Eine gängige Methode zum Sichern der Kommunikation zwischen Clients und Services ist die Verwendung der Clientzertifikatauthentifizierung. Dieser Begriff kann eine weit gefasste Definition von Client- und Server-Workflows umfassen. Er kann beispielsweise für einen Benutzer verwendet werden, der eine Webseite anfordert, oder für ein Backend-System, das sich in einer Kommunikation zwischen Servern mit einer API verbindet. PKI-Zertifikate können zur Verschlüsselung der Webkommunikationen, zum Signieren von Code und Anwendungen, zur Authentifizierung eines Benutzers bei einem Remote-System oder zur Kommunikation zwischen Personen durch Muster wie Pretty Good Privacy (PGP) verwendet werden.
Client-Zertifikate werden in der Regel für einen Benutzer von einer Zertifizierungsstelle generiert, die von einer IT-Organisation des Unternehmens gepflegt oder verwaltet wird. Sie werden im Betriebssystemspeicher, auf einem separaten Gerät oder einem anderen Speichermedium wie einem USB-Stick oder einer Smart-ID-Karte gespeichert. Sie können an mehrere verschiedene Computer angeschlossen werden, sodass sich der Benutzer von verschiedenen Standorten aus authentifizieren kann.
Bei ArcGIS-Systemen werden Client-Zertifikate am häufigsten für die Authentifizierung von Benutzern bei einem Authentifizierungsanbieter verwendet. Im Folgenden werden zwei wichtige Implementierungsmuster für diesen Workflow beschrieben.
Bei ArcGIS Enterprise bezieht sich Authentifizierung auf Webebene auf ein Muster, bei dem zur Einrichtung der Authentifizierung eine Installation von ArcGIS Web Adaptor auf einem Webserver gehostet wird. Dieses Muster sieht im Allgemeinen wie folgt aus:
Für diesen Vorgang muss das Client-Zertifikat nicht an ArcGIS Enterprise gesendet oder von ArcGIS Enterprise als vertrauenswürdig eingestuft werden. Es wird kein Kennwort mit der ArcGIS-Komponente ausgetauscht oder überprüft. Dem Benutzer wird der Zugriff durch das implizite Vertrauen in die Authentifizierung des Client-Zertifikats gewährt.
Dieses Muster wird mit der Einführung moderner Authentifizierungsmethoden immer beliebter. Dabei wird ein Client-Zertifikat verwendet, um den Benutzer bei einem SAML- oder OIDC-basierten Identity-Provider (IdP) zu authentifizieren. Bei diesem Muster gibt es keine Interaktion mit ArcGIS Enterprise oder ArcGIS Online zur Authentifizierung des Client-Zertifikats. Der Workflow sieht vielmehr wie folgt aus:
Ein weiteres Muster der auf Client-Zertifikaten basierenden Authentifizierung hat mit Anforderungen zu tun, die von einer serverseitigen Komponente, einem Web-Service oder einem anderen Prozess stammen, im Gegensatz zur Sitzung eines einzelnen Benutzers über eine Software, z. B. einen Webbrowser. Dieser Prozess kann in einer Vielzahl von Workflows wie den folgenden vorkommen:
In diesen Szenarien muss eine Konfiguration angewendet werden, mit der ein Client-Zertifikat bereitgestellt wird, das der Service für die Authentifizierung beim Backend-System verwendet. Die Konfiguration kann viele Formen annehmen bzw. diese Szenarien können auf unterschiedliche Weise konfiguriert werden.