Некоторые интернет-пользователи отмечают, что при попытке зайти на один из онлайн-сервисов, который известен как Сбербанк АСТ, на экране возникает сообщение: «Клиентский сертификат не сопоставлен с пользователем».
Естественно, что после этого вход на ресурс становится недоступным, а человека просят еще раз попытаться пройти процедуру авторизации.
Задача – решить проблему. А для этого изначально следует узнать наиболее вероятные причины ее возникновения.
Что это за ресурс?
Сбербанк АСТ – электронная онлайн-площадка, предназначение которой заключается в организации разнообразных аукционов и тендеров, в которых клиентом и заказчиком является государство.
Система появилась в 2009-ом году и изначально была предназначена только для сотрудничества именно с госзаказчиками. Со временем ее возможности расширились и теперь создавать аукционы и тендеры могут также и коммерческие структуры. Правда, для этого им придется оплачивать услуги сайта по специально разработанным тарифам.
То есть, данный интернет-ресурс сегодня очень популярен в определенных сферах деятельности. Следовательно, уметь решать возникшую проблему – очень важно.
Первопричины возникновения ошибки
Существует несколько основных причин, из-за которых попытка осуществления входа на https://sberbank-ast.ru оказывается невыполнимой:
- Компания, от лица которой пытается совершить вход на страничку человек, еще не завела в ЭТП этой финансовой организации собственный профиль;
- При переходе система обнаруживает использование не зарегистрированного сертификата;
- Используемый сертификат уже ранее проходил аккредитацию.
То есть, что значит, в общем, данная ошибка? То, что создатели этого онлайн-сервиса занимаются заменой ранее действующих онлайн-сертификатов.
Что необходимо для сопоставления онлайн-сертификата и личного кабинета?
Форма частично заполняется в автоматическом режиме. Но вот в поля, отмеченные звездочкой, придется вводить данные уже самостоятельно. Очень важно задать совершенно новый логин, так как со старым появится сообщение о том, что уже такой присутствует в системе.
Отправка заполненной формы может происходить двумя разными способами:
- Если присутствует такое обозначение – «Администратор организации», то отправка будет проведена автоматически.
- В противном случае ее необходимо самостоятельно переслать на следующий электронный адрес: [email protected].
Альтернативный вариант привязки
Существует и альтернатива, позволяющая избавиться от сообщения «Клиентский сертификат не сопоставлен с пользователем», которое появляется в Сбербанк АСТ. Она подходит, если подобная неприятность проявляет себя в окошке навигатора:
- Совершить переход и прохождения авторизации на интернете-ресурсе ЕИС: http://www.zakupki.gov.ru/.
- В «правах доступа» требуется открыть так называемые активированные пункты чек-боксы, которые относятся именно к рассматриваемой в материале финансовой организации.
- Осуществить полный выход из собственного акка. Дальше – полностью прекратить работу интернет-браузера.
- Подождать пару секунд, вернуться в используемый интернет-браузер и через его меню настроек почистить КЭШ.
- Вернуться по вышеописанной ссылке на онлайн-ресурс ЕИС и выставить галочки в тех местах, которые позволяют подтвердить полномочия именно для «Сбербанк-АСТ».
Теперь можно попробовать повторить ранее прерванную операцию входа. Если она не срабатывает, то рекомендуется в третий раз посетить сайт ЕИС и немного изменить свои личные данные. Например, добавить или убрать парочку цифр, букв. Естественно, сохранить изменения и в очередной раз повторить попытку.
Обращение на Горячую линию или в службу техподдержки
Если ни один из выше предложенных методов не помог избавиться от проблемы, то рекомендуется обратиться за помощью в техническую поддержку Сбербанка. Попытаться осуществить задуманное можно с помощью следующих контактных данных:
- Есть три номера телефона, на которые стоит попробовать дозвониться: +7 495 787 29 97, +7 495 787 29 99 или +7 495 787 29 99.
- При личном нахождении в столице Российской Федерации, можно самостоятельно посетить офис этой структуры. Он расположен Большом Саввинском переулке, в доме № 12, строении № 9.
- Конечно же, существует и электронная почта, которой также можно воспользоваться: [email protected] или [email protected].
Если связь с представителем этой организации налажено, то следует максимально подробно рассказать о возникшей неприятности. В ответ может поступить предложение с просьбой о том, что необходимо поместить используемый онлайн-сертификат в архив и выслать его по указанному электронному ящику – чтобы специалисты компании попытались ввести его собственными силами. Кстати, перед тем как обращаться за помощью, желательно перепроверить все те сведения, которые высвечиваются при входе на недоступный ресурс. Они обязательно должны быть правдивы, актуальны и достоверны.
Если информация была изменена ранее, то ошибка может возникать как раз по этой причине! Если это так, то пишется письмо. В нем:
- Подробно указываются сложности, которые возникли из-за не актуальных реквизитов;
- Просится оказать необходимую помощь;
- Обязательно прикладывается копия документа, которая свидетельствует о том, что организация или компания состоит на учете в государственной налоговой службе.
Обязательным условием рассмотрения такого письма является наличие подписи полномочного руководителя компании/организации. Отправить его следует на один из двух электронных ящиков, которые были написаны чуть выше. Если повезет, то будут внесены соответствующие корректировки и проблема исчезнет сама собой. Конечно же, для этого потребуется подождать определенное время.
Самая распространенная ошибка при работе с торговой системой. Для устранения данной ошибки пользователю необходимо установить КриптоПро Browser plug-in и сделать правильные настройки.
Как установить плагин КриптоПро.
- Скачать плагин с сайта производителя Скачать
- Установить программу, кликнув на скачанный файл (найти его можно в разделе «Загрузки»).
- Вначале установки, ответить «Да» в окне с вопросом «Установить КриптоПро ЭЦП Browser- plugin».
- Программа начнет установку, по окончании будет получено извещение об успешной установке плагина.
- Для корректной работы плагина браузер необходимо перезапустить.
- В будущем, при переходе на форму проверки ЭП (раздел «Регистрация – Получение и проверка электронной подписи http://utp.sberbank-ast.ru/Main/Util/TestDS ») и при входе в личный кабинет пользователя, браузер будет запрашивать доступ к хранилищу сертификатов. При появлении такого запроса необходимо нажать «ОК»
ВАЖНО! Для корректной работы КриптПро Browser plug-in необходимо наличие установленного на ПК корневого сертификата Удостоверяющего центра. В случае, если при работе с УТП система выдает сообщение:
«Ошибка при подписании данных. Произошла внутренняя ошибка в цепочке сертификатов».
Необходимо произвести установку корневого сертификата Удостоверяющего центра.
Плагин недоступен в Internet Explorer
Для устранения ошибки необходимы те же манипуляции что и в предыдущей ошибке. Кроме того, необходимо отключить все нестандартные надстройки:
- запустить IE.
- войти в «Сервис», затем «Настроить надстройки», «Вкл. и выкл. надстроек».
- Выберете надстройки связанные со Skype, QIP, Mail, Yandex, Rambler, Google, Yahooи т.д. и отключите их.
- перезапустить IE.
Ошибка при открытии хранилища: error Сбербанк-АСТ
Данная ошибка возникает при сбое в работе системы персонального хранилища сертификатов. Так бывает если неверно настроен браузер в системе «Сбербанк-АСТ». Для начала необходимо проверить сайт ЭП с помощью Activex, далее обновить данный компонент. Но в основном причина сбоя в неточной работе библиотеки Capicom. Для ее установки нужно сделать следующее:
- скачать и распаковать архив с программным обеспечением;
- зайти в папку и запустить файл из функции «Администратор»;
- откроется окно мастера установки, нажать Next;
- подтвердить согласие с лицензионными правилами Microsoft, затем Next;
- нажать Browse для установки приложения,
выбрать системную папку System 32, нажать OK, затем Next; - для запуска процесса установки нужно нажать Install;
- когда процесс завершится нужно нажать Finish.
Если приложение задублируется, т. к. оно могло быть установлено раньше, появится извещение об ошибке. Тогда возможно загрузить файл с расширением msi с официального сайта Microsoft по ранее описанной схеме. После этого Capicom нужно зарегистрировать. Для этого в командной строке вводится следующее:
c:\windows\system32\regsvr32.exe capicom.dll
и нажать клавишу «ENTER» на клавиатуре.
Процесс регистрации завершен.
Ошибка криптопровайдера в ЭТП Сбербанк-АСТ
Данная ошибка возникает, если пользователь не прошел аккредитацию на данной ЭТП. Нужно в специальную форму внести реквизиты и копии необходимых документов и отправить эту информацию. В течение 1-5 дней будет получен ответ.
Для успешного прохождения аккредитации необходимо:
- Установить КриптоПро (см. раздел «Сбербанк-АСТ: плагин недоступен»);
- Настроить КриптоПро. От имени администратора запустить утилиту. Во вкладке «Оборудование» открываем «Настроить считыватели», затем «Добавить», из списка выбираем нужное;
- Здесь же нажать «Настроить типы носителей», затем «Добавить», выбрать Джакарта или Етокен.
Установить личный сертификат.
- Зайти в КриптоПро;
- В опции «Сервис» нажать «Просмотреть сертификаты в контейнере», далее «Обзор»;
- Выбрать подходящий сертификат, опция «Сертификат для просмотра», «Свойства», «Установить сертификат»
Если не видит сертификат
Если при входе по сертификату ЭЦП система выдает сообщение: «Данный сертификат не сопоставлен с пользователем системы. Чтобы ассоциировать этот сертификат,
- На этой странице введите логин и войдите в личный кабинет пользователя на площадке.
- Если при повторном входе в личный кабинет система больше не выдает сообщение приведенное на рисунке выше, следовательно, ассоциация сертификата прошла успешно.
- Если при входе в личный кабинет по сертификату ЭЦП через «Единую страницу входа» или повторном входе через «Прежнюю страницу входа» система по прежнему выдает сообщение, о том, что «сертификат не сопоставлен с пользователем», следовательно, ассоциация сертификата не прошла автоматически и необходимо заполнить заявку на регистрацию нового пользователя.
Порядок регистрации:
- на сайте «Сбербанк- АСТ» войти в «Участникам», затем «Регистрация», нажать «Подать заявку» в поле «Регистрация пользователя участника (нового сертификата электронной подписи)»;
- в выбранном сертификате часть полей будет заполнено автоматически, остальные необходимо заполнить вручную.
При перерегистрации необходимо придумать новое имя пользователя и ввести его латинскими буквами.
Если у выбранного сертификата есть функция администратора, то данные передадутся автоматически. В противном случае, через личный кабинет это делает другое лицо компании, наделенное функциями администратора. Если у компании нет такого лица, то для подтверждения обновлений подается заявка в электронном виде: [email protected]
Капиком (Capicom)
Капиком (Capicom) - встраиваемая утилита для проверки электронных подписей, просмотра и расшифровки данных о сертификате, добавления и удаления сертификатов. Порядок установки данной функции описан в разделе «Сбербанк-АСТ».
Как обновить ЭЦП на «Сбербанк-АСТ»?
ЭЦП или электронная цифровая подпись необходима для подписания документов в электронном виде. Это важно для гарантии подлинности информации и самой подписи владельца. Если ЭЦП устарела, то ее необходимо обновить.
Порядок обновления ЭЦП:
- повторное прохождение аккредитации не требуется;
- в течение 5 дней организация направляет все измененные сведения и документы (если такие есть), поставив при этом в известность об истечении срока действия старой ЭЦП;
- при замене ЭЦП регистрируется новый пользователь, с внесением информации об этом в реестр. Уполномоченное лицо компании информируется через личный кабинет.
Здесь рассмотрены наиболее часто встречающиеся ошибки, с которыми сталкиваются пользователи «Сбербанк-АСТ». Надеемся, что данные рекомендации помогут избежать их в работе торговой системой.
Большое спасибо, Михаил, все сделали оперативно а главное понятно для меня... Так как мы с вами нашли общий язык. хотелось бы в дальнейшем так же продолжить связь именно с вами. Надеюсь на плодотворное сотрудничество.
Олеся Михайловна - генеральный директор ООО "ВКС"
От имени предприятия ГУП "Севастопольское авиационное предприятие" выражаем благодарность за профессионализм и оперативность вашей компании! Желаем вашей компании дальнейшего процветания!
Гуськова Лилия Ивановна - менеджер. ГУП "САП"
Спасибо вам, Михаил, большое за помощь в оформлении. Очень квалифицированный сотрудник +5!
Надия Шамильевна - предприниматель ИП Аношкина
От лица компании "АКБ-Авто" и от себя лично выражаю Вам и всем сотрудникам вашей компании благодарность за продуктивную и качественную работу, чуткое отношение к требованиям клиента и оперативность в исполнении заказываемых работ.
Насибуллина Альфира - Старший менеджер "АКБ-Авто"
Хочу поблагодарить консультанта Михаила за отличную работу, своевременные и полные консультации. Очень внимателен к проблемам клиента и вопросам, оперативное решение самых казалось бы для меня сложных ситуаций. Очень приятно работать с Михаилом!!! Теперь своим клиентам и знакомым буду рекомендовать Вашу компанию. Да и консультанты в тех.поддержке тоже очень вежливы, внимательны, помогли справится со сложной установкой ключа. Спасибо!!!
Ольга Севостьянова.
Приобретение ключа оказалось очень лёгким и, даже, приятным. Огромная благодарность за содействие менеджеру Михаилу. Объясняет сложные и массивные для понимания вещи ёмко, но очень понятно. К тому же я позвонил на горячую бесплатную линию и в режиме он-лайн, вместе с Михаилом оставил заявку. Мне изготовили ключ через 2 рабочих дня. В общем, рекомендую если экономите своё время, но в тоже время хотите иметь понимание - что покупаете и за что платите. Спасибо.
Левицкий Александр Константинович г. Самара
Личная благодарность консультанту Михаилу Владимировичу за оперативную консультацию и работу по ускоренному получению сертификата ЭП. В ходе предварительной консультации подбирается оптимальный набор индивидуальных услуг. Конечный результат получен незамедлительно.
Стоянова Н.Л. - главный бухгалтер ООО "СИТЕКРИМ"
Спасибо за оперативную работу и компетентную помощь! Консультацией остался очень доволен!
Дмитрий Фомин
ООО "Эксперт Система" благодарит за оперативную работу консультанта Михаила! Желаем Вашей компании роста и процветания!
Суханова М.С. - Оценщик ООО "Эксперт Система", г. Волгоград
Спасибо консультанту, представившемуся Михаилом, за оперативность в работе с клиентами.
Пономарев Степан Геннадьевич
Большое спасибо консультанту Михаилу, за оказанную помощь в получении ЭЦП. За оперативную работу и консультирование по вопросам возникающим в процессе оформления.
Леонид Некрасов
Компания в лице консультанта Михаила делает невозможное! Ускорение аккредитации менее чем за 1 час! Оплата по факту оказания услуги. Думал, такого не бывает. С полной ответственностью могу советовать связываться с Центром выдачи электронных подписей.
Это не разоблачения и не обзор абсурдных лотов.
Это мануал.
В последнее время участие в тендерах стало повседневностью - куда не придешь, все в закупках:)
И у некоторых - проблемы:(
Вот я и решил (для себя) собрать всё в одном месте.
Начну, что ли...
Первая установка
Определяемся с версией Крипто Про.
Во-первых, какая Крипто Про нужна (CSP для работы на торговых площадках с авторизацией по токену - самое то).
Во-вторых, под какой Windows будет работать Крипто Про. Не все версии полезны - старые не работают под Windows 10, новые - под XP. Имеет значение и разрядность.
Вы скажете - ха, что за проблема. Не подойдет та, поставлю эту.
А я скажу - обломись.
Лицензия покупается на конкретную версию. Хотите поменять версию - покупайте лицензию под другую версию.
Особенно обидно, если лицензия бессрочная.
Проверяем версию и работоспособность браузера. Торговые площадки обещают нормальную работу через Internet Explorer 8. Добавлю сюда и более новые IE.
Устанавливаем КриптоПро CSP.
При установке программа бесплатно работает 90 дней. Потом нужно купить лицензию. Есть годовые. Есть бессрочные. Разница - в цене.
Установка личного сертификата с носителя ruToken, eToken или другие. Определить можно по надписи на токене:
- Пуск - Настройка - Панель управления - КриптоПро CSP - вкладка Сервис - кнопка «Просмотреть сертификаты в контейнере»
- Кнопка "Обзор" и выберать в окне выбора контейнера ключевой контейнер токена. Ок - Далее - введите ПИН- код по умолчанию - 12345678 или 1234567890. Выбрать "Свойства"
- В окне свойств сертификата нажмите Установить сертификат - Далее
- Выберите пункт «Поместить все сертификаты в следующее хранилище». В окне выбора хранилища сертификатов нажмите «Обзор» - «Личные» - «Ок» - «Далее» - «Готово» - «Ок» - «Готово» - «Ок». КриптоПро закроется.
Можно скачать сертификат с сайта удостоверяющего центра и установить его в хранилище "Доверенные корневые центры сертификации". Для установки достаточно просто открыть файл сертификата и следовать подсказкам мастера установки.
Или открыть свойства личного сертификата, перейти на уровень выше - это и будет корневой сертификат УЦ. В свойствах этого сертификата появится кнопка "Установить" - ей и можно воспользоваться. Если кнопки нет - значит сертификат уже установлен.
Установить корневые сертификаты самих торговых площадок.
Для ЕЭТП
(http://www.roseltorg.ru/): http://etp.roseltorg.ru/eds/crl/cacer.cer . Для установки сертификата УЦ ЕЭТП в доверенные корневые центры сертификации на вашем компьютере необходимо загрузить данный сертификат к себе на компьютер, открыть его, дважды щелкнув по нему мышью.
Затем в появившемся окне нажать кнопку «Установить сертификат...». В появившемся мастере импорта сертификатов нажать «Далее».
Затем выбрать пункт «Поместить все сертификаты в следующее хранилище».
Затем нажать «Обзор...» в появившемся окне выбрать ветку «Доверенные корневые центры сертификации», нажать «ОК».
Затем нажать кнопку «Далее >». После закрытия мастера импорта сертификатов кнопкой «Готово» сертификат будет успешно установлен.
Для zakazrf.ru
(http://www.zakazrf.ru): http://www.zakazrf.ru/File.ashx?id=125
После скачивания утилиты запустить её и нажать «Зарегистрировать OID-ы», затем «Установить сертификаты»
Для ММВБ
(http://www.etp-micex.ru/): http://www.etp-micex.ru/library/documents/TLS.rar .
Загрузите архив, содержащий сертификаты. Сохраните данный архив на Вашем компьютере. Распакуйте его. Архив содержит четыре сертификата безопасности TLS.
- Выберите корневой сертификат «micex.cer».
- Нажмите кнопку «Открыть».
- Нажмите кнопку «Установить сертификат...». Запустится «Мастер импорта сертификатов».
- Нажмите «Далее».- Выберите позицию «Поместить все сертификаты в выбранное хранилище».
- Нажмите «Обзор...» и выберите папку «Доверенные корневые центры сертификации».
- Нажмите «ОК».
- Нажмите «Далее».
- Нажмите «Готово».
- В окне «Предупреждение безопасности» нажмите кнопку «Да».
- Сертификат установлен.
Далее установите список отозванных сертификатов «micex.crl». Нажмите правую кнопку мыши, выберите пункт «Установить список отзыва CRL».
- Запустится «Мастер импорта сертификатов».
- Нажмите «Далее».
- Выберите позицию «Автоматически выбрать хранилище на основе типа сертификата».
- Нажмите «Далее».
- Нажмите кнопку «Готово».
- Сертификат установлен.
Аналогично установите сертификаты доменов «etp-micex.ru.cer» и «www.etp-micex.ru.cer».
- После установки сертификатов перезапустите браузер.
- Если при входе по ЭЦП будет отображено окно «Ошибка в сертификате безопасности этого веб-узла», проверьте корректность установки и настройки сертификатов безопасности TLS.
- Нажмите «Продолжить открытие этого веб-узла (не рекомендуется)».
Для РТС
(http://rts-tender.ru/): http://www.rts-tender.ru/RTS-tender.ru.exe
После скачивания утилиты запустить её и провести процедуру установки согласно выдаваемым сообщениям установщика, соглашаясь на все предложения и предупреждения.
Установка дополнительных компонент:
Для корректной работы хранилища сертификатов необходимо установить дополнительные компоненты. Что нужно, что нет - проще пройтись по площадкам и установить всё, что будет предложено этими площадками. Скорее всего, не обойдется без Capicom.
Настройка браузера.
Для работы с ЭЦП следует произвести настройки безопасности Internet Explorer:
1) В меню Internet Explorer «Сервис» -> «Свойства обозревателя...» на вкладке «Безопасность» выберите зону «Надежные узлы» и нажмите кнопку «Узлы».
В появившемся окне:
- «снимите» галочку в строке «Для всех узлов этой зоны требуется проверка серверов (https:)»;
- в строке «Добавить узел в зону» введите узел торговой площадки:
http://*.roseltorg.ru/ (для ЕЭТП)
https://*.roseltorg.ru/ (для ЕЭТП)
http://*.sberbank-ast.ru (для Сбербанк-АСТ)
http://*.etp-micex.ru/ (для ММВБ)
https://*.rts-tender.ru (для РТС)
http://*.rts-tender.ru (для РТС)
https://*.zakazrf.ru (для zakazrf.ru)
http://*.zakazrf.ru (для zakazrf.ru)
http://*.rosreestr.ru/ (для портала Росреестр)
https://*.rosreestr.ru/ (для портала Росреестр)
и нажмите кнопку «Добавить» (каждый узел добавляется отдельно).
Нажмите»Закрыть».
В разделе «Уровень безопасности этой зоны» для зоны «Надёжные узлы» нажмите на кнопку «Другой».
В появившемся окне «Параметры безопасности»:
- выберите уровень безопасности «Низкий», нажмите «Сбросить» и согласитесь с предупреждением системы безопасности. - настройте параметры запуска ActiveX элементов. Для этого в ветке «Элементы ActiveX и модули подключения» переведите все параметры в состояние «Включить» или «Разрешить», после чего нажав OK сохраните параметры зоны «Надёжные узлы».
2) Зайдите на вкладку «Конфиденциальность», уберите галочку «Включить блокирование всплывающих окон».
3) Зайдите во вкладку «Дополнительно», нажмите «Восстановить дополнительные параметры». После этого установите выбор на пункт «SSL 2.0» (только для Windows XP) или снимите выбор с пункта «SSL 2.0» (только для Windows 7), и выберите пункт «TLS 1.0»
4)После изменения настроек безопасности Internet Explorer нажмите «Применить», затем «ОК».После произведенных настроек безопасности обязательно перезапустите обозреватель Интернета.
Тестовые страницы для проверки настроек:
Сбербанк АСТ - http://www.sberbank-ast.ru/TestDS.aspx - мягкая проверка
ЕЭТП - https://etp.roseltorg.ru/user/checkcertificate - средняя проверка
ММВБ - http://www.etp-micex.ru/index/test-page - подробная проверка
При продлении сертификата:
Установить новый личный сертификата с носителя.
- Установить корневые сертификаты Удостоверяющего центра.
- Активировать Ваш новый сертификат на торговых площадках:
Сбербанк-АСТ
- http://www.sberbank-ast.ru/
На главной странице нажимаем «Войти в кабинет»
В разделе «Вход по сертификату» выбираем новый сертификат
Нажимаем «Подписать и войти»
Высвечивается сообщение «Данный сертификат не сопоставлен c пользователем системы»
Вводим логин и пароль на форме ниже
Нажимаем «Войти»
Пробуем войти на площадку по сертификату, если не получается то на вкладке «Участникам» нажимаем «Заявка на регистрацию пользователя»
Заполняем все поля со звездочками, при этом придумываем новый логин и пароль
Пробуем войти по сертификату
ЕЭТП «Роселторг»
- http://etp.roseltorg.ru/
В разделе «Уполномоченное лицо» нажимаем «Изменить данные»
Нажимаем «Загрузить новую ЭЦП»
Выбираем новый сертификат
Нажимаем «Подписать и отправить»
Пробуем войти по сертификату
ММВБ «Госзакупки»
- http://www.etp-micex.ru/
Необходимо войти в личный кабинет по логину и паролю или другому сертификату
В разделе «Мой кабинет» нажимаем «Сменить ЭЦП»
Выбираем новый сертификат
Нажимаем «Подписать и отправить»
Пробуем войти по сертификату
RTS-Тендер
- http://www.rts-tender.ru
Необходимо войти в личный кабинет по логину и паролю или другому сертификату
В разделе «Моя организация» заходим в «Реестр уполномоченных пользователей»
Нажимаем «Сертификат»
Выбираем новый сертификат
Нажимаем «Задать сертификат»
Пробуем войти по сертификату
Для проверки подлинности пользователей, входящих в систему с клиентским сертификатом, можно сопоставить данные, содержащиеся в сертификате, с учетной записью пользователя Windows. Есть два способа сопоставления сертификатов: и . Оба эти способа можно применить в оснастке IIS.
Важно!
- Сопоставление сертификатов возможно только при наличии установленного серверного сертификата. Дополнительные сведения об установке серверного сертификата см. в разделе Получение сертификата сервера .
- Чтобы гарантировать вступление в силу изменений, внесенных в правила сопоставления сертификатов, нужно остановить и заново запустить веб-узел. Для этого: В оснастке IIS выделите веб-узел и либо выберите команду Остановить в меню Действие , либо нажмите кнопку Остановка объекта на панели инструментов. Затем выберите команду Пуск в меню Действие или нажмите кнопку Запуск объекта на панели инструментов.
Общие сведения о сопоставлении
Сопоставление «один-к-одному»
При сопоставлении «один-к-одному» учетным записям сопоставляются отдельные клиентские сертификаты. Сервер сравнивает имеющуюся у него копию клиентского сертификата с клиентским сертификатом, отправляемым обозревателем. Для успешного сопоставления эти два сертификата должны быть абсолютно идентичными. Если клиент получит другой сертификат, содержащий те же сведения о пользователе, то нужно будет заново выполнить сопоставление.
Сопоставление «многие-к-одному»
При сопоставлении «многие-к-одному» используются правила сопоставления с помощью подстановочных знаков , которые позволяют выяснить, содержит ли клиентский сертификат определенную информацию, например имя издателя или тему. Этот способ сопоставления не сравнивает сами клиентские сертификаты, а принимает все сертификаты, удовлетворяющие определенным критериям. Если клиент получит другой сертификат, содержащий те же сведения о пользователе, то существующее сопоставление будет по-прежнему действительно.
Сопоставление службы каталогов (DS)
Сопоставление сертификатов службы каталогов (DS) использует встроенные в Windows 2000 средства активных каталогов для проверки подлинности пользователей с клиентскими сертификатами. Этот способ сопоставления имеет как преимущества, так и недостатки. Например, преимуществом является то, что сведения клиентского сертификата могут совместно использоваться большим числом серверов. Недостаток состоит в том, что проверка соответствия с использованием подстановочных знаков менее развита по сравнению с имеющейся в средстве сопоставления IIS. Дополнительные сведения о сопоставлении службы каталогов см. в документации Windows 2000.
Включить сопоставление службы каталогов можно только на уровне основных свойств и только будучи членом домена Windows 2000. Включение сопоставления службы каталогов отменяет использование сопоставления «один-к-одному» и «многие-к-одному» для всей веб-службы.
Стратегии сопоставления
Сопоставление клиентских сертификатов очень гибко: можно использовать любой из трех способов сопоставления сертификатов учетным записям пользователей. Можно сопоставить один клиентский сертификат любому числу учетных записей пользователей и любое число клиентских сертификатов одной учетной записи. Сопоставление сертификатов можно использовать в различных ситуациях, в том числе:
- Большие сети. В сетях с большим числом клиентских сертификатов используется сопоставление «многие-к-одному» или сопоставление службы каталогов. Администратор имеет возможность задать одно или несколько правил для сопоставления сертификатов одной или нескольким учетным записям Windows.
- Малые сети. В сетях с малым количеством пользователей можно использовать сопоставление «один-к-одному» для обеспечения лучшего контроля за использованием и отзывом сертификатов, или сопоставление «многие-к-одному» для упрощения администрирования.
- Дополнительная безопасность. Для ресурсов, доступных лишь нескольким пользователям и требующих дополнительной защиты, используйте сопоставление «один-к-одному». Это позволит гарантировать допустимость лишь конкретных сертификатов. Кроме того, этот способ обеспечивает поддержку лучших политик отзыва сертификатов.
- Интернет. Узлы Интернета, проверяющие подлинность с помощью сертификатов, могут использовать сопоставление «многие-к-одному», принимая различные сертификаты и сопоставляя их все учетной записи, имеющей права, аналогичные правам учетной записи IUSR_имя_компьютера .
- По службе сертификации. Для разрешения доступа в систему всем пользователям, входящим в систему с клиентским сертификатом, выданным определенной организацией, можно использовать сопоставление «многие-к-одному» и задать правило для автоматического сопоставления любого сертификата, выданного этой организацией, учетной записи пользователя.
Примечание. Если требуется более гибкий механизм проверки соответствия с помощью подстановочных знаков, воспользуйтесь возможностями средства сопоставления IIS. Если сопоставление используется для интеграции веб-узлов в домен Windows, то средство Windows DS подойдет лучше. Дополнительные сведения см. в документации Windows.
Экспорт сертификата
Некоторые сертификаты необходимо экспортировать , чтобы их можно было использовать в сопоставлении «один-к-одному». Для сопоставления «многие-к-одному» экспортировать сертификаты не требуется. Дополнительные сведения можно получить у службы сертификации.
Чтобы экспортировать сертификат с помощью обозревателя Internet Explorer версии 4.0 или новее.Примечание. Этой процедурой можно также воспользоваться для создания резервной копии сертификата.
- В обозревателе Internet Explorer откройте меню Сервис и выберите команду Свойства обозревателя .
- В диалоговом окне Свойства обозревателя откройте вкладку Содержание .
- На вкладке Содержание нажмите кнопку Личные (Internet Explorer версии 4.0), либо нажмите кнопку Сертификатов и откройте вкладку Личные (Internet Explorer версии 5).
- Выберите сертификат из списка и нажмите кнопку Экспорт .
- В мастере нажмите кнопку Далее , выберите флажок Нет, не экспортировать закрытый ключ и нажмите кнопку Далее .
- На следующей странице выберите формат Вase-64 шифрование X.509 (.CER) и нажмите кнопку Далее . Завершите процедуру, следуя указаниям мастера.
Теперь сертификат готов к сопоставлению «один-к-одному». Для каждого сертификата эту процедуру нужно выполнить всего один раз.
Сопоставление сертификатов
При сопоставлении «один-к-одному» учетным записям сопоставляются отдельные клиентские сертификаты. При сопоставлении «многие-к-одному» используются правила сопоставления с помощью подстановочных знаков , которые позволяют выяснить, содержит ли клиентский сертификат определенную информацию, например имя издателя или тему.
Чтобы сопоставить конкретный клиентский сертификат учетной записи пользователя (сопоставление «один-к-одному»)- На вкладке Безопасность каталога в группе Безопасные подключения нажмите кнопку Изменить .
- В диалоговом окне Безопасные подключения установите флажок Изменить .
- На вкладке 1-к-1 диалогового окна добавьте новый сертификат, нажав кнопку Добавить , либо измените существующее сопоставление, выделив его и нажав кнопку Изменить .
- Для добавления сертификата, найдите его файл и откройте его.
- В диалоговом окне Сопоставление с учетной записью введите имя сопоставления. Это имя будет выводиться в списке диалогового окна Сопоставление с учетными записями .
- Введите имя учетной записи Windows или перейдите к ней. Введите пароль учетной записи, с которой сопоставляется сертификат.
- Нажмите кнопку OK .
- Повторите эти шаги для сопоставления других сертификатов или для сопоставления этого же сертификата с другими учетными записями.
Примечание. Если найти файл сертификата не удается, то, возможно, его нужно экспортировать.
Примечание. Для сопоставления «многие-к-одному» экспортировать сертификаты не нужно.
- В оснастке IIS выделите веб-узел, для которого нужно настроить проверку подлинности, и откройте окно его свойств.
- На вкладке Безопасность каталога в группе Безопасные подключения нажмите кнопку Изменить .
- В диалоговом окне Безопасные подключения установите флажок Разрешить сопоставление сертификатов клиентов , если он еще не установлен. Нажмите кнопку Изменить .
- На вкладке Многие к 1 диалогового окна Сопоставление с учетными записями нажмите кнопку Добавить .
- В диалоговом окне Общие введите имя правила. Это имя будет выводиться в списке диалогового окна Сопоставление с учетными записями . Можно создавать правила на будущее или отключать правила, не удаляя их; для этого предназначен флажок Включить данное правило . Нажмите кнопку Далее .
- В диалоговом окне Правила нажмите кнопку Создать .
- В диалоговом окне Изменение элемента правила выберите соответствующий критерий и нажмите кнопку OK .
- По завершении нажмите клавишу Далее .
- В диалоговом окне Сопоставление введите имя учетной записи пользователя Windows или перейдите к ней. Введите пароль учетной записи, с которой сопоставляется данное правило.
- Нажмите кнопку OK .
- Повторите эти шаги для создания других правил сопоставления.
- Порядком применения правил можно управлять с помощью кнопок Вниз и Вверх . Приоритет имеют правила, расположенные выше.
Примечание. Повторите шаги 6 и 7, если нужно задать более конкретное правило.
Примечание. Если учетная запись, с которой сопоставляется правило, расположена на компьютере, являющемся членом рабочей группы, нужно будет указать имя компьютера и имя учетной записи. Например, если сопоставление выполняется с учетной записью «RegionalSales» на компьютере с именем «Sales1», то имя будет выглядеть следующим образом: Sales1\RegionalSales.
- В оснастке IIS выделите веб-узел, для которого нужно настроить проверку подлинности, и откройте окно его свойств.
- На вкладке Безопасность каталога в группе Безопасные подключения нажмите кнопку Изменить .
- В диалоговом окне Безопасные подключения установите флажок Разрешить сопоставление сертификатов клиентов , если он еще не установлен. Нажмите кнопку Изменить .
- На вкладке Многие-к-1 диалогового окна Сопоставление с учетными записями выделите правило и нажмите кнопку Изменить .
- Внесите нужные изменения.
- По завершении нажмите кнопку OK .
Примечания
- Сопоставления конкретных клиентских сертификатов всегда имеют преимущество над сопоставлениями с помощью подстановочных знаков.
- Некоторые клиентские сертификаты могут содержать большое количество идентификационных данных и могут включать дополнительные, нестандартные поля. Сведения о форматах сертификатов можно получить у сертификационной службы.
- Используйте как можно более точно сформулированные правила. Хорошее правило, использующее подстановочные знаки, проверяет содержимое нескольких различных полей и дополнительных полей. Например, названия «Бухгалтерия», «Доставка» и «Сбыт» могут появляться в дополнительном поле нескольких клиентских сертификатов организации. Правило, задающее сопоставление сертификатов только по значению этого дополнительного поля, может привести к неверному сопоставлению.
