identityserver3 - microsoft - ¿Cómo generaría el certificado de firma de Identity Server?

identity server 5

Question

En los ejemplos de servidores de identidad encontramos códigos como este en Startup.cs

var certFile = env.ApplicationBasePath + "//idsrv3test.pfx";
var signingCertificate = new X509Certificate2(certFile, "idsrv3test");

¿Cómo haría para reemplazar esto en escenarios de producción?

Answer 1

Aquí es cómo lo carga desde una huella digital en mi configuración: Haga clic aquí para ver la imagen

Answer 2

Obtenga un certificado dedicado, ya sea a través de su PKI o autogenerado:

http://brockallen.com/2015/06/01/makecert-and-creating-ssl-or-signing-certificates/

Importe el par de claves al almacén de certificados de Windows y cárguelo desde allí en tiempo de ejecución.

Para aumentar la seguridad, algunas personas implementan las claves en un dispositivo dedicado (llamado HSM) o en una máquina dedicada (por ejemplo, detrás de un firewall). El ITokenSigningService permite mover la firma de token real a esa máquina separada.

Answer 3

Para el registro, el código propuesto en la imagen publicada por RuSs:

options.SigningCertificate = LoadCertificate();
public X509Certificate2 LoadCertificate()
{
string thumbPrint = "104A19DB7AEA7B438F553461D8155C65BBD6E2C0";
// Starting with the .NET Framework 4.6, X509Store implements IDisposable.
// On older .NET, store.Close should be called.
using (var store = new X509Store(StoreName.My, StoreLocation.LocalMachine))
{
store.Open(OpenFlags.ReadOnly);
var certCollection = store.Certificates.Find(X509FindType.FindByThumbprint, thumbPrint, validOnly: false);
if (certCollection.Count == 0)
throw new Exception("No certificate found containing the specified thumbprint.");
return certCollection[0];
}
}

Answer 4

Recientemente decidí renovar mi proceso de emisión de firma de tokens. Si está ejecutando Windows 10, puede usar el impresionante cmdlet powershell llamado New-SelfSignedCertificate .

Aquí está mi ejemplo de uso:

 New-SelfSignedCertificate -Type Custom
-Subject "CN=TokenSigningForIdServer"
-TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.3")
-KeyUsage DigitalSignature
-KeyAlgorithm RSA
-KeyLength 2048
-CertStoreLocation "Cert:/LocalMachine/My"

Asegúrese de que está ejecutando el comando como administrador. Puede obtener los detalles del certificado abriendo certlm.msc . Debe almacenarse debajo de Personal / Certificados.

La mayoría de las banderas deben ser obvias, aparte de la -TextExtention. Especifica que un campo de Uso de clave mejorado se establece en el valor de "Firma de código". Puede jugar con el algoritmo utilizado, la longitud de la clave e incluso agregar extensiones consultando la siguiente página de documentation .