ssl - 如何启用 WinRM HTTPS 传输？

Question

我知道服务器需要一个自签名 CA。但是我如何生成一个 CA，我可以把它放在哪里以使服务器的 PowerShell 2.0 工作？什么是CN匹配？

以下是我运行命令 winrm quickconfig -transport:https 时发生的情况:

WinRM already is set up to receive requests on this machine.WSManFaultMessage    ProviderFault        WSManFault            MessageError number:  -2144108267 0x80338115Cannot create a WinRM listener on HTTPS because this machine does not have an appropriate certificate. To be used for SSL, a certificate must have a CN matching the hostname, be appropriate for Server Authentication, and not be expired, revoked, or self-signed.

Answer 1

除非你想麻烦地设置一个成熟的single-tier或 two-tier PKI 基础设施(这将是 ServerFault 的主题，而不是 StackOverflow)，您可以使用 makecert.exe 来凑合创建一个自签名的 CA 证书和托管用它签名的证书。

像这样创建 CA 证书:

& makecert.exe -pe -r `
    -n "CN=TestCA" `
    -ss my `
    -sr LocalMachine `
    -a sha256 `
    -sky signature `
    "TestCA.cer"

然后为主机创建证书:

$cn = if ($env:USERDNSDOMAIN) {
        "$env:COMPUTERNAME.$env:USERDNSDOMAIN"
      } else {
        $env:COMPUTERNAME
      }

& makecert.exe -pe `
    -n "CN=$cn" `
    -ss my `
    -sr LocalMachine `
    -a sha256 `
    -sky exchange `
    -eku 1.3.6.1.5.5.7.3.1 `
    -in "TestCA" `
    -is my `
    -ir LocalMachine `
    -sp "Microsoft RSA SChannel Cryptographic Provider" `
    -sy 12 `
    "$cn.cer"

CN(通用名称)是您证书的主题，对于主机证书必须与计算机的 FQDN 相匹配。

如果您想为本地计算机以外的其他主机创建主机证书，您需要设置 $cn到另一台计算机的名称/FQDN。获取目标计算机的证书和私钥export都来自您的证书存储(<serial> 是证书的序列号):

& certutil.exe -exportPFX -f -privatekey -p "password" "<serial>" computer.pfx

复制computer.pfx到您为其生成证书的计算机并像这样导入它:

& certutil.exe -importPFX -f -privatekey C:\path\to\computer.pfx

系统会提示您输入您在导出证书时指定的密码。

在所有应该使用由您的 TestCA 签名的证书的机器上，您需要导入 TestCA.cer在计算机帐户的受信任的根证书颁发机构下。

& certutil.exe -f -addstore ca C:\path\to\TestCA.cer

请注意 makecert.exe 不再作为单独的下载提供，但您可以从 Windows SDK 获得它(下载 ISO 镜像并从子文件夹 \setup\WinSDKTools 运行 SDK 工具安装程序)。

另请注意，强烈不建议在任何类型的生产环境中使用这样的临时 CA。