使用 WCF 实现 SSL

谁借莪１个温暖的怀抱￠ 2023-05-30 08:57 5阅读 0赞

HTTP 传输安全 （或 SSL） 到 WCF 外部提供。 可以使用两种方式之一来实现 SSL；决定因素是承载应用程序的方式：

*  如果使用的 Internet 信息服务 (IIS) 作为 WCF 主机，使用 IIS 基础结构设置 SSL 服务。
 *  如果要创建自承载的 WCF 应用程序，可以将 SSL 证书绑定到使用 HttpCfg.exe 工具的地址。

### 使用 IIS 实现传输安全 ###

IIS 7.0

若要为安全宿主 （使用 SSL） 设置 IIS 7.0，请参阅[IIS 7.0 中配置安全套接字层][IIS 7.0]。

若要配置使用的证书与 IIS 7.0，请参阅[IIS 7.0 中配置服务器证书][IIS 7.0 1]。

IIS 6.0

若要为安全宿主 （使用 SSL） 设置 IIS 6.0，请参阅[配置安全套接字层][Link 1]。

若要配置使用的证书与 IIS 6.0，请参阅[Certificates\_IIS\_SP1\_Ops][Certificates_IIS_SP1_Ops]。

### 将 HttpCfg 用于 SSL ###

如果要创建自承载的 WCF 应用程序，下载 HttpCfg.exe 工具，可在[Windows XP Service Pack 2 支持工具网站][Windows XP Service Pack 2]。

有关使用 HttpCfg.exe 工具来设置端口的 X.509 证书的详细信息，请参阅[如何：使用 SSL 证书配置端口][SSL]。

# [如何使用 SSL 证书配置端口][SSL 1] #

本主题介绍如何完成以下一些过程：

*  确定计算机当前的端口配置。
 *  获取证书的指纹（以下两个过程需要证书指纹）。
 *  将 SSL 证书绑定到端口配置。
 *  将 SSL 证书绑定到端口配置并支持客户端证书。
 *  从某个端口号删除 SSL 证书。

请注意，修改存储于计算机上的证书需要管理特权。

### 确定如何配置端口 ###

1.  在中Windows Server 2003或Windows XP，使用 HttpCfg.exe 工具查看当前端口配置中，使用查询并ssl切换时，如下面的示例中所示。

*      httpcfg query ssl
 *  在 Windows Vista 中，使用 Netsh.exe 工具查看当前端口配置，如下面的示例所示。

1.      netsh http show sslcert

### 获取证书的指纹 ###

1.  使用证书 MMC 管理单元查找用于客户端身份验证的 X.509 证书。 有关详细信息，请参阅[如何：使用 MMC 管理单元查看证书][MMC]。
2.  访问证书的指纹。 有关详细信息，请参阅[如何： 检索证书的指纹][Link 2]。
3.  将证书指纹复制到文本编辑器，如 Notepad。
4.  移除十六进制字符之间的所有空格。 完成此操作的一种方法是使用文本编辑器的“查找和替换”功能，将每个空格替换为空字符。

### 将 SSL 证书绑定至端口号 ###

1.  在 Windows Server 2003 或 Windows XP 中，对安全套接字层 (SSL) 存储区使用 HttpCfg.exe 工具的“set”命令将证书绑定至端口号。 该工具使用指纹识别证书，如下面的示例所示。

*      httpcfg set ssl -i 0.0.0.0:8012 -h 0000000000003ed9cd0c315bbb6dc1c08da5e6
    
     *  \-I交换机具有的语法`IP`:`port` ，指示该工具将证书设置为计算机的端口 8012。 另外，也可将端口号前面的四个零替换为计算机的实际 IP 地址。
     *  \-H开关指定证书的指纹。
 *  在 Windows Vista 中使用 Netsh.exe 工具，如下面的示例所示。

1.      netsh http add sslcert ipport=0.0.0.0:8000 certhash=0000000000003ed9cd0c315bbb6dc1c08da5e6 appid={00112233-4455-6677-8899-AABBCCDDEEFF}
    
     *  Certhash参数指定的证书的指纹。
     *  Ipport参数指定的 IP 地址和端口，以及功能类似 -i前述 Httpcfg.exe 工具的开关。
     *  Appid参数是一个 GUID，用于标识所属应用程序。

### 将 SSL 证书绑定至端口号并支持客户端证书 ###

1.  在 Windows Server 2003 或 Windows XP 中，若要支持在传输层使用 X.509 证书进行身份验证的客户端，请按照前面的步骤进行操作，但要向 HttpCfg.exe 另外传递一个命令行参数，如下面的示例所示。

*      httpcfg set ssl -i 0.0.0.0:8012 -h 0000000000003ed9cd0c315bbb6dc1c08da5e6 -f 2
    
    \-F开关的语法的`n`其中 n 是介于 1 和 7 之间的数字。 值为 2 可在传输层启用客户端证书，如上面的示例所示。 值为 3 可启用客户端证书并将这些证书映射至 Windows 帐户。请参见“HttpCfg.exe 帮助”以获取其他值的行为。
 *  在 Windows Vista 中，若要支持在传输层使用 X.509 证书进行身份验证的客户端，请按照前面的步骤进行操作，但要另外提供一个参数，如下面的示例所示。

1.      netsh http add sslcert ipport=0.0.0.0:8000 certhash=0000000000003ed9cd0c315bbb6dc1c08da5e6 appid={00112233-4455-6677-8899-AABBCCDDEEFF} clientcertnegotiation=enable

### 删除端口号的 SSL 证书 ###

1.  使用 HttpCfg.exe 或 Netsh.exe 工具查看计算机上的端口和所有绑定的指纹。 若要将信息输出到磁盘，请使用重定向字符“>”，如下面的示例所示。

*      httpcfg query ssl>myMachinePorts.txt
 *  在中Windows Server 2003或Windows XP，使用 HttpCfg.exe 工具以及删除并ssl关键字。使用 -i开关指定`IP`:`port`数，并且 -h开关指定指纹。
 *      httpcfg delete ssl -i 0.0.0.0:8005 -h 0000000000003ed9cd0c315bbb6dc1c08da5e6
 *  在 Windows Vista 中使用 Netsh.exe 工具，如下面的示例所示。

Netsh http delete sslcert ipport=0.0.0.0:8005

[IIS 7.0]: https://docs.microsoft.com/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc771438%28v=ws.10%29
[IIS 7.0 1]: https://docs.microsoft.com/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc732230%28v=ws.10%29
[Link 1]: https://go.microsoft.com/fwlink/?LinkId=88601
[Certificates_IIS_SP1_Ops]: https://go.microsoft.com/fwlink/?LinkId=88602
[Windows XP Service Pack 2]: https://go.microsoft.com/fwlink/?LinkId=29002
[SSL]: https://docs.microsoft.com/zh-cn/dotnet/framework/wcf/feature-details/how-to-configure-a-port-with-an-ssl-certificate
[SSL 1]: https://www.cnblogs.com/scoluo/p/10190611.html
[MMC]: https://docs.microsoft.com/zh-cn/dotnet/framework/wcf/feature-details/how-to-view-certificates-with-the-mmc-snap-in
[Link 2]: https://docs.microsoft.com/zh-cn/dotnet/framework/wcf/feature-details/how-to-retrieve-the-thumbprint-of-a-certificate