Azure APIM - 如何使用 context.Request.Certificate.Verify() 验证客户端证书

Question

我正在尝试使用 context.Request.Certificate.Verify() 方法验证 Azure API 管理中的客户端证书。我已尝试以下步骤:

1. 我已经创建了自签名根 CA 证书，然后创建了客户端证书和 key 文件。
2. 现在，我正在尝试从 postman 那里调用附加客户端证书的方法。我已验证证书已通过跟踪发送到 APIM。
3. 已在 APIM -> CA 证书中上传根 CA 证书。上传时我转换为“.cer”文件，因为它不接受“.crt”文件，并将存储设置为“受信任的根”。
4. 在 APIM 政策中，已使用通过 context.Request.Certificate.Verify() 验证客户端证书的方法。

现在，当我尝试使用客户端证书调用 APIM api 时，上述方法(步骤 4)始终为 False，已从 apim 跟踪验证。不确定我在什么地方做错了事情。任何帮助/指导或任何文章都非常有帮助。

Answer 1

我遇到了类似的问题，调查摘要/原因如下:

• 后来客户在将 PFX 证书作为客户端证书从 Postman 发送到 APIM 时再次遇到问题。
• 无法公开访问自签名证书 CRL 分发列表(证书吊销列表中的网址)和访问信息(APIM 是公共(public)托管的，而不是内部的)，因此，certificate.verify 失败

解决问题的 2 个选项

• 从公共(public)信任的 CA 购买证书
• 使用 context.Request.Certificate.VerifyNoReplication 而不是 context.Request.Certificate.Verify，以便 APIM 在证书验证期间不会检查吊销列表

注意:如果certificate.verify是您的安全团队的强制命令，那么您必须从受信任的CA购买证书o 您需要VerifyNoReplication，因为apim 无法检索吊销列表信息，并且VerifyNoReplication 仍将执行验证证书路径