Servidor Windows

Aplicável à versão 2.9 do SCEPman e posteriores

Você pode usar o módulo PowerShell SCEPmanClient para solicitar certificados para seu servidor Windows. Por favor, consulte o artigo principal do módulo para os pré-requisitos:

módulo PowerShell SCEPmanClient

Descrição do Caso de Uso

Embora o módulo seja capaz de solicitar certificados inicialmente, pode não ser desejável armazenar as credenciais do principal de serviço em uma máquina que poderia ser usada para solicitar certificados arbitrários.

Portanto, se seu cenário inclui a implantação de um certificado usando o Certificate Master, você pode renová-lo automaticamente usando SCEPmanClient fornecendo um certificado já existente para autenticação:

$Subject = $env:COMPUTERNAME
$ValidityThreshold = 30

$CertificateToRenew = Get-ChildItem Cert:\LocalMachine\My `
                        | Where-Object NotAfter -lt (Get-Date).AddDays($ValidityThreshold) `
                        | Where-Object Subject -match $Subject

New-SCEPmanCertificate -Certificate $CertificateToRenew -SaveToStore 'LocalMachine'

# Com o novo certificado em vigor, podemos remover o antigo
# Remove-Item $CertificateToRenew.PSPath

Isto encontrará certificados que expirarão no próximo mês e os usará para

Solicitação Inicial

Se você deseja solicitar certificados no seu servidor inicialmente, pode fazê-lo fornecendo um principal de serviço para autenticação que tenha a função Solicitadores de CSR DB atribuída. Consulte o guia a seguir sobre como implementar tal principal de serviço:

Inscrição via API

$Parameters = @{
    'Url'              = 'scepman.contoso.com'
    'ClientId'         = '569fbf51-aa63-4b5c-8b26-ebbcfcde2715'
    'TenantId'         = '8aa3123d-e76c-42e2-ba3c-190cabbec531'
    'ClientSecret'     = 'csa8Q~aVaWCLZTzswIBGvhxUiEvhptuqEyJugb70'
    'Subject'          = 'CN=WebServer'
    'DNSName'          = 'Webserver.domain.local'
    'ExtendedKeyUsage' = 'ServerAuth'
    'SaveToStore'      = 'LocalMachine'
}

New-SCEPmanCertificate @Parameters

Se agora quisermos renovar um certificado, podemos desconsiderar o principal de serviço e usar um certificado já emitido para autenticação. Isso usará os detalhes do certificado existente para construir um novo CSR e emiti-lo ao SCEPman para um novo certificado.