IIS7, ограничить клиента сертификатом SSL?

У меня есть хост веб-приложения ASP.NET на Windows Server 2008 IIS7, все работает хорошо.

Я хочу запретить пользователю установку сертификата SSL в браузере (IE / Firefox и т. Д.)

например, 10 сотрудников имеют доступ к этому сайту. Пришлось сделать следующее.

Использование OpenSSL для создания сертификата pkcs12 (* .pfx)
Используя диспетчер сервера IIS, установите pfx.
привяжите сайт к https и выберите сертификат сервера, установленный на (2.)
На Сайтах -> Настройки SSL -> отметьте галочкой «Требовать SSL с выбором».

Кажется, работает, ответ IIS:

403 - Forbidden: Отказано в доступе. У вас нет разрешения на просмотр этого каталога или страницы с использованием предоставленных вами учетных данных.

но как я могу сгенерировать ssl-сертификат для этих 10 пользователей, чтобы установить их в свой браузер? использование OpenSSL, похоже, не может генерировать * .crt из * .pfx.

Спасибо

PFX содержит как ключ, так и сертификат, вам нужно экспортировать оба в PEM, а затем, если требуется, извлечь crt из PEM.

openssl pkcs12 -в mycert.pfx -out mycert.pem

Однако вы, вероятно, захотите переключиться (если еще не используете) на «правильные» сертификаты на стороне клиента на основе сертификата сервера.

Эта ссылка содержит некоторую информацию по теме (для Apache / OpenSSL, но, вероятно, аналогична IIS): http://www.freebsddiary.org/openssl-client-authentication.php