带有客户端证书的 Azure 自托管网关

Question

如何使用客户端证书保护自托管网关上的 API 免遭未经授权的使用？

关于这个主题的文档对我来说太不清楚了：

https://docs.microsoft.com/en-us/azure/api-management/api-management-howto-ca-certificates#create-custom-ca-for-self-hosted-gateway

谢谢。

Answer 1

• 您可以验证连接客户端提供的证书，并使用策略表达式根据所需值检查证书属性。
• 有关使用客户端证书保护 API 的 back-end 服务访问的信息，请参阅 How to secure back-end services using client certificate authentication
• 要在开发人员、基本、标准或高级层中接收和验证超过 HTTP/2 的客户端证书，您必须打开 “协商客户端证书” 设置“自定义域” blade.

• 要在消费层中接收和验证客户端证书，您必须打开 “请求客户端证书” 设置 "自定义域" blade.

• 验证客户端证书的策略- 使用validate-client-certificate策略验证客户端证书的一个或多个属性。
• 使用上下文变量进行证书验证 - 您还可以使用 context variable 创建策略表达式来检查客户端证书。
• 检查发行者和主题
• 检查指纹
• 正在根据上传到 API 管理的证书检查指纹。 更多详细信息请参考secure APIs using client certificate authentication in API Management

Answer 2

解决方案是在创建证书期间提供正确的通用 name/dns 名称。之后，必须在自托管网关的网关面板内创建网关主机名，并添加上传的证书并选中协商客户端证书复选框。