Azure App Service（Windows）如何配置筛选客户端证书列表？

核心限制说明 #

Azure App Service Windows 属于托管服务，用户没有系统级访问权限，因此无法直接修改 Client Authentication Issuers (ClientAuthIssuer) 证书存储，也不能调整 SendTrustedIssuerList 注册表项——这是平台沙箱机制的固有限制。

可行替代方案 #

1. 应用层校验筛选

浏览器仍会展示所有符合「Client Authentication」用途的证书，但可在应用代码中添加校验逻辑，仅允许指定CA签发的证书通过：

• 获取客户端证书后，校验其签发者信息（如Issuer名称、CA证书指纹）是否在信任列表内；
• 若不符合，直接返回未授权响应。

以ASP.NET为例，代码示例如下：

var clientCert = Request.ClientCertificate;
if (clientCert == null || !clientCert.IsValid)
{
    return Unauthorized();
}

// 替换为你的信任CA签发者信息
var trustedCaIssuers = new HashSet<string>
{
    "CN=YourTrustedRootCA, O=YourOrg, L=City, S=State, C=Country",
    "CN=YourTrustedSubCA, OU=YourDept, O=YourOrg, C=Country"
};

if (!trustedCaIssuers.Contains(clientCert.Issuer))
{
    return Unauthorized("证书签发CA不在信任列表内");
}

// 后续业务逻辑

2. 前置代理层筛选（推荐）

使用Azure Front Door或Application Gateway作为流量入口，在代理层配置客户端证书验证并指定受信任CA列表：

• 代理会向浏览器发送信任CA列表，浏览器仅展示对应CA签发的证书；
• 不符合的证书请求会被代理直接拦截，不会到达App Service。

配置要点：

• Azure Front Door：在自定义HTTPS设置中启用「客户端证书验证」，上传并指定受信任的CA证书；
• Application Gateway：在SSL设置的「客户端证书验证」模块中，添加信任的CA证书并启用验证。

补充说明 #

App Service Windows的沙箱环境隔离了系统级资源，用户仅能管控应用自身的配置、代码和私有证书存储（通过App Service证书功能上传的证书），无法触及系统级的证书存储或注册表项。前置代理方案能实现和Nginx类似的浏览器证书筛选效果，是更贴近需求的解决方式。

内容的提问来源于stack exchange，提问作者Kostadin Angelovski