目录服务 (DS) 证书映射使用固有的 Windows Active Directory® 服务功能验证带有客户端证书的用户。使用 DS 映射既有利也有弊。例如，有利的方面是可以在多个服务器之间共享客户端证书信息。而不利的方面是通配符匹配功能不如 IIS 映射器中的相应功能高级。
只能在“主”属性级启用 DS 映射，并且您必须是 Windows 域的成员。如果激活 DS 映射，就会禁止使用整个万维网发布服务（WWW 服务）的一对一和多对一映射。
一对一映射将每一客户端证书映射到帐户。服务器将其所持客户端证书的副本与浏览器发送的客户端证书相比较。映射的双方必须完全相同才能进行处理。如果客户获得的另一个证书包含的是所有相同的用户信息，那么必须再次进行映射。
多对一映射使用“通配符”匹配规则，验证客户端证书是否包含颁发者或主题等特定信息。该映射不比较实际客户端证书，而是接受所有能符合特定标准的客户端证书。如果客户获得的另一个证书包含的是所有相同的用户信息，那么现有的映射将发挥作用。