IIS客户端证书映射认证配置疑问：客户端是否需私钥？

首先直接给你明确结论：客户端请求必须携带带有私钥的证书，这不是安全隐患，反而是双向SSL认证的核心安全机制，你的理解确实存在一些偏差，下面逐一拆解你的疑问：

1. 为什么客户端必须携带私钥？ #

双向SSL认证（也就是你说的仅允许携带客户端证书的请求访问）的核心逻辑是互相验证身份：

• 服务器先给客户端出示自己的证书（你的*.wildcard.com证书），客户端验证服务器证书的合法性；
• 接着服务器会要求客户端出示证书，然后服务器需要验证客户端确实是这个证书的合法持有者——这一步就需要客户端用证书对应的私钥对服务器发送的随机挑战数据进行签名，服务器用客户端证书里的公钥去验证这个签名。如果客户端没有私钥，根本无法完成签名验证，服务器自然会返回403.7禁止错误。

私钥绝对不能共享，这是保障安全的关键！每个客户端（或每个授权用户/设备）应该拥有专属的客户端证书（包含公钥和仅自己持有的私钥），而不是共用同一个证书的私钥。

2. 公钥的作用与客户端证书分发方式 #

公钥是用来验证签名的，不是用来客户端身份认证的。正确的客户端证书分发流程应该是：

• 你需要搭建自己的内部CA（或者使用信任的第三方CA），给每个授权的客户端/用户签发独立的客户端证书（这些证书需要包含客户端认证的扩展1.3.6.1.5.5.7.3.2，和你的服务器证书一样）；
• 把签发好的带私钥的证书分发给客户端，客户端将证书安装到本地的证书存储（比如你代码里用的StoreName.My，这个存储专门存放带私钥的证书）；
• 服务器端只需要信任签发这些客户端证书的CA即可，不需要逐个配置证书映射（当然如果需要细粒度权限控制可以用映射）。

3. IIS的iisClientCertificateMappingAuthentication作用是什么？ #

这个功能的核心是将客户端证书身份映射到服务器本地的Windows用户账户：

• 当客户端通过SSL证书认证后，IIS会根据你配置的映射规则（一对一或多对一），把客户端的证书身份转换成对应的Windows用户身份；
• 这样后续Web服务的权限控制就可以基于Windows用户来实现（比如设置文件访问权限、应用程序池权限等）；
• 你用的一对一映射，就是把某一个特定客户端证书的公钥信息，绑定到一个具体的Windows用户，只有持有这个证书的客户端，才能以该Windows用户的身份访问服务。

针对你当前问题的排查建议 #

• 确认IIS的SSL设置中，已经将客户端证书选项设置为「要求」（而不是「接受」）；
• 检查你配置的一对一映射对应的Windows用户，是否拥有访问https://wildcard.com/SSLTest/Connect.asmx这个Web服务的权限（比如加入IIS_IUSRS组）；
• 不要尝试共享私钥，尽快为每个客户端签发独立的客户端证书，这是保障安全的正确做法。

内容的提问来源于stack exchange，提问作者Suraj Shaha