Gérer les certificats avec PowerShell : le lecteur Cert:, l'import/export PFX et la liaison à IIS

Objectif

Inspecter les certificats du magasin de l'ordinateur local, déplacer un certificat avec sa clé privée d'un serveur à l'autre et lier un certificat à la liaison HTTPS d'un site IIS, en vérifiant le résultat indépendamment du Gestionnaire IIS.

Prérequis

Droits d'administrateur local (les clés privées du magasin LocalMachine l'exigent) ; le module PKI (intégré) pour les applets de commande PFX ; le module WebAdministration et le rôle IIS pour l'étape de liaison.

Étapes

1. Parcourir les certificats comme s'il s'agissait d'un système de fichiers : Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, NotAfter. Le fournisseur Cert: expose ainsi les magasins de certificats, selon la documentation de PowerShell consacrée au fournisseur de certificats.
2. Filtrer les certificats qui expirent bientôt, une routine qu'un agent peut planifier : Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date).AddDays(30) } | Select-Object Subject, NotAfter.
3. Exporter un certificat avec sa clé privée pour le déplacer vers un autre serveur : Export-PfxCertificate -Cert Cert:\LocalMachine\My\<thumbprint> -FilePath cert.pfx -Password (ConvertTo-SecureString -String "P@ss1" -Force -AsPlainText). Cela ne fonctionne que si la clé privée a été marquée comme exportable ; le mot de passe en clair ne sert qu'à l'illustration : en conditions réelles, il faut le récupérer depuis un gestionnaire de secrets.
4. L'importer sur la cible : Import-PfxCertificate -FilePath cert.pfx -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString -String "P@ss1" -Force -AsPlainText) ; n'ajouter -Exportable que si la clé doit pouvoir être déplacée à nouveau. Supprimer ensuite le fichier .pfx exporté : c'est une copie portable de la clé privée.
5. Pour les tests uniquement, générer un certificat qui n'est rattaché à aucune racine de confiance : New-SelfSignedCertificate -DnsName "test.contoso.local" -CertStoreLocation Cert:\LocalMachine\My ; ne jamais utiliser de certificat auto-signé pour un point d'accès exposé en production.
6. Lier un certificat à un site IIS en HTTPS : New-WebBinding -Name "Default Web Site" -Protocol https -Port 443 -IPAddress "*" -HostHeader "www.contoso.com" -SslFlags 1 (-SslFlags 1 active Server Name Indication, ce qui permet à plusieurs sites HTTPS de partager le port 443 avec des noms d'hôte distincts ; SNI nécessite un en-tête d'hôte), puis associer le certificat : (Get-WebBinding -Name "Default Web Site" -Protocol https -HostHeader "www.contoso.com").AddSslCertificate("<thumbprint>", "My").
7. Vérifier la liaison indépendamment du Gestionnaire IIS : netsh http show sslcert hostnameport=www.contoso.com:443 pour une liaison SNI, ou netsh http show sslcert ipport=0.0.0.0:443 pour une liaison sans SNI ; les deux commandes affichent l'empreinte du certificat lié, lue directement dans la configuration de HTTP.sys.

Résultat attendu

Le filtre d'expiration ne liste que les certificats qui arrivent bientôt à expiration ; netsh http show sslcert affiche l'empreinte du certificat attendu liée à l'IP:port attendu.

Limites et base de vérification

about_Certificate_Provider, Import-PfxCertificate, Export-PfxCertificate, New-SelfSignedCertificate, New-WebBinding et netsh http sont tous documentés. Les permissions sur le fichier de clé privée d'un certificat comptent autant que le certificat lui-même : vérifier qui peut lire une clé importée (certlm.msc, « Manage Private Keys ») et n'accorder l'accès qu'aux comptes de service qui en ont besoin. Pour annuler une liaison, la supprimer avec Remove-WebBinding (et son entrée de certificat HTTP.sys avec netsh http delete sslcert) ; pour annuler un import, retirer le certificat du magasin avec Remove-Item Cert:\LocalMachine\My\<thumbprint> -DeleteKey, afin que la clé privée soit supprimée aussi. Aucun redémarrage ni iisreset n'est nécessaire : HTTP.sys applique une liaison de certificat modifiée aux nouvelles connexions TLS.