Übersicht über das Signieren von Skripten

Avatar
Nerdio Product Support

Anmerkung

Dieses Feature befindet sich in der Public Preview.

Nerdio Manager kann alle VM-Erweiterungen und Scripted Actions automatisch mit einem ausgewählten Zertifikat signieren, sodass sie den konfigurierten PowerShell-Ausführungsrichtlinien entsprechen.

Das Feature unterstützt derzeit das Signieren von Skripten für die folgenden Ressourcen:

Sitzungshosts

  • Auf Hostpoolebene konfiguriert.

  • Unterstützt alle Erweiterungen für ARM AVD.

Desktop-Images

  • Individuell konfiguriert für jedes Desktop-Image (gespeichert im Tag NMW_SIGNING_CERTIFICATE_ID).

  • Unterstützt alle Erweiterungen bei den Vorgängen Als Image festlegen und Skript ausführen. Die Vorgänge Von Azure-VM hinzufügen und Aus Azure-Bibliothek hinzufügen werden jedoch nicht unterstützt.

Anforderungen

  • Die App-Dienst-Einstellung Artifacts:Mode muss auf Local oder Offline gesetzt sein. Andernfalls werden die Signierungseinstellungen ignoriert und Skripte werden nicht signiert. Wenn mindestens ein Zertifikat verknüpft ist und Artifacts:Mode nicht konfiguriert ist, zeigen wir eine Warnung in der Einstellungen-Kachel an.

    image2727.png

  • Das Zertifikat muss für die Codesignierung geeignet sein. Weitere Informationen finden Sie unter Zertifikatsdetails.

  • Der Haupt-Dienstprinzipal von Nerdio Manager muss über die folgenden Berechtigungen in einem Key Vault verfügen:

Tabelle 5.

Ressource

Vorgang

Beschreibung

Geheimnis

Abrufen

Erforderlich, um den privaten Schlüssel des Zertifikats beim Signieren von Skripten abzurufen.

Zertifikat

Abrufen

Erforderlich, um die Zertifikatsdetails abzurufen. Wird nur bei der Verwaltung verknüpfter Zertifikate verwendet.

Zertifikat

Auflisten

Erforderlich, um eine Liste der Key Vault-Zertifikate im Verknüpfungsdialog anzuzeigen.

Zertifikat

Erstellen

Erforderlich für die Funktion zur Generierung selbstsignierter Zertifikate.

Zertifikat

Importieren

Erforderlich für die Zertifikatsimportfunktion.

Zertifikat

Löschen

Erforderlich, wenn beim Aufheben der Verknüpfung eines Zertifikats das Kontrollkästchen „Aus Key Vault entfernen“ aktiviert ist.

Konfigurationsprozess

Der Konfigurationsprozess besteht aus den folgenden Schritten:

  1. Verwalten Sie ein vorhandenes Zertifikat oder erstellen Sie ein neues:

  2. Installieren Sie das Zertifikat auf den VMs:

  3. Konfigurieren Sie das verknüpfte Zertifikat:

Zertifikatsdetails

Dies sind die Zertifikatsanforderungen:

  • KeyUsage: DigitalSignature

  • Erweiterte Schlüsselverwendung: 2.5.29.37 = 1.3.6.1.5.5.7.3.3

  • Basisbeschränkungen: 2.5.29.19 = <empty>

  • Muss sowohl öffentliche als auch private Teile enthalten (exportierbar)

  • Der Antragsteller muss mit CN= beginnen

Anmerkung

  • Ablaufwarnung: 60 Tage vor Ablauf des Zertifikats zeigen wir ein Warnsymbol in der Einstellungskachel und im Auswahlfeld an.

    image2731.png

  • Zertifikatsversionen: In Key Vault kann ein Zertifikat verschiedene Versionen haben. Tatsächlich ist jede Version ein separates Zertifikat. Beim Verlinken in Nerdio Manager speichern wir einen Verweis auf die neueste Version, und es gibt eine Funktion, um die Version des Zertifikats zu ändern. Wenn Sie beispielsweise ein ablaufendes Zertifikat erneuern, sollten Sie eine neue Version in Key Vault erstellen, diese Version auf allen VMs installieren und dann die verknüpfte Version ändern.

    image2730.png

Ein Zertifikat verlinken

Nerdio Manager ermöglicht es Ihnen, ein Zertifikat zu verlinken, das Sie bereits im Key Vault haben.

So verlinken Sie ein Zertifikat:

  1. Navigieren Sie zu System > Einstellungen > Nerdio.

  2. Wählen Sie im Bereich Verknüpfte Signaturzertifikate die Option Link aus.

  3. Geben Sie die folgenden Informationen ein:

    • Key Vault: Wählen Sie den Key Vault aus der Dropdown-Liste aus.

    • Zertifikat: Wählen Sie das Zertifikat aus der Dropdown-Liste aus.

  4. Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie Link aus.

Zertifikatsdatei importieren

Nerdio Manager ermöglicht es Ihnen, eine Zertifikatsdatei zu importieren.

So importieren Sie eine Zertifikatsdatei:

  1. Navigieren Sie zu System > Einstellungen > Nerdio.

  2. Wählen Sie im Bereich Verknüpfte Signaturzertifikate die Option Import aus.

  3. Geben Sie die folgenden Informationen ein:

    • Key Vault: Wählen Sie aus der Dropdown-Liste den Key Vault aus, in den Sie das Zertifikat importieren möchten.

    • Zertifikatsname: Geben Sie den Anzeigenamen des Zertifikats ein.

    • Zertifikatsdatei: Wählen Sie Datei auswählen und wählen Sie die Zertifikatsdatei aus.

    • Passwort: Geben Sie das Passwort des Zertifikats ein, falls eines vorhanden ist.

  4. Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie Import aus.

Erstellen eines selbstsignierten Zertifikats

Sie können ein selbstsigniertes Zertifikat mithilfe von PowerShell, dem Azure-Portal oder Nerdio Manager erstellen, wie unten dargestellt.

Erstellen eines selbstsignierten Zertifikats mit PowerShell

Die flexibelste Methode zum Erstellen eines selbstsignierten Zertifikats ist die Verwendung von PowerShell.

So erstellen Sie ein selbstsigniertes Zertifikat mit PowerShell:

  1. Führen Sie den folgenden PowerShell-Befehl aus und ändern Sie bei Bedarf Subject und FriendlyName.

    New-SelfSignedCertificate ` -Type Custom ` -Subject \"CN=Nerdio Manager, O=Nerdio Corporation, C=US\" ` -KeyUsage DigitalSignature ` -FriendlyName \"Certificate for Nerdio Manager\" ` -CertStoreLocation \"Cert:\\CurrentUser\\My\" ` -TextExtension @(\"2.5.29.37={text}1.3.6.1.5.5.7.3.3\", \"2.5.29.19={text}\")

  2. Exportieren Sie das erstellte Zertifikat:

    1. Wählen Sie STRG + R.

    2. Geben Sie certmgr.msc ein und wählen Sie OK.

    3. Navigieren Sie zu Persönlich > Zertifikate.

    4. Finden Sie das Zertifikat und öffnen Sie es.

    5. Wählen Sie im Bereich Details die Option In Datei kopieren.

    6. Wählen Sie Ja, privaten Schlüssel exportieren und anschließend Weiter.

    7. Wählen Sie Passwort und geben Sie das für den Import erforderliche Passwort ein.

    8. Wählen Sie Verschlüsselung auf AES256-SHA256 festlegen und anschließend Weiter.

    9. Wählen Sie einen Speicherort für die Datei aus und schließen Sie den Vorgang ab.

  3. Importieren Sie in Nerdio Manager das generierte Zertifikat. Weitere Informationen finden Sie unter Zertifikatsdatei importieren.

Erstellen eines selbstsignierten Zertifikats über das Azure-Portal

Diese Methode verwendet das Azure-Portal zum Generieren eines Zertifikats.

So erstellen Sie ein selbstsigniertes Zertifikat über das Azure-Portal:

  1. Navigieren Sie im Azure-Portal zu Key Vaults.

  2. Wählen Sie den gewünschten Key Vault aus.

  3. Wählen Sie im Blade Objekte die Option Zertifikate.

  4. Wählen Sie +Generieren/Importieren.

    image2733.png

  5. Geben Sie die folgenden grundlegenden Informationen ein:

    • Zertifikatsname: Geben Sie den Anzeigenamen des Zertifikats ein.

    • Antragsteller: Geben Sie den Antragsteller der Zertifikatsdatei ein, beginnend mit CN=. Zum Beispiel CN=Nerdio Manager.

    • Gültigkeitsdauer: Wählen Sie die Anzahl der Monate für die Gültigkeitsdauer aus oder lassen Sie das Feld leer.

    • Erweiterte Richtlinienkonfiguration: Wählen Sie Nicht konfiguriert.

      image2734.png

  6. Geben Sie die folgenden erweiterten Informationen ein:

    • Erweiterte Schlüsselverwendungen: 1.3.6.1.5.5.7.3.3

    • X.509-Schlüsselverwendungs-Flags: Wählen Sie aus der Dropdown-Liste nur Digitale Signatur aus.

  7. Sobald Sie die erweiterten Informationen eingegeben haben, wählen Sie OK.

  8. Sobald Sie die grundlegenden und erweiterten Informationen eingegeben haben, wählen Sie Erstellen.

  9. Warten Sie, bis der Vorgang abgeschlossen ist, was normalerweise etwa eine Minute dauert.

  10. Verlinken Sie in Nerdio Manager das generierte Zertifikat. Weitere Informationen finden Sie unter Link.

Erstellen eines selbstsignierten Zertifikats mit Nerdio Manager

Diese Methode verwendet den Key Vault, um ein Zertifikat zu generieren. Unter Verwendung derselben Funktion wie oben beschrieben, legt Nerdio Manager jedoch automatisch alle erforderlichen Richtlinien fest und verknüpft das generierte Zertifikat automatisch.

So erstellen Sie ein selbstsigniertes Zertifikat mit Nerdio Manager:

  1. Navigieren Sie zu System > Einstellungen > Nerdio.

  2. Wählen Sie im Bereich Verknüpfte Signaturzertifikate die Option Generieren.

    image2732.png

  3. Geben Sie die folgenden Informationen ein:

    • Key Vault: Wählen Sie aus der Dropdown-Liste den Key Vault aus, in den Sie das Zertifikat importieren möchten.

    • Zertifikatsname: Geben Sie den Anzeigenamen des Zertifikats ein.

    • Betreff: Geben Sie den Betreff der Zertifikatsdatei ein.

    • Gültigkeitsdauer: Wählen Sie die Anzahl der Monate für die Gültigkeitsdauer aus.

  4. Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie Erstellen.

Exportieren eines selbstsignierten Zertifikats

Nerdio Manager ermöglicht es Ihnen, ein selbstsigniertes Zertifikat im PKCS #12- oder X.509-Format zu exportieren.

So exportieren Sie ein selbstsigniertes Zertifikat:

  1. Navigieren Sie zu System > Einstellungen > Nerdio.

  2. Suchen Sie im Bereich Verknüpfte Signaturzertifikate das Zertifikat, das Sie exportieren möchten, und wählen Sie Exportieren.

    image2735.png

  3. Wählen Sie im Dropdown-Menü Exportformat das Exportformat aus.

  4. Sobald Sie das Format ausgewählt haben, wählen Sie Exportieren.

    Das Zertifikat wird in den Standard-Downloadordner Ihres Browsers heruntergeladen.

Manuelle Installation eines Zertifikats auf einer virtuellen Maschine

Sie können ein Zertifikat manuell auf einer virtuellen Maschine installieren.

So installieren Sie ein Zertifikat manuell auf einer virtuellen Maschine:

  1. Exportieren Sie das selbstsignierte Zertifikat im PFX-Format (PKCS #12). Weitere Informationen finden Sie unter Exportieren eines selbstsignierten Zertifikats.

  2. Kopieren Sie die exportierte PFX-Datei auf die virtuelle Maschine.

  3. Öffnen Sie die Datei, woraufhin der Zertifikatimport-Assistent gestartet wird.

    image2741.png

  4. Wählen Sie unter Speicherort die Option Lokaler Computer und anschließend Weiter.

    image2737.png

  5. Belassen Sie im Fenster Zu importierende Datei die Standardeinstellungen und wählen Sie Weiter.

    image2738.png

  6. Belassen Sie im Fenster Schutz des privaten Schlüssels die Standardeinstellungen und wählen Sie Weiter.

    image2739.png

  7. Geben Sie im Fenster Zertifikatspeicher die folgenden Informationen ein:

    • Wählen Sie Alle Zertifikate in folgendem Speicher speichern.

    • Wählen Sie Durchsuchen und anschließend Vertrauenswürdige Stammzertifizierungsstellen.

  8. Sobald Sie alle erforderlichen Informationen eingegeben haben, wählen Sie Weiter.

    image2740.png

  9. Überprüfen Sie im Fenster Abschluss des Zertifikatimport-Assistenten die Einstellungen und wählen Sie Fertig stellen.

Installieren eines Zertifikats auf einer virtuellen Maschine mithilfe von Scripted Actions

Sie können ein Zertifikat mithilfe von Scripted Actions auf einer virtuellen Maschine installieren.

So installieren Sie ein Zertifikat auf einer virtuellen Maschine mithilfe von Scripted Actions:

  1. Exportieren Sie das selbstsignierte Zertifikat im Format .CER (Base-64-codiertes X.509). Weitere Informationen finden Sie unter Exportieren eines selbstsignierten Zertifikats.

  2. Führen Sie Scripted Actions auf allen erforderlichen virtuellen Maschinen aus und fügen Sie den Inhalt der exportierten CER-Datei in den Parameter Base-64-codiertes X.509-Zertifikat ein.

    param ( [ComponentModel.DisplayName('Base-64-codiertes X.509-Zertifikat')] [Parameter(Mandatory)] [string] $certificate ) $tempFile = New-TemporaryFile Write-Output \"Temporäre Datei erstellt: $tempFile\" try { $certificate | Out-File -FilePath $tempFile.FullName Write-Output \"Zertifikat in temporärer Datei gespeichert\" Import-Certificate -FilePath $tempFile.FullName -CertStoreLocation 'Cert:\\LocalMachine\\Root' Write-Output \"Zertifikat in den Speicher für vertrauenswürdige Stammzertifizierungsstellen importiert\" Import-Certificate -FilePath $tempFile.FullName -CertStoreLocation 'Cert:\\LocalMachine\\TrustedPublisher' Write-Output \"Zertifikat in den Speicher für vertrauenswürdige Herausgeber importiert\" } finally { $tempFile.Delete() Write-Output \"Temporäre Datei gelöscht\" }

Installieren eines signierten Zertifikats auf einem Hostpool

Nerdio Manager ermöglicht Ihnen die Installation eines signierten Zertifikats auf einem Hostpool.

So installieren Sie ein signiertes Zertifikat auf einem Hostpool:

  1. Suchen Sie den Hostpool, mit dem Sie arbeiten möchten.

  2. Wählen Sie im Aktionsmenü Eigenschaften > Zertifikate.

  3. Geben Sie die folgenden Informationen ein:

    • Skriptsignierung aktivieren: Schalten Sie diese Option auf Ein.

    • Signaturzertifikat: Wählen Sie das Zertifikat aus dem Dropdown-Menü aus.

  4. Sobald Sie die gewünschten Informationen eingegeben haben, wählen Sie Speichern oder Speichern und schließen.

Installieren eines signierten Zertifikats auf einem Desktop-Image

Nerdio Manager ermöglicht Ihnen die Installation eines signierten Zertifikats auf einem Desktop-Image.

So installieren Sie ein signiertes Zertifikat auf einem Desktop-Image:

  1. Finden Sie das Desktop-Image, mit dem Sie arbeiten möchten.

  2. Wählen Sie im Aktionsmenü Zertifikate verwalten aus.

  3. Geben Sie die folgenden Informationen ein:

    • Skriptsignierung aktivieren: Schalten Sie diese Option auf Ein.

    • Signaturzertifikat: Wählen Sie das Zertifikat aus dem Dropdown-Menü aus.

  4. Sobald Sie die gewünschten Informationen eingegeben haben, wählen Sie OK aus.

Konfigurieren eines signierten Zertifikats für Intune-Skripte

Um die Signierung für Intune-Skripte einzurichten, müssen Sie das Zertifikat sowohl in der Intune-Integration in Nerdio Manager konfigurieren als auch auf das Zielgerät bzw. die Zielgeräte laden.

Anmerkung

Sie müssen das Zertifikat, das Sie verwenden möchten, exportiert haben, damit Sie es auf dem Zielgerät bzw. den Zielgeräten bereitstellen können.

So verknüpfen Sie das Zertifikat mit der Intune-Integration:

  1. Navigieren Sie zu System > Einstellungen.

  2. Wählen Sie den Bereich Integrationen aus.

  3. Klappen Sie die Überschrift Intune auf.

  4. Wählen Sie das Kontextmenü für weitere Optionen three-vertical-dots-context-menu.png für den Ziel-Mandanten aus und wählen Sie im Dropdown-Menü Verknüpftes Signaturzertifikat festlegen aus.

  5. Wählen Sie aus dem Dropdown-Menü das Zertifikat aus, das Sie zum Signieren von Intune-Skripten verwenden möchten, und wählen Sie Speichern aus.

So stellen Sie das Zertifikat auf dem Zielgerät bzw. den Zielgeräten bereit:

Verwenden Sie Ihre bevorzugte Methode zur Verteilung des Zertifikats. Weitere Informationen finden Sie im Microsoft Learn-Artikel Erstellen von Profilen für vertrauenswürdige Zertifikate in Microsoft Intune.

War dieser Beitrag hilfreich?

0 von 0 fanden dies hilfreich
Haben Sie Fragen? Anfrage einreichen

Verwandte Beiträge

Kommentare (0 Kommentare)

Bitte melden Sie sich an, um einen Kommentar zu hinterlassen.