Azure 带有客户端证书的自托管网关

Question

如何保护自托管网关上的 API 免遭未经授权使用客户端证书？

关于这个主题的文档对我来说太不清楚了：

https://learn.microsoft.com/en-us/azure/api-management/api-management-howto-ca-certificates#create-custom-ca-for-self-hosted-gateway

谢谢。

Answer 1

• 您可以验证连接客户端提供的证书，并使用策略表达式根据所需值检查证书属性。
• 有关使用客户端证书保护对 API 后端服务的访问的信息，请参阅如何使用客户端证书身份验证保护后端服务
• 要在开发人员、基本、标准或高级层中通过 HTTP/2 接收和验证客户端证书，您必须打开“自定义域”边栏选项卡上的“协商客户端证书”设置。

• 要接收和验证消费层中的客户端证书，您必须打开“自定义域”边栏选项卡上的“请求客户端证书”设置。

• 验证客户端证书的策略- 使用validate-client-certificate策略来验证客户端证书的一个或多个属性。
• 与上下文变量证书验证-您也可以创建一个策略表达式context变量来检查客户端证书。
• 检查发行人和主题
• 检查指纹
• 根据上传到 API 管理的证书检查指纹。 有关更多详细信息，请参阅API 管理中使用客户端证书身份验证的安全 API

Answer 2

解决方案是在创建证书期间提供正确的通用名称/DNS 名称。 之后，必须在自托管网关的网关面板内创建网关主机名并添加上传的证书，然后选中复选框协商客户端证书。