Windows Server

Aplicável à versão 2.9 do SCEPman e superior

Pode usar o módulo SCEPmanClient do PowerShell para solicitar certificados para o seu servidor Windows. Consulte o artigo principal do módulo para os pré-requisitos:

SCEPmanClient

Descrição do caso de uso

Embora o módulo seja capaz de solicitar certificados inicialmente, poderá não ser desejável armazenar as credenciais do Service Principal numa máquina que possa ser usada para solicitar certificados arbitrários.

Assim, se o seu cenário incluir a implementação de um certificado usando o Certificate Master, pode renová-lo automaticamente usando SCEPmanClient fornecendo um certificado já existente para autenticação:

$Subject = $env:COMPUTERNAME
$ValidityThreshold = 30

$CertificateToRenew = Get-ChildItem Cert:\LocalMachine\My `
                        | Where-Object NotAfter -lt (Get-Date).AddDays($ValidityThreshold) `
                        | Where-Object Subject -match $Subject

New-SCEPmanCertificate -Certificate $CertificateToRenew -SaveToStore 'LocalMachine'

# Com o novo certificado em vigor, podemos remover o antigo
# Remove-Item $CertificateToRenew.PSPath

Este exemplo irá encontrar certificados a expirar no próximo mês e usá-lo para autenticar o pedido de renovação.

Pedido inicial

Se quiser solicitar certificados no seu servidor inicialmente, pode fazê-lo fornecendo um Service Principal para autenticação que tenha a função CSR DB Requesters atribuída. Consulte o guia seguinte sobre como implementar um Service Principal desse tipo:

Registo por API

$Parameters = @{
    'Url'              = 'scepman.contoso.com'
    'ClientId'         = '569fbf51-aa63-4b5c-8b26-ebbcfcde2715'
    'TenantId'         = '8aa3123d-e76c-42e2-ba3c-190cabbec531'
    'ClientSecret'     = 'csa8Q~aVaWCLZTzswIBGvhxUiEvhptuqEyJugb70'
    'Subject'          = 'CN=WebServer'
    'DNSName'          = 'Webserver.domain.local'
    'ExtendedKeyUsage' = 'ServerAuth'
    'SaveToStore'      = 'LocalMachine'
}

New-SCEPmanCertificate @Parameters

Se agora quisermos renovar um certificado, podemos ignorar o Service Principal e usar um certificado já emitido para autenticação. Isto utilizará os detalhes do certificado existente para construir um novo CSR e enviá-lo ao SCEPman para um novo certificado.