PowerShell 管理 Windows 证书存储：自动化续期与分发-windows运维-PHP中文网

PowerShell 是管理 Windows 证书存储最直接、最可控的工具，支持续期、分发、协同ACME客户端及安全策略适配，全程无需图形界面，可嵌入自动化流程实现“一次配置、长期有效”。

powershell 是管理 windows 证书存储最直接、最可控的工具，尤其适合在 vps 或域环境中批量处理证书续期与分发。它不依赖图形界面，可嵌入自动化流程，配合任务计划或事件触发，真正实现“一次配置、长期有效”。

Windows 自带的 Certutil 和 CertificateProvider（Cert:\ 驱动）已深度集成进 PowerShell，无需额外安装即可完成核心操作：

列出即将过期的证书（30 天内）：
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date).AddDays(30) -and $_.NotAfter -gt (Get-Date) }
自动续订 AD CS 签发的证书（需有相应权限）：
certutil -renewCert "CN=WebServer01" -config "CA01\MyEnterpriseCA"
导出新证书为 PFX（含私钥，供 IIS 或其他服务使用）：
Export-PfxCertificate -Cert "Cert:\LocalMachine\My\THUMBPRINT" -FilePath C:\certs\web.pfx -Password (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force)

单台服务器续期只是起点；生产环境常需将新证书推送到多台 IIS、RDP 或应用服务器。PowerShell 远程处理（WinRM）+ 证书存储操作可闭环完成：

通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。

下载

将本地证书导入远程服务器的 LocalMachine\My 存储：
Invoke-Command -ComputerName Web02 -ScriptBlock { param($pfxPath, $pwd) Import-PfxCertificate -FilePath $pfxPath -CertStoreLocation Cert:\LocalMachine\My -Password $pwd } -ArgumentList "C:\certs\web.pfx", (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force)
自动绑定到 IIS 站点（需提前安装 WebAdministration 模块）：
Set-WebBinding -Name "Default Web Site" -BindingInformation "*:443:" -PropertyName CertificateHash -Value "THUMBPRINT" -Protocol https
批量清理旧证书（按颁发者或过期时间）：
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Issuer -match "Let's Encrypt" -and $_.NotAfter -lt (Get-Date).AddDays(-7) } | Remove-Item

PowerShell 不替代 ACME 客户端，而是作为其“最后一公里”的执行引擎。例如 win-acme 完成 Let's Encrypt 续期后，证书默认存于 %ProgramData%\win-acme\https\，此时可用 PowerShell 做后续动作：

读取最新证书路径并导入系统存储：
$latest = Get-ChildItem "$env:ProgramData\win-acme\https\*" -Filter "*.pfx" | Sort-Object LastWriteTime -Descending | Select-Object -First 1; Import-PfxCertificate -FilePath $latest.FullName -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString "default" -AsPlainText -Force)
触发 IIS 重载绑定（避免手动重启）：
netsh http flush sslcert && iisreset /noforce（或更轻量的 Restart-WebItem -Name "Default Web Site"）
记录日志并发送通知：
Write-EventLog -LogName Application -Source "CertAutoDeploy" -EntryType Information -EventId 100 -Message "Certificate deployed to Web01 at $(Get-Date)"

自动化过程失败，80% 源于权限或策略配置不当：

运行脚本的服务账户必须拥有 Cert:\LocalMachine\My 的“读取+写入+管理私钥”权限，否则 Import-PfxCertificate 会静默失败
若启用了“设备防护”或“基于虚拟化的安全性（VBS）”，某些密钥操作会被拦截，需检查 Get-CimInstance Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard
企业组策略中若启用“禁止导出私钥”，则 Export-PfxCertificate 将报错 —— 此时应改用 Certutil -exportPFX 并确保账户有证书模板的“管理证书”权限
在非交互式上下文（如计划任务）中使用 ConvertTo-SecureString 时，不能依赖 -AsPlainText（仅限测试），推荐用 Get-Credential 预存加密凭据或 Azure Key Vault 托管密码