Thinktecture IdentityServer v3 指南 - 证书

Question

我正在制作 Thinktecture IdentityServer v3 的演示。目的是让身份服务器在 Azure 网站下作为它自己的网站运行。

会有其他（不止一个）Azure 网站使用身份服务器对用户进行身份验证。

根据入门演练（请参阅https://github.com/thinktecture/Thinktecture.IdentityServer.v3/wiki/Getting-started），我大部分都在工作。

我遇到问题的地方是证书。

对于演示，我想创建自己的证书 - 但我不确定我需要做什么。任何指导都会有所帮助。

我对此还有其他问题：

1. 是否可以使用自签名证书？
2. 在生产场景中，是否可以接受自签名证书，或者它们真的需要由受信任的根授权机构签名？
3. 如何将这些证书安装到 Azure 网站（或者我可以从磁盘加载）

Answer 1

嗯 - 严格来说，您需要两个证书 - 一个用于 SSL，一个用于签名 - 从技术上讲，它们可能是相同的 - 但不是必须的。他们也有不同的要求。

对于 SSL - 您需要有一个在您的客户端的受信任列表中的证书。通常，这要么是来自商业 CA 的证书，要么来自内部 PKI。

对于签名证书 - 您可以生成自己的 - 例如使用 makecert。

IdSrv 在加载证书方面非常灵活 - 您可以从任意来源检索它们 - 通常来自 Windows 证书存储（当您对服务器具有管理员级别的访问权限时） - 或文件系统，或来自嵌入式资源。

我们的示例主机使用嵌入式资源方法，该方法适用于 Azure 网站。对于生产场景，您通常需要更大的灵活性（例如翻转） - 所以我会考虑从例如加载它Blob 存储。

Answer 2

扩展最低权限的答案，我认为“正确”的方法是将它们安装在 Azure 信任库中，但在我的情况下，我从嵌入式资源中提供它们，如 idsrv3 示例中所示。

这里有一些对我有用的细节。创建自签名证书：

        "C:\Program Files (x86)\Windows Kits\8.1\bin\x64\makecert.exe" -r -pe -n "CN=MyAppIdentity" -sky signature MyApp.cer -sv MyApp.pvk
        "C:\Program Files (x86)\Windows Kits\8.1\bin\x64\pvk2pfx.exe" -pvk MyApp.pvk -spc MyApp.cer -pfx MyApp.pfx -pi MyPassword -po MyPassword

尽管有 pvk2pfx.exe 文档，但我发现如果未提供 -po，则 pfx 不会保留与 pvk 相同的密码，并且 X509Certificate2() 会因密码问题而失败。

idsrv3 示例证书在我的 Azure 上运行良好，使用 idsrv3 示例代码：

        var assembly = typeof(Certificate).Assembly;
        using (var stream = assembly.GetManifestResourceStream("MyCompany.Identity.Website.Config.idsrv3test.pfx"))
        {
            return new X509Certificate2(ReadStream(stream), "idsrv3test");
        }

但是，当我使用上面的代码制作自己的证书时，它在本地测试中运行良好，但在 Azure 上，我必须添加一些额外的标志才能使其正常工作。我不一定确定使用这些的含义，但它们有效，所以这是一个开始：

        using (var stream = assembly.GetManifestResourceStream("MyCompany.Identity.Website.Config.MyApp.pfx"))
        {
            return new X509Certificate2(ReadStream(stream), 
                "MyPassword", 
                X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable);
        }