¿Cómo implementar un certificado SSL en una computadora que usa GPO?

Veamos cómo implementar un certificado SSL de forma centralizada en equipos de dominio y agregarlo a las autoridades de certificación raíz de confianza mediante política de grupo. Una vez implementado el certificado, todos los dispositivos cliente confiarán en los servicios que están firmados por este certificado. En nuestro caso, implementaremos el certificado de intercambio SSL autofirmado (la función de Servicios de certificados de Active Directory en el dominio no está instalada) en las computadoras de los usuarios en AD.

Si usa un certificado SSL autofirmado para su servidor de Exchange, el mensaje aparecerá en los equipos cliente durante el primer inicio de Outlook: este certificado no es de confianza y no es seguro usarlo.

Para eliminar esta advertencia, debe agregar el certificado de Exchange a la lista de certificados de confianza en la computadora del usuario. Esto se puede hacer manualmente (o integrando el certificado a la imagen del sistema operativo corporativo), pero es más fácil y eficaz instalar automáticamente el certificado mediante GPO. Al utilizar un esquema de distribución de certificados de este tipo, todos los certificados necesarios se instalarán automáticamente en todas las computadoras de dominio antiguas y nuevas.

En primer lugar, debe exportar el certificado autofirmado desde su servidor de Exchange. Para hacerlo, inicie sesión en su servidor, ejecute mmc.exe y agregue el complemento Certificados (para una computadora local).

Vaya a la sección Certificados (equipo local) -> Autoridades de certificación raíz de confianza -> Certificados.

Busque su certificado de Exchange en el panel derecho, haga clic derecho sobre él y seleccione Todas Tareas -> Exportar.

En el Asistente de exportación, seleccione el formato X.509 (.CER) binario codificado en DER y especifique la ruta al archivo del certificado.

$webRequest = [Net.WebRequest]::Create("https://exchange_cas/owa")
try { $webRequest.GetResponse() } catch {}
$getcert = $webRequest.ServicePoint.Certificate
$bytes = $getcert.Export([Security.Cryptography.X509Certificates.X509ContentType]::Cert)
set-content -value $bytes -encoding byte -path "c:\ps\your_exchange_cert.cer"

Entonces ha exportado el certificado de Exchange en un archivo CER. Debe colocar el archivo del certificado en la carpeta de red compartida y todos los usuarios deben tener acceso de lectura (si es necesario, el acceso se puede restringir con permisos NTFS o la carpeta se puede ocultar mediante ABE). Por ejemplo, deje que la ruta al archivo del certificado sea la siguiente: \lon-fs01\GroupPolicy$\Certificates.

Vayamos a la creación de una nueva política de implementación de certificados. Para hacerlo, inicie la consola de Administración de directivas de grupo (gpmc.msc). Cree una nueva política seleccionando la OU (en nuestro ejemplo, es la OU que contiene las computadoras ya que no queremos que el certificado se instale en servidores y sistemas tecnológicos), y en el menú contextual seleccione Crear un GPO en este dominio y vincularlo aquí…

Especifique el nombre de la política (Install-Exchange-Certificate) y cambie al modo de edición de políticas.

En el Editor de GPO, vaya a la sección Configuración de la computadora -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Políticas de clave pública -> Autoridades de certificación raíz de confianza.

Haga clic derecho en la parte derecha de la ventana del editor de GPO y seleccione Importar.

Especifique la ruta al archivo de certificado importado, que ha colocado en la carpeta compartida.

En el paso correspondiente del asistente (Colocar todos los certificados en el siguiente almacén), especifique que debe colocarse en las Autoridades de confianza Raíz Certificación .

La política de distribución de certificados creada. Puede orientar esta política a los clientes con mayor precisión mediante el filtrado de seguridad o el filtrado WMI GPO.

Probemos la configuración de la política de grupo ejecutando

gpupdate /force

en el cliente Verifique que su certificado haya aparecido en la lista de certificados de confianza. Se puede hacer en el complemento Administrar certificado (Autoridades de certificación raíz de confianza -> Certificados) o en la configuración de Internet Explorer (Opciones de Internet -> Contenido -> Certificados -> Raíz de confianza Autoridades de Certificación).

Ahora, durante la configuración de Outlook, no aparecerá la advertencia del certificado que no es de confianza.

Puede verificar que en el navegador cuando abre su sitio HTTPS (en nuestro ejemplo, este es Exchange OWA), ya no aparecerá una advertencia sobre un certificado SSL que no es de confianza. Ahora, cuando configure Outlook para conectar su servidor de Exchange (la configuración manual del servidor de Exchange en Outlook 2016 solo es posible a través del registro), no aparecerá la advertencia del certificado que no es de confianza.

Si desea aplicar la política de implementación de certificados solo a equipos (o usuarios) en un grupo de seguridad de AD específico, seleccione su política Install-Exchange-Cert en la consola de administración de políticas de grupo. En la pestaña Ámbito de la sección Filtrado de seguridad, elimine el grupo Usuarios autenticados y agregue el nombre de su grupo de seguridad (por ejemplo, AllowAutoDeployExchCert). Si vincula esta política a la raíz del dominio, su certificado se instalará automáticamente en las computadoras que se agregan al grupo de seguridad.

El mismo GPO le permite instalar certificados SSL en varias computadoras a la vez. Para obtener más información sobre los certificados que implementa su política, consulte la Configuración de la política en la consola de GPMC. Como puede ver, se muestran las propiedades del certificado Emitido para, Emitido por, Fecha de caducidad y Propósitos previstos.

Si las computadoras no tienen acceso directo a Internet, de esta manera puede actualizar los certificados raíz de confianza en todos los dispositivos del dominio. Pero existe una forma más sencilla y correcta de actualizar los certificados raíz y revocados en los dominios aislados.

Por lo tanto, tiene cierta política de distribución automática de certificados en todas las computadoras del dominio (en una unidad organizativa específica o grupo de seguridad del dominio). El certificado se instalará automáticamente en todas las computadoras nuevas, sin requerir ninguna acción manual del equipo de soporte técnico. Por motivos de seguridad, se recomienda escanear periódicamente el almacén raíz de certificados de Windows en busca de certificados sospechosos y revocados.