J'utilise des certificats client X.509 pour authentifier un ensemble de clients Windows via TLS mutuel. Quels clients font partie de cet ensemble devrait d'une manière ou d'une autre être administré dans AD, par exemple via l'appartenance à un groupe ou l'OU parent.
Remarque : la question s'applique aux certificats d'ordinateur, et non aux certificats d'utilisateur. C'est-à-dire que tout utilisateur doit pouvoir utiliser ce certificat lorsqu'il lance une requête HTTPS à partir d'un tel ordinateur. (Ceci s'ajoute à toute méthode de connexion de l'utilisateur, qui ne fait pas partie du schéma d'authentification mTLS).
Les serveurs doivent être capables de dire que l'ordinateur client qui s'authentifie est un membre de cet ensemble. Les serveurs sont des conteneurs basés sur Linux et ne font pas partie de l'AD/domaine, donc tout ce que nous avons est l'information dans le certificat X.509.
Les modèles de certificat Windows fournissent-ils une méthode pour transmettre une telle déclaration dans le cadre du certificat X.509 ? Il semble que je puisse limiter l'ensemble des ordinateurs qui peuvent obtenir un tel certificat, mais je ne trouve pas de moyen de marquer ces certificats d'une manière qui permette au serveur de les identifier.
- Le certificat X.509 ne contient pas le nom ou l'ID du modèle administratif, je ne peux donc pas non plus configurer le serveur pour le vérifier.
- Il semble que la flexibilité de la configuration des sujets soit limitée, et notamment qu'il n'existe pas de méthode permettant de faire correspondre des informations AD au champ sujet. Ce serait l'idéal - est-ce que je manque quelque chose ?
- Je pensais utiliser un CA intermédiaire spécifique pour ces modèles, mais cela semble bien trop compliqué pour des exigences aussi basiques.
Peut-être y a-t-il un autre aspect du certificat X.509 qui peut être défini par le biais du modèle ? Ou puis-je utiliser une demande différente de celle de groupe/OU ?
