iis7中CFCA客户端登录报403错误已解决

我要评论2013/01/13 11:18:36 来源：绿色资源网编辑：www.downcc.com 评论:0点击:489次

先简单说下原理

大概原理：

采用SSL，在用户使用浏览器访问WEB服务器时，会在客户端和服务器建立安全SSL通道。在SSL会话产生时：

第一步服务器会传送它的服务器证书，客户端会自动的分析服务器证书，来验证服务器的身份。

第二步服务器会要求浏览器出示客户端证书，服务器完成客户端证书验证以后，才来对用户进行身份认证。这个认证是对客户端证书的验证包括验证

客户端证书是否由服务器新人的证书颁发机构颁发，客户端证书是否在有效期内，客户端证书是否有效（是否被窜改等）以及客户端证书是否已经

被服务器吊销等。验证通过以后，服务器会解析客户端证书，获取用户信息，并根据用户的信息查询访问控制列表来决定是否授权访问。

因为客户端证书被吊销，验证没通过，所有无权访问，IIS 返回 403 . 13

IIS无法连接CA的CRL，导致所有证书都被认为是无效的。如果是在测试环境中，可以选择禁止IIS检查CRL，如果是正式运行环境，需要由CA的管理人员解决。因为一旦禁用IIS检查CRL，就意味着所有由IIS信任的证书颁发机构颁发的证书，只有没有过有效期，IIS都会认为是有效的。这样对于正式的运行环境中是很危险的，因为不能保证CA永远也不吊销任何曾经颁发的证书。