SharePoint 聲明使用客戶端證書對沒有 Active Directory 帳戶的用戶進行身份驗證

Question

我正在嘗試讓沒有 Active Directory 帳戶的用戶使用 SharePoint 2019（本地）進行客戶端證書聲明身份驗證。

內部用戶已經通過 forms 身份驗證映射到 AD 用戶對 SharePoint 進行身份驗證，並且他們的聲明流向 SharePoint。 但是現在會有很多外部用戶擁有客戶端證書（X.509），但沒有AD帳戶到map。

我已經配置了 IIS 設置，因此 SharePoint 要求提供客戶端證書並嘗試使用所選的證書進行身份驗證，但這就是我碰壁的地方。

我認為該解決方案將涉及一些自定義 .NET 代碼，該代碼通過檢查一些證書值來驗證客戶端證書，並且鏈中最頂層的根證書與指紋或頒發者的預期匹配。

驗證客戶端證書后，我可以將 map 發送給通用 AD 用戶（想想人力資源部門或會計部門），然后以某種方式將一些聲明和身份驗證內容推送到 SharePoint。

我正在使用 SharePoint 聲明查看器 web 部分來查看當前用戶的聲明，一旦經過身份驗證就知道聲明的來源和價值，所以我應該能夠比較 ZAC68B62ABFD6A9FE26E8AC4236 登錄到客戶端證書登錄8 .

我的問題是：

1. 這個解決方案概念是正確的方法嗎？ 如果沒有，有什么更好的方法來考慮這個問題？
2. 如何構建自定義身份驗證代碼（是成員資格提供程序、自定義 STS、自定義聲明提供程序）？ 是否有 SharePoint 2019 模板用於接口和事件 SharePoint 期望調用？
3. 如何將自定義驗證碼部署到 SharePoint 中？

Answer 1

有 IIS 客戶端證書映射身份驗證： https://docs.microsoft.com/en-us/iis/configuration/system.webserver/security/authentication/iisclientcertificatemappingauthentication/

我沒有將它與 SharePoint 一起使用，但它允許 IIS 對客戶端證書進行身份驗證，以像任何其他身份驗證一樣對用戶進行身份驗證（例如 AD 集成客戶端證書）。 web.config 文件中的映射不是 AD。