Windowsでの信頼されたルート証明書のリストの更新

すべてのWindowsバージョンには、MicrosoftWebサイトからルート証明書を自動的に更新する機能が組み込まれています。 Microsoftの信頼されたルート証明書プログラムの一部としてのMSFT 、オンラインリポジトリ内のクライアントとWindowsデバイスの信頼できる証明書のリストを維持および公開します。証明書チェーン内の検証済み証明書がこのプログラムに参加しているルートCAを参照している場合、システムはこのルート証明書をWindows Updateサーバーから自動的にダウンロードし、信頼できるサーバーに追加します。

この記事では、インターネットに直接アクセスできない、切断された（分離された）ネットワークまたはコンピューター/サーバーでTrustedRootCAのルート証明書のリストを手動で更新する方法を説明します。

内容：

• Windows10および11での信頼されたルート証明書の管理
• Windowsでルート証明書の自動更新を無効/有効にする方法
• Certutil：WindowsUpdateから信頼されたルート証明書をダウンロードする
• Windowsの証明書信頼リスト（STL）
• 分離された環境でGPOを介して信頼されたルート証明書を更新する
• Windows 7で信頼されたルート証明書を更新するにはどうすればよいですか？
• Rootsupd.exeツールを使用したWindowsXPでのルート証明書の更新

Windows10および11での信頼されたルート証明書の管理

Windowsコンピューターで信頼されたルート証明書のリストを表示するにはどうすればよいですか？

1. Windows 11/10 / 8.1/7またはWindowsServer2022/2019/2016を実行しているコンピューターのルート証明書ストアを開くには、 mmc.exeを実行します。 コンソール;
2. ファイルを選択します ->スナップインの追加と削除 、証明書を選択します （certmgr）スナップインのリスト->追加;
3. ローカルのコンピューターアカウントの証明書を管理することを選択します;
4. 次へ->OK->OK;
5. 証明書を拡張します ノード->信頼できる ルート 認定 当局 ストア。 このセクションには、コンピューター上の信頼されたルート証明書のリストが含まれています。

mmcコンソールでは、任意の証明書に関する情報を表示したり、信頼できる証明書から証明書を削除したりできます。

PowerShellを使用して、信頼されたルート証明書とその有効期限のリストを取得することもできます。

Get-Childitem cert:\LocalMachine\root |format-list

期限切れの証明書、または60日以内に期限切れになる証明書を一覧表示できます。

Get-ChildItem cert:\LocalMachine\root|Where {$_.NotAfter -lt  (Get-Date).AddDays(60)}|select NotAfter, Subject

エクスポート/インポートオプションを使用して、Windowsコンピューター間でルート証明書ファイルを手動で転送できます。

1. 証明書をクリックして[すべてのタスク]->[エクスポート]を選択すると、任意の証明書を.CERファイルにエクスポートできます。
2. [すべてのタスク]->[インポート]オプションを使用して、この証明書を別のコンピューターにインポートできます。

Windowsでルート証明書の自動更新を無効/有効にする方法

前述したように、Windowsはルート証明書を自動的に更新します。 GPOまたはレジストリを使用して、Windowsで証明書の更新を有効または無効にできます。

ローカルグループポリシーエディター（gpedit.msc）を開き、[コンピューターの構成]->[管理用テンプレート]->[システム]->[インターネット通信の管理]->[インターネット通信]に移動します。

自動ルート証明書の更新をオフにする このセクションのオプションを使用すると、WindowsUpdateサイトを介したルート証明書の自動更新を無効にできます。デフォルトでは、このポリシーは構成されておらず、Windowsは常にルート証明書を自動的に更新しようとします。

このGPOオプションが構成されておらず、ルート証明書が自動的に更新されない場合は、レジストリでこの設定が手動で有効になっているかどうかを確認してください。 PowerShellを使用してレジストリパラメータの値を確認します：

Get-ItemProperty -Path 'HKLM:\Software\Policies\Microsoft\SystemCertificates\AuthRoot' -Name DisableRootAutoUpdate

コマンドがDisableRootAutoUpdateの値を返す場合 レジストリパラメータは1 、その後、ルート証明書の更新はコンピュータで無効になります。有効にするには、パラメータ値を0に変更します。

Certutil：WindowsUpdateから信頼されたルート証明書をダウンロードする

Certutil.exe CLIツールを使用して証明書を管理できます（Windows10で導入されたWindows7の場合は、個別の更新プログラムとして利用できます）。これを使用して、Windows Updateからルート証明書の最新リストをダウンロードし、SSTファイルに保存できます。

Windows 10または11を実行し、インターネットに直接アクセスできるコンピューターでSSTファイルを生成するには、管理者特権のコマンドプロンプトを開き、次のコマンドを実行します。

certutil.exe -generateSSTFromWU C:\PS\roots.sst

Updated SST file.
CertUtil: -generateSSTFromWU command completed successfully.

その結果、ルート証明書の最新のリストを含むSSTファイルがターゲットディレクトリに表示されます。ダブルクリックして開きます。このファイルは、信頼されたルート証明書を含むコンテナです。

ご覧のとおり、使い慣れた証明書管理スナップインが開き、そこから取得した任意の証明書をエクスポートできます。私の場合、証明書のリストには358個のアイテムがあります。明らかに、証明書をエクスポートして1つずつインストールすることは合理的ではありません。

PowerShellスクリプトを使用して、SSTファイルからすべての証明書をインストールし、それらをコンピューター上の信頼されたルート証明書のリストに追加できます。

$sstStore = ( Get-ChildItem -Path C:\ps\rootsupd\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

certmgr.mscを実行します スナップインして、すべての証明書が信頼されたルート証明機関に追加されていることを確認します 。 Windows 11での私の例では、ルート証明書の数が34から438に増えました。

Windowsの証明書信頼リスト（STL）

証明書の信頼リスト （ CTL ）は、信頼できる当事者（この場合はMicrosoft）によって署名されたデータ（証明書ハッシュなど）のリストです。 Windowsクライアントは、Windows Updateから定期的にこのCTLをダウンロードします。このCTLには、すべての信頼されたルートCAのハッシュが格納されます。このCTLには証明書自体は含まれず、ハッシュと属性（たとえば、フレンドリ名）のみが含まれることを理解する必要があります。 Windowsデバイスは、証明書信頼リストから信頼できる証明書をオンデマンドでダウンロードできます。

CTLファイルを手動でダウンロードしてインストールできます。これを行うには、ファイルhttps://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab（月に2回更新）をダウンロードします。アーカイバ（またはWindowsエクスプローラー）を使用して、 authrootstl.cabのコンテンツを解凍します。 記録。単一のauthroot.stlが含まれています ファイル。

Authroot.stlファイルは、証明書信頼リスト形式の信頼できる証明書拇印のリストを含むコンテナーです。

certutilコマンドを使用して、このCTLファイルを信頼されたルート認証局にインストールできます。

certutil -enterprise -f -v -AddStore "Root" "C:\PS\authroot.stl"

root "Trusted Root Certification Authorities"
CTL 0 added to store.
CertUtil: -addstore command completed successfully.

証明書管理コンソール（信頼ルート）を使用して証明書をインポートすることもできます。 認証局 ->証明書 ->すべてのタスク ->インポート ）。証明書の拇印を使用してSTLファイルへのパスを指定します。

コマンドを実行すると、新しいセクションの証明書信頼リストが信頼されたルート証明機関に表示されます。 証明書マネージャーコンソールのコンテナー（certmgr.msc 。

同様に、ルート証明書プログラムから削除された失効した（許可されていない）証明書のリストをダウンロードしてインストールできます。これを行うには、 disallowedcertstl.cabをダウンロードします ファイル（https://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab）を抽出し、次のコマンドを使用してUntrustedCertificatesストアに追加します。

certutil -enterprise -f -v -AddStore disallowed "C:\PS\disallowedcert.stl"

The installer manifest failed signature validation.

NET Framework has not been installed because a certificate chain could not be built to a trusted root authority.