Powershell和可信证书

我试图为一些PS脚本实现签名代码，并且我有一个关于信任证书的问题。我知道解决此问题的“正确”方法是让IT部门使用组策略来信任证书办公室范围内的证书。但我的许多客户并不是真的有这种选择。我的想法是提供有关使用CertUtil.exe执行此任务的说明，但我想100％确定以这种方式添加到受信任的发布者仍会导致证书在启动或登录时由发证机构验证，因此撤销的证书在受信任的发布商中实际上不会被信任，对吗？另外，给出要运行的工具是一个管理工具，我最初的想法是使用该工具来驱动CertUtil.exe。基本上，第一次使用它时，它会添加自己的证书，因此您只需首次使用就可以获得一些用户交互。但是，代码为自己创造信任的想法似乎可能是粗略的，如果我在另一边戴着我的IT帽子，会为我提供一面小旗。那么，从PS分销模式的角度来看，是否设立了自己认为合适的证书，或者说是否适用于某个灰色地带？Powershell和可信证书

来源

2016-11-14 Gordon

1.撤销的证书不被视为'OK'。 – 4c74356b41

何时/多久检查一次“可信”证书的撤销？在每次启动/登录？在使用过程中定期？我已经看到建筑师每次都要离开计算机，登录并运行软件（我不会让你孩子）数月。我想让我的IT人员放心，即使在这种情况下，证书也会定期验证并保持“安全”。任何关于该主题的MS白皮书都可能是一件好事，可以将他们指向可信的第三方。谢谢！ – Gordon

如果我记得正确的撤销是几乎立即，由于预取可能短时间滞后。你可以找到更多信息在这里如何完全撤销处理 - https://technet.microsoft.com/en-us/library/ee619754(v=ws.10).aspx

至于添加自己的证书我没有看到它的问题，但如果他们需要代码签名的脚本将无法做到它是最初发布的，我个人会将certutil的东西作为一个单独的脚本（可能是一个批处理文件）发送，并保留实际发送的所有代码。

来源

2016-11-14 22:46:40

迈克，脚本将被签署交付。关键在于它用于持续维护，因此我的目标是让初始使用引发警告，但是随后代码将添加证书，以便所有后续使用都将在没有警告的情况下发生，假设证书仍然有效。也就是说，它看起来只是将快捷方式更改为AllSigned将允许用户选择始终运行，然后添加证书，假设用户是本地管理员。这可能是我需要的，这将会很棒。并且，感谢您的链接。如果只是为了透明度，我确实希望能够派人到良好的资源。 – Gordon

Powershell和可信证书

回答

相关问题