La gestión de certificados de seguridad con PowerShell es una herramienta imprescindible en cualquier entorno empresarial que utilice Hybrid Azure AD. Estos certificados controlan el registro de dispositivos y la sincronización de datos.
Por eso, los certificados caducados pueden provocar varios problemas: pueden romper la sincronización de dispositivos, generar fallos de autenticación, dejar inaccesibles las cargas de trabajo híbridas o rechazar o retrasar la emisión de tokens.
¿Quieres saber más sobre el tema? Mira nuestro vídeo: Cómo usar PowerShell para gestionar certificados caducados en Hybrid Azure AD.
Funciones que puedes usar para gestionar certificados caducados en Azure AD
Hay distintas formas de gestionar los certificados caducados en Azure AD. Puedes consultar los certificados de todos tus dispositivos gestionados, renovar los certificados de Azure AD Connect o AD FS y eliminar los certificados caducados.
También puedes usar el Registro de Windows para validar las dependencias de certificados, las GPO para gestionar la inscripción automática de certificados en todos tus dispositivos gestionados, o CMD para resolver problemas de certificados y de sincronización.
📌 Requisitos previos:
- Necesitarás acceso al servidor donde está instalado Azure AD o AD FS.
- Necesitarás privilegios de administrador tanto en tu servidor local como en el servidor de Azure AD.
- Debes tener instalados los siguientes módulos en Windows PowerShell:
- AzureAD
- MSOnline
- AD FS
- Hybrid Agent
- Deberías tener acceso al complemento MMC de certificados y a PowerShell.
- Se recomienda contar con una raíz de confianza y una autenticación por certificado de empresa si emites los certificados manualmente.
📌 Estrategias de despliegue recomendadas:
Identificar certificados caducados con PowerShell
Esto se utiliza para los servicios de AD FS y Azure AD Connect. Mostrará todos los certificados del equipo local junto con sus fechas de caducidad.
- Abre el menú Inicio y busca Windows PowerShell.
- Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
- Escribe esto y pulsa Intro:
| Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date) } | Select Subject, Thumbprint, NotAfter Lista los certificados de aplicaciones de Azure AD: Connect-AzureAD Get-AzureADApplication | ForEach-Object { Get-AzureADApplicationKeyCredential -ObjectId $_.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } } Comprueba las credenciales del principal de servicio: Get-AzureADServicePrincipal | ForEach-Object { Get-AzureADServicePrincipalKeyCredential -ObjectId $_.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } } |
Renovar los certificados de Azure AD Connect
- Inicia sesión en el servidor de Azure AD de tu organización.
- Abre el menú Inicio y busca Windows PowerShell.
- Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
- Escribe Start-ADSyncSyncCycle -PolicyType Initial y pulsa Intro. Esto iniciará una sincronización completa (inicial), es decir, el sistema leerá y volverá a aplicar todas las reglas y los datos de sincronización.
Ya puedes renovar los certificados de tus dispositivos gestionados.
Si usas la interfaz gráfica de Azure AD:
- Abre Azure AD Connect.
- Haz clic en Configurar > Administrar certificados.
- Selecciona Renovar certificados.
- Sigue las indicaciones y verifica la sincronización.
Si usas Windows PowerShell:
- Abre el menú Inicio y busca Windows PowerShell.
- Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
- Escribe este comando y pulsa Intro:
| $cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -like «*yourdomain.com*» -and $_.NotAfter -gt (Get-Date) } Set-ADSyncCertificate -Thumbprint $cert.Thumbprint |
Cambia «yourdomain.com» por tu dominio.
💡 Nota: puede que necesites escribir un script personalizado para esto, en función de tu configuración. Otra opción es renovar los certificados desde la interfaz gráfica de Azure AD.
Renovar los certificados de AD FS (si se usa)
- Abre el menú Inicio y busca Windows PowerShell.
- Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
- Para exportar y vincular un nuevo certificado, escribe esto y pulsa Intro:
| Set-AdfsSslCertificate -Thumbprint ‘NEW_CERT_THUMBPRINT’ Set-AdfsCertificate -CertificateType Service-Communications -Thumbprint ‘NEW_CERT_THUMBPRINT’ Actualiza los certificados de firma y descifrado de tokens: Update-AdfsCertificate -CertificateType Token-Signing Update-AdfsCertificate -CertificateType Token-Decrypting |
- Fuerza la recarga de la configuración escribiendo Restart-Service adfssrv y pulsando Intro.
- Para comprobar que los certificados se han renovado, escribe los siguientes comandos:
Get-AdfsSslCertificate
Get-AdfsCertificate
Eliminar los certificados caducados
- Abre el menú Inicio y busca Windows PowerShell.
- Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
- Para eliminar los certificados caducados del equipo local, escribe este comando y pulsa Intro:
| Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date) } | Remove-Item |
Para eliminar los certificados caducados de la aplicación de Azure AD, escribe esto y pulsa Intro:
| $expiredCerts = Get-AzureADApplicationKeyCredential -ObjectId $app.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } foreach ($cert in $expiredCerts) { Remove-AzureADApplicationKeyCredential -ObjectId $app.ObjectId -KeyId $cert.KeyId } |
Usar el Registro para validar o rastrear dependencias de certificados
Puedes usar el Registro de Windows para relacionar certificados con servicios concretos y comprobar si hay certificados que necesitan renovarse.
- Abre el menú Inicio y busca Editor del Registro para abrir el programa.
- Ve a la ruta de los servicios que quieras verificar. Por ejemplo, si quieres validar si el certificado del seguimiento de AD FS/híbrido está correctamente vinculado, ve a esta ruta:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ADFS\Parameters
- La cadena CertificateHash debería tener el valor «THUMBPRINT».
- O, si quieres verificar la asignación del certificado de la cuenta de servicio de Azure AD Connect, ve a HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADSync.
- La cadena CertificateHash debería tener el valor «THUMBPRINT».
Estos son solo ejemplos. La ruta y la cadena concretas variarán según tu caso.
Usar directivas de grupo para gestionar la inscripción automática de certificados
Puedes usar esto para enviar automáticamente los certificados renovados a los dispositivos y servidores híbridos.
- Abre el menú Inicio y busca Editar directiva de grupo para abrir el programa.
- Ve a Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas de clave pública.
- Haz doble clic en Cliente de Servicios de certificados: directiva de inscripción de certificados.
- Ponlo en Habilitado.
- Localiza los certificados caducados y renuévalos.
- Actualiza los certificados que usan la plantilla de certificados.
- Haz clic en Aceptar > Aplicar.
Usar CMD para resolver problemas de certificados y sincronización
Puedes usar estos comandos al diagnosticar problemas de certificados o después de cambiar la configuración.
- Abre el menú Inicio y busca Símbolo del sistema.
- Haz clic derecho en Símbolo del sistema > Ejecutar como administrador.
- Para comprobar el estado de la sincronización de Azure AD Connect, escribe sc query ADSync y pulsa Intro.
- Para comprobar los certificados instalados, escribe certutil -store my y pulsa Intro.
- Para forzar una actualización de GPO y un refresco de la directiva de certificados, escribe esto y pulsa Intro:
gpupdate /force
certutil -pulse
⚠️ Resolución de problemas y aspectos a tener en cuenta
| Problema/Riesgo | Posibles consecuencias | Solución/Reversión |
| La sincronización falla después de la renovación. | El certificado no se actualizará. | Reinicia el servicio de sincronización con Windows PowerShell y verifica la configuración del conector. |
| Se producen errores al iniciar sesión en Azure. | No podrás iniciar sesión. | Confirma que los certificados están correctamente vinculados usando el Registro de Windows. |
| Recibes un aviso de que los datos de federación son incorrectos o están incompletos. | No podrás acceder a distintos servicios en distintas plataformas con tus credenciales actuales. | Confirma que los certificados de AD FS están correctamente configurados con Set-AdfsSslCertificate desde Windows PowerShell. |
| Aparece el error «Permission Denied». | No podrás realizar tus tareas. | Asegúrate de que la cuenta que usas para gestionar claves y servicios es la correcta. |
Otros aspectos a considerar al gestionar certificados caducados en Hybrid Azure AD
- Verifica siempre que Azure AD y todos tus servidores locales confían en los nuevos certificados antes de implementarlos.
- Programa alertas con Windows PowerShell o NinjaOne para avisarte cuando los certificados estén a punto de caducar.
- Si eres un MSP que trabaja con varios tenants, asegúrate de que todos tus servidores híbridos estén registrados en la aplicación de cliente correspondiente.
- Exporta y guarda siempre tus certificados en un lugar seguro antes de sustituirlos o eliminarlos.
Servicios de NinjaOne
NinjaOne puede ayudar a los administradores de TI a reforzar la gestión de certificados en entornos híbridos mediante:
- Scripts automatizados: puedes desplegar scripts de PowerShell para buscar certificados caducados y renovarlos automáticamente.
- Alertas y monitorización: los administradores pueden configurar una alerta que les avise cuando los certificados estén a punto de caducar.
- Validación de claves del Registro: puedes extraer datos del Registro para controlar el estado de vinculación de los certificados de tus agentes híbridos.
- Verificación de servicios: los administradores pueden generar informes sobre el estado del servicio de AD FS o Azure AD Connect y centrarlos en los problemas de certificados.
- Panel centralizado: puedes monitorizar los certificados de identidad híbrida en todos los entornos de tus clientes.
Gestiona los certificados del equipo local en Hybrid Azure AD
En un entorno Hybrid Azure AD es fundamental gestionar bien los certificados y mantenerlos todos al día. Así garantizarás una autenticación sin interrupciones, una sincronización correcta del directorio y una comunicación segura entre aplicaciones.
Temas relacionados:
