Мы стремимся реализовать двустороннюю аутентификацию с помощью клиентских сертификатов для привилегированного подмножества пользователей нашего приложения. Идея состоит в том, что при обнаружении сертификата у пользователя будет запрошен дополнительный пароль / PIN-код, который будет использоваться для проверки сертификата и пользователя. Обычные пользователи будут продолжать аутентифицироваться через стандартный механизм входа в систему.
Наша производственная среда (размещенная в известной компании) включает серверы приложений с балансировкой нагрузки, и я не понимаю, как эта настройка будет обрабатывать сертификаты, и я не уверен, есть ли какие-то подводные камни, о которых я должен знать. . Я был бы очень признателен за некоторые мысли, комментарии или реальные советы по этому поводу.
Аутентификация клиентского сертификата требует особого внимания, если вы используете балансировщик нагрузки с завершением SSL, поскольку балансировщик нагрузки не может аутентифицироваться на внутреннем веб-сервере с помощью сертификата клиента.
AJP Java справляется с этим хорошо, поскольку информация о сертификате клиента передается, но большинство развертываний балансировщика нагрузки / транспорта HTTP не имеют такой возможности. В зависимости от того, что такое программное обеспечение балансировки нагрузки (и контролируете ли вы этот аспект среды), вы можете разработать механизм для передачи информации о сертификате клиента обратно на веб-сервер.