ssl - 使用 CN 和主题备用名称与 UPN 不同的 ADFS 客户端证书身份验证

Question

我正在尝试使用客户端证书身份验证为 SharePoint 应用程序实现客户端身份验证。

用户的证书由外部证书颁发机构颁发，我们通过将证书值映射为 CN 的名称将证书映射到 Active Firectory 中的用户。但是，证书的 CN 与 Active Directory 中的 UPN 不匹配，我无法控制 CN 的创建方式(外部 CA)。

当用户尝试通过客户端证书登录时(我们使用证书启用外部身份验证+将所有根 CA 添加到受信任的存储区以便客户端证书可以被信任)，系统会提示用户选择证书，然后那，他们收到以下错误:

联邦服务在处理 WS-Trust 请求时遇到错误。

请求类型:schemas.microsoft.com/idfx/requesttype/issue

附加数据异常详情:

System.ComponentModel.Win32Exception (0x80004005): Microsoft.IdentityModel.Tokens.X509SecurityTokenHandler.KerberosCertificateLogon(X509Certificate2 证书) 在 Microsoft.IdentityModel.Claims.WindowsClaimsIdentity.CertificateLogon(X509Certificate2 x50) 的用户名或密码不正确9Certificate) 在微软。 IdentityModel.Claims.WindowsClaimsIdentity.CreateFromCertificate(X509Certificate2 证书， bool 值 useWindowsTokenService，字符串 issuerName)在 Microsoft.IdentityModel.Tokens.X509SecurityTokenHandler.ValidateToken(SecurityToken token )在 Microsoft.IdentityServer.Service.Tokens.MSISX509SecurityTokenHandler .ValidateToken(SecurityToken token )在 Microsoft.IdentityServer .Web.WSTrust.SecurityTokenServiceManager.GetEffectivePrincipal(SecurityTokenElement securityTokenElement，SecurityTokenHandlerCollection securityTokenHandlerCollection)在 Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(RequestSecurityToken 请求，IList1& identityClaimSet，List1 additionalClaim s)

Answer 1

确保备用 ID 与证书的指纹匹配。

根据您的错误消息，一些可能的情况是:

• 您的 ADFS 服务帐户无法读取用户的 pwdlastset 值在您的子域中 - 检查有效权限。
• 子域中的用户从未设置过密码，或者 pwdlastset 的值设置为非常大或非常小的值，无法继续文件时间 - 如果为用户提供了正在写入 AD 数据库的身份管理工具具体方式。

在子域中手动创建用户，看用户是否可以登录。如果不能，则禁用对象的继承并将读取所有属性权限分配给服务帐户 - 删除用户的任何拒绝权限。