NGINX入侵的客户端SubjectName验证

Question

我正在尝试配置NGINX入口控制器，它还可以验证来自客户端的唯一CN或Subjectname。原因是，我们只希望客户端被配置为访问NGINX入口控制器&可以删除使用相同CA & key签名的其余客户端。

    Certificate:
Data:
    Version: 1 (0x0)
    Serial Number: 2 (0x2)
Signature Algorithm: sha256WithRSAEncryption
    Issuer: CN=testAuthority
    Validity
        Not Before: Apr  5 08:02:23 2020 GMT
        Not After : Apr  5 08:02:23 2021 GMT
    Subject: CN=**client**
    Subject Public Key Info:
        Public Key Algorithm: rsaEncryption
            Public-Key: (4096 bit)
       Public Key Algorithm: rsaEncryption
            Public-Key: (4096 bit)
            Modulus:
       <snipped>
            Exponent: 65537 (0x10001)
Signature Algorithm: sha256WithRSAEncryption
<snipped>
-----BEGIN CERTIFICATE-----
<snipped>
 -----END CERTIFICATE-----

如果从上述证书(如Subject: CN、或证书密钥或指纹)收到对NGINX控制器的请求，则应将其转发到后端。其余的证书应该被拒绝。

如果有一些注解或configmap可以在in中配置，这可能会很有帮助。

Answer 1

您可以尝试萃取CN 变变量，然后根据该变量通过配置片段拒绝访问。可能的解决办法之一是使用附加的issue与专用CA +客户端证书身份验证，并只向允许的客户端颁发客户端证书。