authentication - 如何从断开的网络生成 SSL 客户端证书？

Question

我有一个独特的情况，我需要在 IE 浏览器和 IIS 6 之间通过 HTTPS 实现客户端证书身份验证。浏览器和 IIS 被防火墙隔开，只允许浏览器在 SSL 端口上连接到 IIS。

我们在与 IIS 相同的网络上有一个内部证书服务器。我已经为 IIS 生成了一个 SSL 服务器证书并已安装。我将 IIS 配置为仅允许 SSL，需要客户端证书。

这里的限制是浏览器机器在断开的网络上，所以我不能去 CA 的 http://caserver/CertSrv网址和request a client cert像往常一样。

我想如果有一种方法可以针对根 CA 的公钥生成 CSR，我可以将其复制到 CA 服务器以生成客户端证书。但是，IE 或 Certificates MMC 中似乎没有规定可以执行此操作。证书 MMC 似乎需要直接连接到 CA。

有没有人解决过这个问题？

仅供引用，所有引用的服务器都运行 Windows Server 2003。

更新:感谢 Jonas Oberschweiber 和 Mark Sutton 指出 CertReq.exe 命令行工具。使用它，我生成了一个 CSR，并因此生成了一个成功安装的客户端证书。但是，IE 在访问有问题的 IIS 服务器时显然没有发送此客户端证书；它仍然会生成 403.7“禁止访问:需要 SSL 客户端证书。”我怀疑原因是客户端证书的主题字段与运行 IE 的帐户的用户 ID 不匹配，因此可能不会发送不匹配的客户端证书。主题与我用来提交 CSR 并在防火墙另一端生成客户端证书的用户匹配。

Subject 字段重要吗？我还需要做些什么来让 IE 发送此证书吗？

Answer 1

在你的客户端使用certreq命令如下

certreq -new -f filein c:\certrequest.req

这是文件输入的例子

[版本]Signature="$Windows 新台币"

[新请求]
Subject="CN=dc1.extranet.frbrikam.com"
EncipherOnly = 假
可导出 = 假
键长 = 1024
key 规范 = 1
key 使用 = 0xA0
MachineKeySet = True
ProviderName = "Microsoft RSA SChannel 加密提供程序"
提供商类型 = 12
请求类型 = CMC

[请求属性]CertificateTemplate=TLSServer

将 CertificateTemplate 替换为您的证书模板的名称

获得请求文件后，您需要将其保存在 U 盘上的证书颁发机构，并像往常一样使用 Web 注册界面来处理请求文件。

将输出证书带回客户端打开并点击安装。