配置IIS以使用外部OCSP验证客户端证书

问题描述

我正在运行Windows 2012 R2环境，该环境在IIS中托管网站。该网站当前需要客户端证书（已验证）才能访问该网站。

检查客户端证书以确保它是有效的并且未被吊销，不用于操作系统标识。如果用户出示有效的证书，则证书上的信息将用于在应用程序代码中对用户进行身份验证和标识（实际身份验证为“表单身份验证”）。客户端证书没有映射到单个用户（例如，客户端证书没有映射到活动目录帐户）。

该站点当前使用附加软件将客户端证书传递给外部OCSP，以验证证书状态。

我的目标是删除该其他软件，并仅保留IIS（或仅Windows Server）解决方案，但是文档使我感到困惑。我不确定是否需要在IIS服务器或我们的AD服务器上安装OCSP角色，还是在IIS中是否可以配置URL来检查证书？

解决方法

如果客户端证书指向其扩展名中的OCSP服务器，则IIS将自动对其进行验证。您可以检查CAPI2\Operational事件日志以查看验证过程中发生的情况。