windows server 2012 sessão de área de trabalho remota certificado SSL

Question

Meu servidor do Windows 2012 atualmente parece ter ido de férias e está ignorando o certificado SSL que pedi para usar nas conexões de área de trabalho remota via

wmic /namespace:\root\CIMV2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash="cb727b4dca34651444afbd939555e6c65f8434c4"

em que cb727b4dca34651444afbd939555e6c65f8434c4 é a impressão digital de um certificado SSL válido existente gerado por meio da Diretiva de Grupo de uma autoridade de certificação local.

O servidor continua a emitir um certificado auto-assinado sempre que eu excluir o auto-assinado anterior do armazenamento de certificados "Computador Local - > Área de Trabalho Remota". A informação de conexão RDP continua a dizer "A identidade da área de trabalho remota é verificada pelo Kerberos" em vez de "verificada por um certificado"

Então, sim, ele está ignorando a política de grupo que eu configurei, bem como diretamente via WMI. A saída de

Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'"

é

__GENUS                                : 2
__CLASS                                : Win32_TSGeneralSetting
__SUPERCLASS                           : Win32_TerminalSetting
__DYNASTY                              : CIM_ManagedSystemElement
__RELPATH                              : Win32_TSGeneralSetting.TerminalName="RDP-Tcp"
__PROPERTY_COUNT                       : 20
__DERIVATION                           : {Win32_TerminalSetting, CIM_Setting, CIM_ManagedSystemElement}
__SERVER                               : OVERWATCHD
__NAMESPACE                            : root\cimv2\terminalservices
__PATH                                 : \OVERWATCHD\root\cimv2\terminalservices:Win32_TSGeneralSetting.TerminalName="RDP-Tcp"
Caption                                : 
CertificateName                        : OVERWATCHD.labs.xxx.co.nz
Certificates                           : {0, 0, 0, 0...}
Comment                                : 
Description                            : 
InstallDate                            : 
MinEncryptionLevel                     : 3
Name                                   : 
PolicySourceMinEncryptionLevel         : 1
PolicySourceSecurityLayer              : 1
PolicySourceUserAuthenticationRequired : 1
SecurityLayer                          : 2
SSLCertificateSHA1Hash                 : CB727B4DCA34651444AFBD939555E6C65F8434C4
SSLCertificateSHA1HashType             : 2
Status                                 : 
TerminalName                           : RDP-Tcp
TerminalProtocol                       : Microsoft RDP 8.0
Transport                              : tcp
UserAuthenticationRequired             : 0
WindowsAuthentication                  : 0
PSComputerName                         : OVERWATCHD

Estava funcionando há um mês. Alguma idéia de como posso solucionar isso? Os logs de eventos do Windows não parecem dar muita informação. Se ao menos houvesse um sinalizador de depuração / verboso, poderia definir.

    

Answer 1

Você não deve excluir o certificado auto-assinado para que o Windows use o certificado gerado pela CA. É possível que o Windows também precise desse certificado auto-assinado para outras coisas não relacionadas ao RDP.

Qual política de grupo você está usando para gerar o certificado? São as políticas de inscrição automática? Você verificou que o certificado cuja impressão digital você está referenciando realmente existe no sistema de destino no armazenamento do computador local?

Se estivesse funcionando há um mês e não agora, o certificado poderia ter sido renovado? Em caso afirmativo, teria um novo valor de impressão digital.

Se o certificado correto estiver lá, verifique também se ele possui uma chave privada válida. Haveria um pequeno ícone de chave no topo do ícone normal do certificado no snap-in Certificados. Também diria que na janela de detalhes do certificado é semelhante a esta imagem: