Powershell和可信證書

我試圖爲一些PS腳本實現簽名代碼，並且我有一個關於信任證書的問題。我知道解決此問題的「正確」方法是讓IT部門使用組策略來信任證書辦公室範圍內的證書。但我的許多客戶並不是真的有這種選擇。我的想法是提供有關使用CertUtil.exe執行此任務的說明，但我想100％確定以這種方式添加到受信任的發佈者仍會導致證書在啓動或登錄時由發證機構驗證，因此撤銷的證書在受信任的發佈商中實際上不會被信任，對嗎？另外，給出要運行的工具是一個管理工具，我最初的想法是使用該工具來驅動CertUtil.exe。基本上，第一次使用它時，它會添加自己的證書，因此您只需首次使用就可以獲得一些用戶交互。但是，代碼爲自己創造信任的想法似乎可能是粗略的，如果我在另一邊戴着我的IT帽子，會爲我提供一面小旗。那麼，從PS分銷模式的角度來看，是否設立了自己認爲合適的證書，或者說是否適用於某個灰色地帶？Powershell和可信證書

來源

2016-11-14 Gordon

1.撤銷的證書不被視爲'OK'。 – 4c74356b41

何時/多久檢查一次「可信」證書的撤銷？在每次啓動/登錄？在使用過程中定期？我已經看到建築師每次都要離開計算機，登錄並運行軟件（我不會讓你孩子）數月。我想讓我的IT人員放心，即使在這種情況下，證書也會定期驗證並保持「安全」。任何關於該主題的MS白皮書都可能是一件好事，可以將他們指向可信的第三方。謝謝！ – Gordon

如果我記得正確的撤銷是幾乎立即，由於預取可能短時間滯後。你可以找到更多信息在這裏如何完全撤銷處理 - https://technet.microsoft.com/en-us/library/ee619754(v=ws.10).aspx

至於添加自己的證書我沒有看到它的問題，但如果他們需要代碼簽名的腳本將無法做到它是最初發布的，我個人會將certutil的東西作爲一個單獨的腳本（可能是一個批處理文件）發送，並保留實際發送的所有代碼。

來源

2016-11-14 22:46:40

邁克，腳本將被簽署交付。關鍵在於它用於持續維護，因此我的目標是讓初始使用引發警告，但是隨後代碼將添加證書，以便所有後續使用都將在沒有警告的情況下發生，假設證書仍然有效。也就是說，它看起來只是將快捷方式更改爲AllSigned將允許用戶選擇始終運行，然後添加證書，假設用戶是本地管理員。這可能是我需要的，這將會很棒。並且，感謝您的鏈接。如果只是爲了透明度，我確實希望能夠派人到良好的資源。 – Gordon

Powershell和可信證書

回答

相關問題