Добрый день.

Сайт у которого в IIS в настройках стоит требовать сертификат. В Authentication : anonymous = enabled
в конфиге
<bindings>
<basicHttpBinding>
<binding name="Test"">
<security mode="Transport">
<message clientCredentialType="Certificate" algorithmSuite="Basic256Sha256"/>
</security>
</binding>
</basicHttpBinding>
</bindings>

Есть ЦА сертификат, сертификат IIS выданный ЦА. И набор клиентских сертификатов выданных ЦА.
Так вот по любому клиентскому сертификату выданных данным ЦА можно спокойно зайти на сайт.

Хочу ограничить данный список определенными клиентскими сертификатами.
Делаю:
В IIS Authentication : anonymous = disable
в конфиге system.webServer/security/authentication/iisClientCertificateMappingAuthentication
указываю Base64 конкретного сертификата, который я хочу пускать в oneToOneMappings

И вроде бы начинает как-то работать
Если в IE выбираю сертификат, который выдан данным ЦА, но не указанный в oneToOneMappings
401 - Unauthorized: Access is denied due to invalid credentials.

Если выбираю нужный то
Security settings for this service require 'Anonymous' Authentication but it is not enabled for the IIS application that hosts this service.
Description: An unhandled exception occurred during the execution of the current web request. Please review the stack trace for more information about the error and where it originated in the code.
Exception Details: System.NotSupportedException: Security settings for this service require 'Anonymous' Authentication but it is not enabled for the IIS application that hosts this service.
Source Error:
An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.

Если я правильно понимаю нужно что то изменить в конфиге WCF, только не совсем понимаю что именно.
Если в IIS включить обратно Authentication : anonymous = enabled
то все гуд, но все клиентские сертификаты от ЦА пропускаются, независимо что указано в oneToOneMappings

Может как-то надо зайти с другой стороны? Натолкните на мысль.