mapear certificados de cliente para contas de utilizador, pode também utilizar o serviço de directório do Windows para configurar mapeamentos de certificados de cliente. Pode apenas utilizar um método ou a outra.

Para obter informações adicionais sobre tópicos relacionados, clique no número de artigo existente abaixo para visualizar o artigo na base de dados de conhecimento da Microsoft:

Para obter mais informações sobre mapeamento de certificado no IIS, consulte o tópico "Certificados" na secção "Security" da documentação online do IIS 5.0. Para visualizar a documentação, inicie o Microsoft Internet Explorer, escreva http://localhost/iisHelp na barra endereço e, em seguida, prima ENTER.

Para uma comparação de mapeamento de certificados do IIS 5.0 e mapeamento de certificados do Active Directory do Windows 2000, clique no artigo seguinte para visualizar o artigo na base de dados de conhecimento da Microsoft: