用于向 IIS 添加证书和绑定的 Powershell 脚本 - 权限问题答案

【问题标题】：Powershell script to add certificate and binding to IIS - permissions problems用于向 IIS 添加证书和绑定的 Powershell 脚本 - 权限问题
【发布时间】：2018-11-07 12:55:17
【问题描述】：

我们正在尝试以编程方式将新 SSL 证书和新绑定添加到 IIS 上的站点。我们使用 powershell 脚本来实现这一点，并且它可以与服务器上的本地管理员用户一起正常工作。问题是，我们不能让 Web 服务器上的本地管理员用户在生产环境中运行此应用程序。这将违反公司政策。我想知道我的用户需要能够执行此操作的最低权限。这两个命令是我现在被阻止的地方。

## Does nothing but no error. Works fine if I use my admin user.
Import-PfxCertificate -FilePath $path  cert:\localMachine\WebHosting\ -Password $mypwd -Exportable

## Give me : Access is denied. (Exception from HRESULT: 0x80070005 (E_ACCESSDENIED))
$newbinding = Get-WebBinding -Name $site -IPAddress $ip -Port 443 -Protocol "HTTPS" -HostHeader $hostheader 
$newbinding.AddSslCertificate("$thumbprint", "WebHosting")

我很难找到需要哪些权限/配置的明确答案。我在Cant add bindings to IIS programatically - redirection.config permissions (with a video!) 之前遇到了同样的问题。现在它仍然不起作用，但不是同样的错误。

谢谢

【问题讨论】：

搜索 IIS REST API。

标签： windows powershell ssl iis

【解决方案1】：

如果您说，您是在 IIS 服务器上远程运行此命令，那么根据设计，许多 cmdlet 的 PoSH 要求执行命令的用户位于目标主机本地管理员组中。没有办法绕过这个要求。

现在，说了这么多，为什么你需要一个特定的用户来运行这个而不是使用具有必要权限的计划任务集来执行脚本？

您也可以考虑利用 PoSH JEA 进行此类工作。它并不能减轻对管理员凭据的需求，但它只是暂时授予它们。

足够的管理：Windows PowerShell 安全控制帮助保护企业数据

Just Enough Administration (JEA) - 现在的最新更新包含在 Windows Management Framework 5.0 中 — 是一种安全帮助组织通过以下方式加强信息安全的技术限制 IT 管理权限。 JEA 提供了一个实用的、为 IT 设置和自动化限制的基于角色的方法人员，并降低与为用户提供完整的相关风险行政权利。

JEA 使用 Windows PowerShell 脚本的内置功能环境。任何您可以使用 PowerShell 管理的东西，您都可以使用 JEA 更安全地进行管理。 JEA 提供标准化的方法比传统方式更细化地减少管理访问访问控制模型。

JEA 允许特定用户执行指定的管理任务在指定的服务器上，而不给他们完全的管理员权限。 JEA 基于受 Windows PowerShell 约束的运行空间，一个 Microsoft 使用的技术来帮助确保管理任务的安全 Microsoft Exchange Online 等环境。

https://msdn.microsoft.com/en-us/library/dn896648.aspx

使用 JEA

本主题介绍了连接和使用 JEA 的各种方式端点。

要以交互方式使用 JEA，您需要： •您使用的计算机的名称正在连接到（可以是本地计算机） • JEA 的名称在该计算机上注册的端点 •计算机的凭据有权访问 JEA 端点

https://docs.microsoft.com/en-us/powershell/jea/using-jea

【讨论】：