Automatisierte SSL/TLS-Zertifikatserstellung mit dem Windows CA PowerShell-Tool

In Unternehmensnetzwerken ist die Verwaltung von SSL/TLS-Zertifikaten über eine interne Windows-Zertifizierungsstelle (Active Directory Certificate Services, AD CS) oft mit manuellem Aufwand verbunden: INF-Dateien erstellen, certreq-Befehle ausführen, Zertifikate exportieren und Schlüssel konvertieren.

Um diesen Prozess zu beschleunigen und zu standardisieren, wurde ein PowerShell-basiertes GUI-Tool entwickelt, das die Beantragung, Ausstellung und Konvertierung von Zertifikaten über eine Windows-CA vollständig automatisiert.

Was das Tool leistet

Das Skript stellt eine intuitive Benutzeroberfläche zur Verfügung, über die alle notwendigen Parameter wie Servername, DNS-Name, CA-Server (ca.kainer.local) und das Zielverzeichnis eingegeben werden können.

Die Automatisierung deckt den gesamten Workflow ab:

1. Automatische INF-Erstellung mit SAN: Das Skript generiert im Hintergrund eine Konfigurationsdatei inklusive der wichtigen Subject Alternative Name (SAN)-Erweiterung für den FQDN. Dadurch akzeptieren moderne Browser und Client-Anwendungen das Zertifikat fehlerfrei.
2. CSR-Generierung und CA-Einreichung: Über das native Windows-Tool certreq wird der Certificate Signing Request (CSR) erzeugt und direkt bei der angegebenen Zertifizierungsstelle eingereicht.
3. Zertifikatsabruf und Store-Integration: Das signierte Zertifikat wird von der CA abgeholt, im lokalen Windows-Zertifikatspeicher (Cert:\LocalMachine\My) registriert und auf Signatur-Algorithmen sowie SAN-Einträge überprüft.
4. Export und PEM-Konvertierung: Das Zertifikat wird automatisch in gängige Formate exportiert – darunter PEM-Dateien für den Public Key, passwortgesicherte PFX-Container sowie der private RSA-Schlüssel im PKCS#8-Format.
5. Vollständige Zertifikatskette: Zusätzlich wird automatisch die komplette Zertifikatskette (Chain Key) inklusive der Zwischen-Zertifizierungsstellen für den Export aufbereitet.

Einfache Bedienung dank grafischer Oberfläche

Das Tool besteht aus zwei Komponenten:

• create-cert.ps1: Das eigentliche PowerShell-Skript, das die Windows-Forms-Oberfläche aufbaut und die Logik steuert.
• Zertifikat_erstellen.bat: Ein praktisches Start-Skript, das automatisch prüft, ob Administratorrechte vorliegen, und die PowerShell bei Bedarf mit erhöhten Rechten startet, da für den Zugriff auf den Zertifikatsspeicher und certreq entsprechende Berechtigungen erforderlich sind.

Mit diesem Helfer gehören manuelle Konsolenbefehle und fehlerfleckige INF-Vorlagen der Vergangenheit an – Zertifikate für interne Webserver, Dienste und Appliances lassen sich so in Sekundenschnelle ausstellen.