Windows サーバー

SCEPman バージョン 2.9 以上に適用されます

Windows サーバーの証明書を要求するために SCEPmanClient PowerShell モジュールを使用できます。前提条件についてはモジュールのメイン記事を参照してください：

SCEPmanClient

ユースケースの説明

モジュールは初回の証明書要求が可能ですが、任意の証明書を要求できるマシンにサービスプリンシパルの資格情報を保存することは望ましくない場合があります。

そのため、シナリオに Certificate Master を使用した証明書の展開が含まれる場合、次の方法で自動的に更新できます： SCEPmanClient 既存の証明書を認証用に提供することで：

$Subject = $env:COMPUTERNAME
$ValidityThreshold = 30

$CertificateToRenew = Get-ChildItem Cert:\LocalMachine\My `
                        | Where-Object NotAfter -lt (Get-Date).AddDays($ValidityThreshold) `
                        | Where-Object Subject -match $Subject

New-SCEPmanCertificate -Certificate $CertificateToRenew -SaveToStore 'LocalMachine'

# 新しい証明書が配置されたら古いものを削除できます
# Remove-Item $CertificateToRenew.PSPath

これは次の 1 か月以内に期限切れになる証明書を見つけ、それを使用します

初回の要求

サーバーで初めて証明書を要求する場合、次の役割が割り当てられたサービスプリンシパルを認証用に提供することで行えます： CSR DB Requesters そのようなサービスプリンシパルを実装する方法については、次のガイドを参照してください：

API 登録

$Parameters = @{
    'Url'              = 'scepman.contoso.com'
    'ClientId'         = '569fbf51-aa63-4b5c-8b26-ebbcfcde2715'
    'TenantId'         = '8aa3123d-e76c-42e2-ba3c-190cabbec531'
    'ClientSecret'     = 'csa8Q~aVaWCLZTzswIBGvhxUiEvhptuqEyJugb70'
    'Subject'          = 'CN=WebServer'
    'DNSName'          = 'Webserver.domain.local'
    'ExtendedKeyUsage' = 'ServerAuth'
    'SaveToStore'      = 'LocalMachine'
}

New-SCEPmanCertificate @Parameters

今度は証明書を更新したい場合、サービスプリンシパルを無視して既に発行されている証明書を認証に使用できます。これにより既存の証明書の詳細を使用して新しい CSR を構築し、SCEPman に対して新しい証明書を発行します。