Implemente o arquivo de certificado do publicador raiz / confiável nas máquinas com Windows

Question

Eu tenho um certificado auto-assinado .cer que eu preciso implantar em aproximadamente 1.000 máquinas, executando uma variedade de versões do Windows do Windows XP e Server 2003 até o Windows 7 e Server 2008 R2.

O SCCM é o nosso método de implementação normal, e tentamos implementá-los de várias maneiras diferentes e estamos chocando com o fato de que nem todas as ferramentas necessárias estão disponíveis em todos os sistemas operacionais ou estou recebendo mensagens de erro na implantação automática Eu não vejo executá-los manualmente.

O método amigável mais compatível com várias plataformas que eu encontrei é pegar uma cópia do CertUtil.exe e certadm.dll de uma cópia do XP SP3 que tem as ferramentas administrativas instaladas e soltá-las na mesma pasta que o. arquivo, use as seguintes linhas de comando em um arquivo de lote:

certutil.exe -addstore TrustedPublisher cert.cer

certutil.exe -addstore root cert.cer

Isso funciona bem executando manualmente o arquivo em lote, mas retorna com uma variedade de erros executando-o automaticamente.

Existe uma maneira melhor de fazer essas plataformas cruzadas do Windows?

    

Answer 1

Seguindo as dicas dessa questão anterior import certificado usando a linha de comando no Win XP Home , e um pouco mais de brincadeira, agora tem essa implantação consistente em todos os sistemas operacionais.

Extraiu os seguintes arquivos do pacote de administração do Windows Server 2003 SP2 de 32 bits ( KB340178 ) e salvos junto com o certificado em uma pasta na origem de pacotes no SCCM:

certadm.dll
certcli.dll
certreq.exe
certutil.exe
cert.cer

Agora, abandonando o arquivo em lote e criando dois programas separados no SCCM com as duas linhas de comando a seguir (ambas encadeadas no único anúncio), tudo parece estar funcionando como um lançamento automatizado nos sistemas operacionais.

certutil.exe -addstore TrustedPublisher cert.cer

certutil.exe -addstore root cert.cer

    

Answer 2

Como você tem muitas máquinas, parece razoável assumir que você está usando um domínio do AD, caso em que você pode enviar os certificados usando os Objetos de Diretiva de Grupo. Existem vários artigos descrevendo as etapas, como este da Technet.