前言#

因为每次使用域名访问远程桌面时都会弹出证书警告，所以打算给远程桌面搞一个SSL证书，并实现自动导入和续期功能。

准备#

域名

Git

ZeroSSL账号

Windows 11专业版

安装acme.sh#

要在Windows里使用acme.sh，需要有bash环境，这里使用的是Git自带的Bash。

Win+S输入git bash打开命令窗口，输入

1
curl https://get.acme.sh | sh

这将会安装acme.sh到用户目录，路径为：

C:\Users\你的用户名\acme.sh

申请证书#

因为远程桌面服务的特殊性，这里使用DNS验证来申请证书。可以使用acme.sh的DNS API模式来完成DNS验证和证书签发（可自动续期证书），这些命令需要在Bash环境下运行。

Cloudflare的如下，需要提供token和accound id。

注意修改example.com为你的域名。

1
export CF_Token="xxxxxxxxxxxxxxxxxxxxxxxxxx"
2
export CF_Account_ID="xxxxxxxxxxxxxxxxx"
3
acme.sh --issue --dns dns_cf -d example.com

成功运行完后，证书应该会在C:\Users\你的用户名\.acme.sh里生成。

自动续期并设置远程桌面证书#

我写了一个Powershell脚本用来自动续期和设置远程桌面的证书，这个ps1文件需要放在C:\Users\你的用户名\.acme.sh路径里。注意在第3和第6行把your.domain.com换成你的域名。

1
cd "C:\Program Files\Git\bin"
2
#续期证书
3
.\bash.exe $env:HomePath\.acme.sh\acme.sh --renew --dns dns_cf -d your.domain.com
4
cd ~\.acme.sh\
5
#生成pfx证书
6
openssl pkcs12 -export -in your.domain.com_ecc/your.domain.com.cer -inkey your.domain.com_ecc/your.domain.com.key -out certificate.pfx -certfile your.domain.com_ecc/ca.cer -passin pass: -passout pass:
7
#获取证书指纹
8
$str = openssl x509 -fingerprint -sha1 -in .\certificate.pfx | Select-String -Pattern 'sha1'
9
$str1 = ($str -split "=")[1]
10
$Thumbprint = $str1.replace(":","")
11
echo "Thumbprint:$Thumbprint"
12
#导入证书
13
$params = @{
14
    FilePath = 'certificate.pfx'
15
    CertStoreLocation = 'Cert:\LocalMachine\My'
16
}
17
$CertObj = Import-PfxCertificate @params -Exportable
18

19
$serviceUser = "NETWORK SERVICE"
20

21
#获取证书私钥
22
$privateKey = [System.Security.Cryptography.X509Certificates.ECDsaCertificateExtensions]::GetECDsaPrivateKey($CertObj)
23
echo $privateKey.Key | Format-List *
24
$containerName = $privateKey.Key.UniqueName
25
$keyFullPath = $env:ProgramData + "\Microsoft\Crypto\Keys\" + $containerName
26
#设置私钥权限
27
$acl = (Get-Item $keyFullPath).GetAccessControl()
28
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($serviceUser, "Read", "Allow")
29
$acl.AddAccessRule($accessRule)
30
Set-Acl -Path $keyFullPath -AclObject $acl
31
#添加注册表证书指纹
32
wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash= $Thumbprint
33
Read-Host -Prompt "Press Enter to exit"

这个脚本的作用是先续期证书（不强制，如未过期则跳过），导入证书并设置NETWORK SERVICE用户（远程桌面）访问私钥的权限，将证书指纹导入注册表以便远程桌面使用。

完成#

如果要定时运行脚本，可以在Win+X->计算机管理->任务计划程序->任务计划程序库里去创建计划任务。

前言#

准备#

安装acme.sh#

申请证书#

自动续期并设置远程桌面证书#

完成#

文章分享

评论

文章目录

使用PowerShell脚本自动续期证书并导入Windows远程桌面

前言#

准备#

安装acme.sh#

申请证书#

自动续期并设置远程桌面证书#

完成#

文章分享

评论

文章目录