Обновление сертификата, используемого в Windows Admin Center

  • Применяется к: ✅ Windows Admin Center, ✅ Windows Admin Center Preview

При развертывании Windows Admin Center в качестве службы необходимо предоставить сертификат для HTTPS. Сертификаты TLS играют важную роль в защите обмена данными между шлюзом WAC и подключенными устройствами. Шифруя данные и проверяя удостоверения, эти сертификаты повышают целостность и безопасность системы.

Возможно, потребуется обновить сертификат, если:

  • У вас есть новый ЦС
  • Ваш существующий закрытый ключ был раскрыт
  • Необходимо продлить сертификат

Чтобы обновить этот сертификат, следуйте инструкциям в этой статье.

Предпосылки

Чтобы обновить сертификат, используемый Windows Admin Center, необходимо выполнить следующие предварительные требования:

  • Компьютер Windows или сервер с установленным Центром администрирования Windows.

  • Административные привилегии или эквивалентные разрешения на компьютере, на котором вы используете Windows Admin Center.

  • Сертификат TLS, который:

    • Выдано для проверки подлинности сервера.
    • Выдано центром сертификации, доверенным компьютером и клиентами Windows Admin Center.
    • Допустимо для полного доменного имени (FQDN) или IP-адреса, используемого для доступа к Windows Admin Center.
    • Содержит закрытый ключ.

Замечание

Самозаверяющий сертификат не рекомендуется использовать в Windows Admin Center в рабочих средах.

Обновление сертификата

  1. Войдите на компьютер. Если вы используете ядро сервера, в меню SConfig введите вариант 15, а затем нажмите клавишу ВВОД, чтобы открыть сеанс PowerShell. Если вы работаете на компьютере, подключитесь к своей виртуальной машине через удаленный рабочий стол и запустите PowerShell.

  2. Импортируйте модуль PowerShell конфигурации Windows Admin Center с помощью следующей команды:

    Import-Module "$env:ProgramFiles\WindowsAdminCenter\PowerShellModules\Microsoft.WindowsAdminCenter.Configuration"

  3. Примените новый сертификат с помощью имени субъекта сертификата. Убедитесь, что сертификат использует уникальное имя субъекта. Имя субъекта можно найти в LocalMachine\My\ хранилище сертификатов на компьютере.

    Get-ChildItem -Path Cert:\LocalMachine\My

    Set-WACCertificateSubjectName -SubjectName "<subject name>"

    Кроме того, можно использовать отпечаток SHA1 сертификата с помощью параметра Отпечатка . Отпечаток можно найти в LocalMachine\My\ хранилище сертификатов на компьютере.

    Set-WACCertificateSubjectName -Thumbprint "<thumbprint>"

  4. Обновите список управления доступом к сертификату, чтобы предоставить разрешения учетной записи сетевой службы для доступа к сертификату. Используйте следующую команду, заменив <subject name> имя субъекта сертификата:

    Set-WACCertificateAcl -SubjectName "<subject name>"

  5. Чтобы изменения вступили в силу, необходимо перезапустить службу Windows Admin Center. Перезапустите службу Windows Admin Center с помощью следующей команды:

    Restart-Service -Name WindowsAdminCenter

Устранение неполадок

Существуют различные средства, которые можно использовать для поиска журналов и сообщений об ошибках. Ниже приведены лучшие средства диагностики для использования:

  • Средство просмотра событий. Используйте средство просмотра событий в журнале событий WindowsAdminCenter для диагностики любых проблем, связанных с процессом регистрации сертификата TLS. Это средство предоставляет подробные журналы, которые могут помочь определить конкретные ошибки.
  • Ошибки браузера. Если служба WAC настроена правильно, но браузер указывает на ошибку, проверьте конфигурацию сертификата TLS и убедитесь, что она соответствует необходимым параметрам установки.
  • Ошибка Ajax: при попытке открыть подключение с недопустимым сертификатом может появиться ошибка Ajax. Чтобы избежать этой проблемы, убедитесь, что сертификат правильно установлен и проверен.

Распространенные проблемы

  • Недопустимый сертификат

    • Сертификат может быть недопустимым. Это отображается как недопустимый сертификат.
    • Даже если в журнале событий WindowsAdminCenter не отображается ошибка, браузер может указать недопустимое состояние сертификата как значок в адресной строке. WaCv2 нельзя использовать, если недопустимый сертификат используется при взаимодействии с вложенными процессами.
    • Не следует создавать самозаверяющий сертификат, так как это проблема безопасности.

  • Несоответствие DNS-имени

    • DNS-имя сертификата может отличаться от DNS-имени WAC.
    • Если это не разрешено, WAC может не работать или привести ошибки.

  • Неправильный или неточный отпечаток

    • Убедитесь, что отпечаток присутствует, правильно зарегистрирован и не соответствует ожидаемому. WAC может не обнаружить сертификат.

  • Закрытый ключ не настроен для доступа к сетевой службе

    • Уровень протокола HTTPS считывает закрытый ключ сертификата для шифрования полезных данных TLS при обмене данными по протоколу HTTPS.
    • WAC использует учетную запись сетевой службы, поэтому закрытый ключ должен быть доступен сетевой службой. Используйте средство certlm.msc, чтобы выбрать меню "Все задачи", чтобы открыть диалоговое окно "Управление закрытыми ключами... ".
    • Убедитесь, что NETWORK SERVICE настроен доступ к закрытому ключу.

  • Проблемы с конфигурацией сети, политики и брандмауэра

    • Если вы ограничиваете обмен данными TLS, шлюз WAC может не получить доступ к сертификату. Это может быть проблема с брандмауэром или групповой политики.
  • Last updated on