Subversion Edge LDAP（需要 CAC 证书而不是用户名和密码）

Question

我所做的：

我已经在 Windows 2008 服务器上成功安装并配置了支持 LDAP 的 Subversion Edge 3.1.2。我已经配置了 LDAP 用户并且能够使用 LDAP 凭据来处理存储库就好了。没有任何问题。效果很好！

我想做的事：

我已经搜索了几个小时，希望能找到一些关于如何配置 Subversion Edge 服务器以要求客户端证书对 LDAP 环境进行用户身份验证的信息。我还没有找到任何让我知道如何去做的东西。我知道有些 SVN 客户端能够提示输入 CAC 证书，但我不知道如何设置我的服务器以要求它。

注意：CAC 身份验证已在 Windows 环境中设置并运行。我有启用了 CAC 支持的 TortoiseSVN 客户端。

期望的结果：

当运行需要对我的 Subversion 边缘服务器进行身份验证的 svn 命令时，我希望它提示我输入我的 CAC 证书，而不是我的 Active Directory 用户名和密码。

如果有人对此有任何信息，我将不胜感激。

编辑：我仍在挖掘，所以如果我发现任何东西，我会用我发现的东西更新这个问题。我已经取得了一些进展，我相信我一直在寻找错误的信息。这显然是一个 Apache 配置问题。我将我在示例 Apache 配置中看到的 SSLVerifyClient require 添加到我的 httpd.conf 中，现在我的 SVN 客户端提示我输入证书文件而不是用户名和密码。

2012 年 9 月 14 日更新

好的，我已经开始工作了。这不是一个颠覆问题，而是一个 Apache 配置问题。我已经走上了使用 SSPI 模块的道路，并且大部分时间都按照我想要的方式工作。Internet Explorer 在浏览受 SSL 保护的站点以浏览 svn 存储库时仍然存在一些问题。它会提示我输入 CAC 证书就好了，然后我得到一个页面，说 Internet Explorer 无法查看该网站。我在网上找到了一些可以解决这个问题的信息，但还没有让它起作用。另外，我现在遇到了 AnkhSVN Visual Studio 插件不缓存客户端证书凭据的一些问题。当我做各种与 SVN 相关的事情时，我被提示太多次了。

资源：

http://www.eperezdesigns.com/blog/articles/enable-dod-cac-authentication-on-apache/

为 DOD CAC 配置 Apache（这主要对我有用，显然 Internet Explorer 的 SSL 配置仍然存在问题，但是，在 Firefox 中工作正常）。

http://tortoisesvn.net/docs/release/TortoiseSVN_en/tsvn-serversetup-apache.html

这有用于配置 Apache 的各种配置信息，以便您可以让它与 Windows 域通信。

Answer 1

如果您在使用 CAC 访问 IE 站点时遇到问题，但该站点可以在 Firefox 中使用 CAC，则您可能会遇到 Microsoft 交叉证书链问题。

根据FBCA 交叉证书删除工具用户指南中的DISA 指南：

联邦桥证书颁发机构 (FBCA) 交叉证书删除工具旨在帮助 DoD 组织解决 Microsoft 交叉证书链接问题。该问题可能通过多种方式表现出来：

• 用户可能无法访问通常使用其通用访问卡 (CAC) 上的证书访问的国防部网站
• Outlook 中国防部签名的电子邮件可能显示无效
• 用户在验证过程中可能会遇到 Outlook 或 Internet Explorer 长时间延迟的情况
• 用户的 CAC 证书可能会链接到 DoD 根 2 之外的根
• 当用户打开来自工作站配置错误的 DoD 发件人的签名电子邮件时，用户可能会收到安装通用策略根证书颁发机构 (CA) 或与联邦桥交叉认证的其他根的提示

运行FBCA 交叉证书删除工具来解决该错误。用户指南描述了您可能需要执行的一些其他步骤。