クライアント証明書の認証を中間層にオフロードする。のバックアップ(No.1) - .NET 開発基盤部会 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

バックアップ一覧
差分を表示
現在との差分を表示
ソースを表示
クライアント証明書の認証を中間層にオフロードする。へ行く。
- 1 (2019-05-16 (木) 19:58:07)

「.NET 開発基盤部会 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
詳細

概要 †

以下は、クライアント証明書を使用したプログラムのテスト動画

Demo: MultiPurposeAuthSite? & Financial-grade API part 2 (confidential client) of Open棟梁 - YouTube?
https://www.youtube.com/watch?v=m9BGlJwOdOM

この構築は、IIS Expressで行った。

クライアント証明書は、以下のプログラムで取得可能。

https://github.com/OpenTouryoProject/MultiPurposeAuthSite/blob/develop/root/programs/MultiPurposeAuthSite/MultiPurposeAuthSite/Controllers/OAuth2EndpointController.cs#L109

これをApacheや他のWebサーバでやればイイだけ。

詳細 †

この処理を、中間層にオフロードしたい場合

調べると以下のようなものがある模様。

ProxyServlet?でリバースプロキシを作った話 - Qiita
https://qiita.com/shinevillage/items/5b10ae6517628a41c574
- https://github.com/mitre/HTTP-Proxy-Servlet

これを使用して、X.509をX-ARR-ClientCert?、X-Client-Certヘッダから、
読んで、任意のHTTPヘッダを追加して、代理リクエストすればイイ。

...しかし、色々調べて、具体的な実装方法が不明。

HAProxy †

そこで他にも調べてみたが、HAProxyというプロダクトに当該機能が存在するっぽい。

7.3. リバースプロキシで認証する場合の設定
Authentication Developer Guide 7.5.0 ドキュメント
https://nec-baas.github.io/baas-manual/latest/developer/ja/auth/clientcert/haproxy.html
- 本章では HAProxy によるクライアント証明書認証を行う場合の設定手順を説明します。
- バックエンドに以下をHTTPヘッダで転送する。
  - X-SSL-Client-DN: /C=JP/ST=Kanagawa/L=Kawasaki/O=...
  - X-SSL-Client-CN: client001
  - X-SSL-Client-UID: 00000001

自己署名証明書対策 †

なお、自己署名証明書の問題対策は以下に書かれている。

openssl - Haproxy ssl configuration - install root and intermediate certificate - Stack Overflow
https://stackoverflow.com/questions/15048346/haproxy-ssl-configuration-install-root-and-intermediate-certificate
...大きなPEMにまとめるとか、乱暴な設定方法らしい。

バックエンドに転送するHTTPヘッダ †

余談、SiteMinder?もバックエンドに認証結果情報をHTTPヘッダで転送していたと思うので、調べてみたが、オレオレなので、適当なヘッダに書き換えれば良さそう。

製品によって使用されるデフォルトの HTTP ヘッダ
CA Single Sign-On - 12.7 - Japanese - Japan - CA Technologies ドキュメント
https://docops.ca.com/ca-single-sign-on/12-7/jp/http-403316211.html
- SM_AUTHDIRNAME
- SM_AUTHDIRSERVER
- SM_AUTHDIRNAMESPACE
- SM_AUTHDIROID

なので、HAProxy のX-SSL-Client-**でもOK。