使用Nginx與多個客戶端使用不同證書的證書/客戶端身份驗證

Question

我正在研究Nginx背後的一個小型基於Flask的服務，該服務通過HTTP提供一些內容。它將使用雙向證書認證 - 我知道如何處理Nginx - 但用戶必須登錄並加載將用於認證部分的自己的證書。

所以情況是：

• 用戶已生成用於客戶端身份驗證證書的服務器。
• 他們登錄到服務上傳該服務器的證書。
• 從用戶服務器提取證書的系統現在可以到達我服務上的端點，該服務提供內容並使用證書進行身份驗證。

我在Nginx文檔中找不到任何內容，說我可以有一個Nginx看起來匹配傳入請求的證書的keystore或目錄。我知道我可以在Nginx中配置這個'per-server'。

我現在的想法是，我允許web應用程序觸發一個腳本，該腳本讀取Nginx conf文件，插入一個新的服務器條目和指定的端口以及上傳的證書的路徑，並將HUP信號發送給重新加載Nginx。

我想知道社區中的任何人是否已經使用過類似於此的Nginx，或者如果他們有更好的解決方案來處理我提交的奇怪場景。

Answer 1

經過大量的研究和閱讀nginx.com上的一些文檔之後，我發現我的方式已經複雜化了。

而不是修改我的配置sites-available我應該從/etc/nginx/conf.d/添加和刪除配置文件，然後通過調用sudo nginx -s reload告訴Nginx重新加載。

我將讓應用程序調用腳本來運行所需的命令，並將該腳本添加到www-data用戶的sudoers文件中。