Gerenciar certificados pelo PowerShell: a unidade Cert:, importação/exportação de PFX e associação a um site no IIS

Objetivo

Inspecionar os certificados do repositório da máquina local, mover um certificado com a chave privada entre servidores e associar um certificado ao binding HTTPS de um site do IIS, conferindo o resultado sem depender do Gerenciador do IIS.

Pré-requisitos

Direitos de administrador local (as chaves privadas do repositório LocalMachine exigem isso); o módulo PKI (já incluído no sistema) para os cmdlets de PFX; o módulo WebAdministration e a função IIS para a etapa de binding.

Passos

1. Navegue pelos certificados como se fossem um sistema de arquivos: Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, NotAfter. O provedor Cert: expõe os repositórios de certificados dessa forma, conforme a documentação do próprio PowerShell sobre o provedor de certificados.
2. Filtre os certificados que vão expirar em breve, uma rotina que um agente pode agendar: Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date).AddDays(30) } | Select-Object Subject, NotAfter.
3. Exporte um certificado com a chave privada para levá-lo a outro servidor: Export-PfxCertificate -Cert Cert:\LocalMachine\My\<thumbprint> -FilePath cert.pfx -Password (ConvertTo-SecureString -String "P@ss1" -Force -AsPlainText). Isso só funciona se a chave privada tiver sido marcada como exportável; a senha literal serve apenas de exemplo — em execuções reais, obtenha-a de um cofre de segredos.
4. Importe no destino: Import-PfxCertificate -FilePath cert.pfx -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString -String "P@ss1" -Force -AsPlainText); use -Exportable somente se a chave precisar poder ser movida de novo. Depois, apague o arquivo .pfx exportado, pois ele é uma cópia portátil da chave privada.
5. Somente para testes, gere um certificado que não está encadeado a nenhuma raiz confiável: New-SelfSignedCertificate -DnsName "test.contoso.local" -CertStoreLocation Cert:\LocalMachine\My; nunca use um certificado autoassinado em um endpoint voltado à produção.
6. Associe um certificado a um site do IIS via HTTPS: New-WebBinding -Name "Default Web Site" -Protocol https -Port 443 -IPAddress "*" -HostHeader "www.contoso.com" -SslFlags 1 (-SslFlags 1 habilita o Server Name Indication, de modo que mais de um site HTTPS possa compartilhar a porta 443 com nomes de host distintos; o SNI exige um cabeçalho de host). Em seguida, anexe o certificado: (Get-WebBinding -Name "Default Web Site" -Protocol https -HostHeader "www.contoso.com").AddSslCertificate("<thumbprint>", "My").
7. Verifique o binding sem depender do Gerenciador do IIS: netsh http show sslcert hostnameport=www.contoso.com:443 para um binding com SNI, ou netsh http show sslcert ipport=0.0.0.0:443 para um sem SNI; ambos informam o hash do certificado associado diretamente a partir da configuração do HTTP.sys.

Resultado esperado

O filtro de validade lista apenas os certificados prestes a expirar; netsh http show sslcert mostra o hash do certificado esperado associado ao IP:porta esperado.

Limites e base de verificação

about_Certificate_Provider, Import-PfxCertificate, Export-PfxCertificate, New-SelfSignedCertificate, New-WebBinding e netsh http estão todos documentados. As permissões do arquivo da chave privada de um certificado importam tanto quanto o próprio certificado — verifique quem pode ler uma chave importada (certlm.msc, "Manage Private Keys") e conceda acesso apenas às contas de serviço que precisam dela. Para desfazer um binding, remova-o com Remove-WebBinding (e a entrada de certificado correspondente no HTTP.sys com netsh http delete sslcert); para desfazer uma importação, remova o certificado do repositório com Remove-Item Cert:\LocalMachine\My\<thumbprint> -DeleteKey, para que a chave privada também seja eliminada. Não é necessário reiniciar o servidor nem executar iisreset; o HTTP.sys usa a associação de certificado alterada nas novas conexões TLS.