# 在 IIS 中使用 Fortezza 安全性

## Fortezza 背景

IIS 支持通常称为 Fortezza 的美国政府安全标准。此标准使用一种加密机制，保证消息、组件和系统的消息机密性、完整性，并为消息、组件和系统提供身份验证及访问控制，从而满足防御消息系统安全性结构的要求。可以通过服务器和浏览器软件或者 PCMCIA 卡硬件来实现这些功能。Fortezza 是美国政府内部广泛使用的一种机制。有关详细信息，请参阅位于 Infosec 的 Fortezza 开发人员指南（由美国国家安全局和国防部管理）。

## 使用 Fortezza

请执行如下步骤在 IIS 中实施 Fortezza 安全机制。这些步骤将 Fortezza 方案完全集成到 IIS 中，以便可以按照 Fortezza 安全标准进行操作。

### 使用 Fortezza 证书

Fortezza 卡（一种 PCMCIA 类型的卡，与笔记本电脑以及其它小型设备中使用的卡类似）包含验证此卡用户的用户证书；其工作原理与 IIS 中的服务器和客户证书完全一样。为了保证 IIS 可以使用这些 Fortezza 证书，必须将它们复制到计算机上的安全存储区内：

1. 从位于 http://www.microsoft.com/security/ 的 Microsoft 网站获得 Schannel.dll 的非出口副本。
2. 安装卡读取设备和驱动文件。有关信息，请参阅读卡机文档。
3. 安装设备供应商提供的 Cryptographic Service Provider (CSP)。有关信息，请参阅读卡机文档。
4. 运行命令行工具 Fortutil.exe。

此工具提供安装、确认和删除卡证书以及相关信息等多种功能。要启用某项功能，请在命令行下输入相应的命令：

动作 | 命令 | 参数
添加证书 | `fortutil.exe /a` | 网站名、卡序列号、PIN、卡特性
确认证书 | `fortutil.exe /q` | Web 服务器名称
删除证书 | `fortutil.exe /r` | 网站名
帮助 | `fortutil.exe /?` | 无

注意 任何被复制到服务器上的 Fortezza 证书都可以用作“Web 服务器证书向导”、“CTL 向导”或者 Windows 证书功能中的证书。

要点 如果正在运行 Web 服务时，将卡从读取器中拔出后再插入，可能导致 SSL 连接错误。如果出现这些错误，需要将卡插入读取器之后重新启动 Web 服务。

© 1997-2001 Microsoft Corporation. 保留所有权利。