Gestionar certificados desde PowerShell: la unidad Cert:, la importación/exportación de PFX y la vinculación a IIS

Objetivo

Inspeccionar los certificados del almacén del equipo local, trasladar un certificado con su clave privada entre servidores, y vincular un certificado a la vinculación HTTPS de un sitio de IIS, comprobando el resultado con independencia del Administrador de IIS.

Requisitos previos

Derechos de administrador local (las claves privadas del almacén LocalMachine lo exigen); el módulo PKI (incluido) para los cmdlets de PFX; el módulo WebAdministration y el rol de IIS para el paso de vinculación.

Pasos

1. Recorrer los certificados como si fueran un sistema de archivos: Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, NotAfter. El proveedor Cert: expone los almacenes de certificados de esta manera, según la propia documentación de PowerShell sobre el proveedor de certificados.
2. Filtrar los certificados que caducan pronto, una rutina que puede programar un agente: Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date).AddDays(30) } | Select-Object Subject, NotAfter.
3. Exportar un certificado con su clave privada para trasladarlo a otro servidor: Export-PfxCertificate -Cert Cert:\LocalMachine\My\<thumbprint> -FilePath cert.pfx -Password (ConvertTo-SecureString -String "P@ss1" -Force -AsPlainText). Esto solo funciona si la clave privada se marcó como exportable; la contraseña literal es solo ilustrativa: en ejecuciones reales debe tomarse de un almacén de secretos.
4. Importarlo en el destino: Import-PfxCertificate -FilePath cert.pfx -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString -String "P@ss1" -Force -AsPlainText); añadir -Exportable solo si la clave debe poder volver a trasladarse. Eliminar después el archivo .pfx exportado: es una copia portátil de la clave privada.
5. Solo para pruebas, generar un certificado que no esté encadenado a ninguna raíz de confianza: New-SelfSignedCertificate -DnsName "test.contoso.local" -CertStoreLocation Cert:\LocalMachine\My; nunca usar un certificado autofirmado en un endpoint de producción expuesto.
6. Vincular un certificado a un sitio de IIS por HTTPS: New-WebBinding -Name "Default Web Site" -Protocol https -Port 443 -IPAddress "*" -HostHeader "www.contoso.com" -SslFlags 1 (-SslFlags 1 activa la indicación de nombre de servidor (SNI) para que más de un sitio HTTPS pueda compartir el puerto 443 en nombres de host distintos; SNI necesita un encabezado de host), y a continuación adjuntar el certificado: (Get-WebBinding -Name "Default Web Site" -Protocol https -HostHeader "www.contoso.com").AddSslCertificate("<thumbprint>", "My").
7. Verificar la vinculación con independencia del Administrador de IIS: netsh http show sslcert hostnameport=www.contoso.com:443 para una vinculación con SNI, o netsh http show sslcert ipport=0.0.0.0:443 para una sin SNI; ambos informan del hash del certificado vinculado directamente desde la configuración de HTTP.sys.

Resultado esperado

El filtro de caducidad enumera solo los certificados próximos a caducar; netsh http show sslcert muestra el hash del certificado esperado vinculado a la IP:puerto esperada.

Límites y base de verificación

about_Certificate_Provider, Import-PfxCertificate, Export-PfxCertificate, New-SelfSignedCertificate, New-WebBinding y netsh http están todos documentados. Los permisos del archivo de clave privada de un certificado importan tanto como el certificado mismo: hay que comprobar quién puede leer una clave importada (certlm.msc, «Administrar claves privadas») y conceder acceso solo a las cuentas de servicio que lo necesiten. Para deshacer una vinculación, se elimina con Remove-WebBinding (y su entrada de certificado en HTTP.sys con netsh http delete sslcert); para deshacer una importación, se elimina el certificado del almacén con Remove-Item Cert:\LocalMachine\My\<thumbprint> -DeleteKey, de modo que la clave privada también desaparezca. No se requiere reiniciar ni ejecutar iisreset; HTTP.sys usa una vinculación de certificado modificada para las nuevas conexiones TLS.