Azure 帶有客戶端證書的自托管網關

Question

如何保護自托管網關上的 API 免遭未經授權使用客戶端證書？

關於這個主題的文檔對我來說太不清楚了：

https://learn.microsoft.com/en-us/azure/api-management/api-management-howto-ca-certificates#create-custom-ca-for-self-hosted-gateway

謝謝。

Answer 1

• 您可以驗證連接客戶端提供的證書，並使用策略表達式根據所需值檢查證書屬性。
• 有關使用客戶端證書保護對 API 后端服務的訪問的信息，請參閱如何使用客戶端證書身份驗證保護后端服務
• 要在開發人員、基本、標准或高級層中通過 HTTP/2 接收和驗證客戶端證書，您必須打開“自定義域”邊欄選項卡上的“協商客戶端證書”設置。

• 要接收和驗證消費層中的客戶端證書，您必須打開“自定義域”邊欄選項卡上的“請求客戶端證書”設置。

• 驗證客戶端證書的策略- 使用validate-client-certificate策略來驗證客戶端證書的一個或多個屬性。
• 與上下文變量證書驗證-您也可以創建一個策略表達式context變量來檢查客戶端證書。
• 檢查發行人和主題
• 檢查指紋
• 根據上傳到 API 管理的證書檢查指紋。 有關更多詳細信息，請參閱API 管理中使用客戶端證書身份驗證的安全 API

Answer 2

解決方案是在創建證書期間提供正確的通用名稱/DNS 名稱。 之后，必須在自托管網關的網關面板內創建網關主機名並添加上傳的證書，然后選中復選框協商客戶端證書。