無料のLet'sEncryptTLS/SSL証明書をIISWebサーバー/RDSにインストールする

IISマネージャーで、サイトバインディングを開きます Webサイトの設定を行い、 Let’s Encrypt Authority X3によって発行された証明書を使用していることを確認します。 。

Let’s Encrypt IIS証明書は、コンピューター証明書ストアのWebホスティング->証明書にあります。 。

Windows ACME Simpleは、Windowsタスクスケジューラに新しいジョブを作成します（win-acme-renew (acme-v02.api.letsencrypt.org) ）証明書を自動的に更新します。タスクは毎日開始され、証明書の更新は60日後に実行されます。このタスクは次のコマンドを実行します：

C:\inetpub\letsencrypt\wacs.exe --renew --baseuri "https://acme-v02.api.letsencrypt.org"

同じコマンドを使用して、Let’sEncrypt証明書を手動で更新できます。

IISURL書き換えを使用してHTTPからHTTPSにリダイレクトする

すべての着信HTTPトラフィックをHTTPSWebサイトURLにリダイレクトするには、MicrosoftURL書き換えモジュールをインストールします。 （https://www.iis.net/downloads/microsoft/url-rewrite）、およびサイト設定で[SSLが必要]オプションが無効になっていることを確認します。次に、書き換えルールを使用してweb.configでリダイレクトを構成します。

<system.webServer>
<rewrite>
<rules>
<rule name=”HTTP to HTTPS Redirect” enabled=”true” stopProcessing=”true”>
<match url=”(.*)” />
<conditions>
<add input=”{HTTPS}” pattern=”off” ignoreCase=”true” />
</conditions>
<action type=”Redirect” url=”https://{HTTP_HOST}/{R:1}” appendQueryString=”true” redirectType=”Permanent” />
</rule>
</rules>
</rewrite>
</system.webServer>

IISマネージャーGUIを介してURL書き換え拡張機能を使用してトラフィックリダイレクトを構成することもできます。 サイトを選択します ->あなたのサイト名 ->URL書き換え 。

新しいルールを作成するルールを追加する ->空白のルール 。

ルール名を指定し、次のパラメーター値を変更します。

• リクエストされたURL ：パターンに一致
• 使用 ：正規表現
• パターン ：(。*）

条件 セクションで、論理グループ化を変更します ：すべて一致し、追加をクリックします 。次の設定を指定します：

• 条件入力： {HTTPS}
• 入力文字列かどうかを確認します： パターンに一致する
• パターン： ^ OFF $

次に、アクションブロックで次を選択します：

• アクションタイプ： リダイレクト
• リダイレクトURL ：https：// {HTTP_HOST} / {R：1}
• リダイレクトタイプ ：永続的（301）

ブラウザを開き、HTTPアドレスを使用してサイトを開こうとします。 HTTPSURLに自動的にリダイレクトされます。

RDSゲートウェイとWebアクセスでLet'sEncrypt証明書を使用する

RDSゲートウェイまたはRDSWebアクセスを使用して外部ユーザーを企業ネットワークに接続する場合は、自己署名証明書の代わりにLet’sEncryptの信頼できるSSL証明書を使用できます。 Let’sEncrypt証明書を正しくインストールしてWindowsServerのリモートデスクトップサービスを保護する方法を検討してください。

次に、上記のように、RDゲートウェイサーバーでwacs.exeを実行します。目的のIISサイトを選択します（通常はデフォルトのWebサイト 。 Let's Encryptは、新しい証明書を発行してIIS Webサイトにバインドし、証明書の自動更新タスクがタスクスケジューラに表示されます。

この証明書を手動でエクスポートし、SSLバインディングを介して必要なRDSサービスにバインドできます。ただし、Let’s Encrypt証明書が更新されると、60日ごとにこれらの手順を手動で実行する必要があります。

Let’s Encrypt証明書を更新した後、PowerShellスクリプトを使用して、SSL証明書をRDSゲートウェイに自動的にバインドできます。

win-acmeにはすぐに使えるPowerShellスクリプトがあります プロジェクト– ImportRDGateway.ps1 （ https://github.com/PKISharp/win-acme/tree/master/dist/Scripts ）。これにより、リモートデスクトップサービス用に選択したSSL証明書をインストールできます。このスクリプトの主な欠点は、新しい証明書の指紋を手動で指定する必要があることです。

ImportRDGateway.ps1 <certThumbprint>

指定されたIISサイトから証明書のフィンガープリントを自動的に取得するには、変更されたスクリプト ImportRDGateway_Cert_From_IIS.ps1を使用します。 （ImportRDGateway.ps1に基づく）

このスクリプトは手動で実行できます：

powershell -File ImportRDGateway_Cert_From_IIS.ps1

RDSゲートウェイがインデックス0のIIS「デフォルトWebサイト」で実行されている場合は、変更せずにスクリプトを使用できます。

Import-Module WebAdministration
Get-ChildItem IIS:Sites|ft -AutoSize

ID列には、サイトのインデックスが表示されます。サイトから1を引いてください。結果のインデックスは、 0の代わりに指定する必要があります PowerShellスクリプトの27行目：

$NewCertThumbprint = (Get-ChildItem IIS:SSLBindings)[0].Thumbprint

次に、 win-acme-renewを開きます スケジューラタスク、およびアクション タブは、SSL証明書を更新した後にImportRDGateway_Cert_From_IIS.ps1スクリプトを実行する新しいタスクを追加します。

PowerShell実行ポリシーを変更しないために、次のコマンドでスクリプトを実行できます。

PowerShell.exe -ExecutionPolicy Bypass -File c:\inetpub\letsencrypt\ImportRDGateway_Cert_From_IIS.ps1

これで、SSL証明書をRDSにバインドするためのスクリプトが、Let’sEncrypt証明書が更新された直後に実行されます。この場合、RDゲートウェイサービスは次のコマンドで自動的に再起動されます：

Restart-Service TSGateway

[aler] TSGatewayサービスが再起動すると、現在のすべてのユーザーセッションが切断されるため、60日に1回証明書更新タスクを起動する頻度を変更することをお勧めします。[/ alert]