Zertifikatsbasierte Authentifizierung

Bei der zertifikatsbasierten Authentifizierung fordert der Webserver den Client innerhalb einer SSL-geschützten Sitzung dazu auf, sein Benutzerzertifikat vorzuzeigen und somit einer Identität zugeordnet werden zu können. Hierbei gibt es zwei Formen der Zertifikatauthentifizierung:

Bei der Active Directory-Clientzertifikatzuordnung wird der Client einem Benutzerkonto zugeordnet, das wiederum parallel dem vom Client vorgezeigten Zertifikat in Active Directory dem Benutzerkonto zugeordnet wurde. Somit kann der IIS einen direkten Bezug zu der Identität erhalten. Nachteil dieser Methode ist das Problem der Weiterleitung der Authentifizierungsmethode. In Kombination mit der eingeschränkten Kerberos-Delegierung und des Protokollübergangs kann hier jedoch Abhilfe geschaffen werden.