ServiceNow脚本化REST API未强制MTLS配置问题咨询

问题场景 #

我已按照ServiceNow官方文档配置了实例中Scripted REST API的MTLS，具体操作包括：

• 创建Group Filter Criteria，将用户加入拥有API基础访问权限的组
• 将该筛选条件添加至Authentication Policy
• 将策略关联到证书认证类型的标准Authentication Profile
• 创建REST API Access Policy并关联目标API与该身份验证配置文件

但完成配置后，未传递客户端证书时API仍返回有效响应，不符合MTLS启用后无有效证书请求应失败的预期。

核心排查方向 #

1. 检查REST API Access Policy的优先级与匹配规则 #

• 确认是否存在其他优先级更高的Access Policy，这类策略可能优先生效并绕过MTLS认证逻辑。ServiceNow的Access Policy按优先级数值从小到大排序，数值越小优先级越高。
• 验证Access Policy中关联的API范围是否精准，确保目标Scripted REST API的名称、路径被正确包含，避免因范围不匹配导致策略未触发。

2. 校验Authentication Profile的认证强制设置 #

• 确认Profile的认证类型为证书，且仅启用了证书认证方式，未添加基本认证、OAuth等其他备选认证方法——如果存在其他认证方式，无证书时请求可能通过其他途径完成认证。
• 检查Profile内的证书验证开关，确保开启了“要求有效客户端证书”的配置（不同版本的配置项名称可能略有差异，需对应版本文档确认）。

3. 验证Authentication Policy的筛选逻辑 #

• 确认Group Filter Criteria的规则正确，确保只有通过证书校验的用户会被分配到具备API访问权限的组。
• 检查Policy的生效条件，是否设置了仅在调用目标API时触发，避免因条件过宽或冲突导致策略未被应用。

4. 排查实例全局MTLS配置 #

• 确认实例已全局启用MTLS支持，检查系统属性（如glide.rest.mtls.enabled）是否设置为true，全局禁用会导致所有MTLS配置失效。
• 验证服务器端已正确导入并配置信任的CA证书，若CA证书未被信任，客户端证书校验会被跳过，进而导致无证书请求被放行。

5. 日志与请求测试验证 #

• 发起无证书请求时，开启ServiceNow的Security日志和REST API日志，查看请求的认证流程：
  • 确认请求是否触发了证书认证逻辑
  • 检查是否存在自动启用的其他认证方式（如会话Cookie、匿名权限）
  • 核实请求被识别的用户身份，确认是否为未授权用户却获得了访问权限
• 测试时务必清除所有其他认证凭证（如Cookie、Authorization头），避免干扰测试结果。

6. 检查API本身的权限配置 #

• 确认目标Scripted REST API未开启匿名访问权限，且API资源的ACL配置仅允许通过MTLS认证的用户访问，避免宽松的权限规则导致未授权访问。

内容的提问来源于stack exchange，提问作者Geo Thomas