Zertifikate mit PowerShell verwalten: Cert:-Laufwerk, PFX-Import und -Export und Bindung an IIS

Ziel

Zertifikate im Speicher des lokalen Computers prüfen, ein Zertifikat samt privatem Schlüssel zwischen Servern verschieben und ein Zertifikat an die HTTPS-Bindung einer IIS-Site binden. Das Ergebnis wird unabhängig vom IIS-Manager überprüft.

Voraussetzungen

Lokale Administratorrechte (die privaten Schlüssel im LocalMachine-Speicher erfordern sie); das PKI-Modul (integriert) für die PFX-Cmdlets; das WebAdministration-Modul und die IIS-Rolle für den Bindungsschritt.

Schritte

1. Zertifikate wie ein Dateisystem durchsuchen: Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, NotAfter. Der Cert:-Provider stellt die Zertifikatspeicher auf diese Weise bereit, so die PowerShell-Dokumentation zum Zertifikat-Provider.
2. Nach bald ablaufenden Zertifikaten filtern, eine Routine, die ein Agent regelmässig einplanen kann: Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date).AddDays(30) } | Select-Object Subject, NotAfter.
3. Ein Zertifikat samt privatem Schlüssel exportieren, um es auf einen anderen Server zu übertragen: Export-PfxCertificate -Cert Cert:\LocalMachine\My\<thumbprint> -FilePath cert.pfx -Password (ConvertTo-SecureString -String "P@ss1" -Force -AsPlainText). Das funktioniert nur, wenn der private Schlüssel als exportierbar markiert war; das Passwort im Klartext dient nur der Veranschaulichung – in echten Läufen ist es aus einem Secret Store zu beziehen.
4. Auf dem Zielserver importieren: Import-PfxCertificate -FilePath cert.pfx -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString -String "P@ss1" -Force -AsPlainText); -Exportable nur ergänzen, wenn der Schlüssel erneut verschiebbar sein muss. Die exportierte .pfx-Datei anschliessend löschen, denn sie ist eine übertragbare Kopie des privaten Schlüssels.
5. Nur für Tests ein Zertifikat erzeugen, das nicht auf eine vertrauenswürdige Stammzertifizierungsstelle zurückgeht: New-SelfSignedCertificate -DnsName "test.contoso.local" -CertStoreLocation Cert:\LocalMachine\My; ein selbstsigniertes Zertifikat darf nie für einen produktiv erreichbaren Endpunkt verwendet werden.
6. Ein Zertifikat per HTTPS an eine IIS-Site binden: New-WebBinding -Name "Default Web Site" -Protocol https -Port 443 -IPAddress "*" -HostHeader "www.contoso.com" -SslFlags 1 (-SslFlags 1 aktiviert Server Name Indication, damit mehrere HTTPS-Sites mit unterschiedlichen Hostnamen denselben Port 443 nutzen können; SNI setzt einen Host-Header voraus). Danach das Zertifikat zuweisen: (Get-WebBinding -Name "Default Web Site" -Protocol https -HostHeader "www.contoso.com").AddSslCertificate("<thumbprint>", "My").
7. Die Bindung unabhängig vom IIS-Manager prüfen: netsh http show sslcert hostnameport=www.contoso.com:443 für eine SNI-Bindung oder netsh http show sslcert ipport=0.0.0.0:443 für eine Bindung ohne SNI; beide Befehle geben den Hash des gebundenen Zertifikats direkt aus der HTTP.sys-Konfiguration aus.

Erwartetes Ergebnis

Der Ablauffilter listet nur bald ablaufende Zertifikate auf; netsh http show sslcert zeigt den erwarteten Zertifikat-Hash, gebunden an die erwartete IP:Port-Kombination.

Grenzen und Prüfbasis

about_Certificate_Provider, Import-PfxCertificate, Export-PfxCertificate, New-SelfSignedCertificate, New-WebBinding und netsh http sind alle dokumentiert. Die Dateiberechtigungen des privaten Schlüssels sind ebenso wichtig wie das Zertifikat selbst: Wer einen importierten Schlüssel lesen darf, ist zu prüfen (certlm.msc, „Manage Private Keys“), und der Zugriff ist nur den Dienstkonten zu gewähren, die ihn benötigen. Um eine Bindung rückgängig zu machen, wird sie mit Remove-WebBinding entfernt (zusammen mit dem zugehörigen HTTP.sys-Zertifikateintrag über netsh http delete sslcert); um einen Import rückgängig zu machen, wird das Zertifikat mit Remove-Item Cert:\LocalMachine\My\<thumbprint> -DeleteKey aus dem Speicher entfernt, sodass auch der private Schlüssel gelöscht wird. Weder ein Neustart noch iisreset ist nötig; HTTP.sys verwendet eine geänderte Zertifikatbindung für neue TLS-Verbindungen.