La gestione dei certificati di sicurezza con PowerShell è uno strumento indispensabile per tutti gli ambienti enterprise che utilizzano Hybrid Azure AD. Questi certificati tengono traccia della registrazione dei dispositivi e della sincronizzazione dei dati.
Proprio per questo, i certificati scaduti possono causare diversi problemi: possono interrompere la sincronizzazione dei dispositivi, provocare errori di autenticazione, rendere inaccessibili i carichi di lavoro ibridi oppure impedire o ritardare l’emissione dei token.
Vuoi approfondire l’argomento? Guarda il nostro video: Come usare PowerShell per gestire i certificati scaduti in Hybrid Azure AD.
Le diverse funzionalità per gestire i certificati scaduti in Azure AD
Esistono diversi modi per gestire i certificati scaduti in Azure AD. Puoi visualizzare i certificati di tutti i dispositivi gestiti, rinnovare i certificati per Azure AD Connect o AD FS ed eliminare quelli scaduti.
Puoi anche usare il Registro di sistema di Windows per verificare le dipendenze dei certificati, i GPO per gestire la registrazione automatica dei certificati su tutti i dispositivi gestiti oppure CMD per risolvere i problemi di certificati e sincronizzazione.
📌 Prerequisiti:
- Ti serve l’accesso al server su cui è installato Azure AD o AD FS.
- Ti servono privilegi di amministratore sia sul server locale sia sul server Azure AD.
- Devi avere i seguenti moduli installati in Windows PowerShell:
- AzureAD
- MSOnline
- AD FS
- Hybrid Agent
- Devi avere accesso allo snap-in MMC Certificati e a PowerShell.
- Se emetti i certificati manualmente, è consigliabile disporre di una autenticazione tramite certificati con radice attendibile ed enterprise.
📌 Strategie di distribuzione consigliate:
Individuare i certificati scaduti con PowerShell
Questo metodo si usa per i servizi AD FS e Azure AD Connect. Elenca tutti i certificati del computer locale con le relative date di scadenza.
- Apri il menu Start e cerca Windows PowerShell.
- Fai clic con il pulsante destro su Windows PowerShell > Esegui come amministratore.
- Digita quanto segue e premi Invio:
| Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date) } | Select Subject, Thumbprint, NotAfter Elenca i certificati delle applicazioni Azure AD: Connect-AzureAD Get-AzureADApplication | ForEach-Object { Get-AzureADApplicationKeyCredential -ObjectId $_.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } } Verifica le credenziali dei service principal: Get-AzureADServicePrincipal | ForEach-Object { Get-AzureADServicePrincipalKeyCredential -ObjectId $_.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } } |
Rinnovare i certificati per Azure AD Connect
- Accedi al server Azure AD della tua organizzazione.
- Apri il menu Start e cerca Windows PowerShell.
- Fai clic con il pulsante destro su Windows PowerShell > Esegui come amministratore.
- Digita Start-ADSyncSyncCycle -PolicyType Initial e premi Invio. In questo modo avvii una sincronizzazione completa (iniziale): il sistema leggerà e riapplicherà tutte le regole di sincronizzazione e tutti i dati.
A questo punto puoi rinnovare i certificati dei dispositivi gestiti.
Se utilizzi la GUI di Azure AD:
- Apri Azure AD Connect.
- Fai clic su Configure > Manage Certificates.
- Seleziona Renew Certificates.
- Segui le istruzioni a schermo e verifica la sincronizzazione.
Se utilizzi Windows PowerShell:
- Apri il menu Start e cerca Windows PowerShell.
- Fai clic con il pulsante destro su Windows PowerShell > Esegui come amministratore.
- Digita questo comando e premi Invio:
| $cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -like “*yourdomain.com*” -and $_.NotAfter -gt (Get-Date) } Set-ADSyncCertificate -Thumbprint $cert.Thumbprint |
Sostituisci “yourdomain.com” con il tuo dominio.
💡 Nota: a seconda della tua configurazione personalizzata, potresti dover scrivere uno script ad hoc. In alternativa, puoi rinnovare i certificati tramite la GUI di Azure AD.
Rinnovare i certificati per AD FS (se utilizzato)
- Apri il menu Start e cerca Windows PowerShell.
- Fai clic con il pulsante destro su Windows PowerShell > Esegui come amministratore.
- Per esportare e associare un nuovo certificato, digita quanto segue e premi Invio:
| Set-AdfsSslCertificate -Thumbprint ‘NEW_CERT_THUMBPRINT’ Set-AdfsCertificate -CertificateType Service-Communications -Thumbprint ‘NEW_CERT_THUMBPRINT’ Aggiorna i certificati di firma e decrittografia dei token: Update-AdfsCertificate -CertificateType Token-Signing Update-AdfsCertificate -CertificateType Token-Decrypting |
- Forza il ricaricamento della configurazione digitando Restart-Service adfssrv e premendo Invio.
- Per verificare che i certificati siano stati rinnovati, digita i comandi seguenti:
Get-AdfsSslCertificate
Get-AdfsCertificate
Rimuovere i certificati scaduti
- Apri il menu Start e cerca Windows PowerShell.
- Fai clic con il pulsante destro su Windows PowerShell > Esegui come amministratore.
- Per rimuovere i certificati scaduti dal computer locale, digita questo comando e premi Invio:
| Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date) } | Remove-Item |
Per rimuovere i certificati scaduti dall’app Azure AD, digita quanto segue e premi Invio:
| $expiredCerts = Get-AzureADApplicationKeyCredential -ObjectId $app.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } foreach ($cert in $expiredCerts) { Remove-AzureADApplicationKeyCredential -ObjectId $app.ObjectId -KeyId $cert.KeyId } |
Usare il Registro di sistema per verificare o tracciare le dipendenze dei certificati
Puoi usare il Registro di sistema di Windows per mettere in relazione i certificati con servizi specifici e individuare quelli che devono essere rinnovati.
- Apri il menu Start e cerca Editor del Registro di sistema per aprire il programma.
- Vai al percorso dei servizi che vuoi verificare. Ad esempio, se vuoi controllare che il certificato nella traccia AD FS/Hybrid sia associato correttamente, vai a questo percorso:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ADFS\Parameters
- La stringa CertificateHash deve contenere il valore “THUMBPRINT”.
- In alternativa, se vuoi verificare la mappatura del certificato dell’account del servizio Azure AD Connect, vai a HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADSync.
- La stringa CertificateHash deve contenere il valore “THUMBPRINT”.
Questi sono solo esempi. Il percorso e la stringa specifici variano in base alla tua situazione.
Usare i Criteri di gruppo per gestire la registrazione automatica dei certificati
Puoi usare questo metodo per distribuire automaticamente i certificati rinnovati a dispositivi e server ibridi.
- Apri il menu Start e cerca Modifica criteri di gruppo per aprire il programma.
- Vai a Configurazione del computer > Impostazioni di Windows > Impostazioni sicurezza > Criteri chiave pubblica.
- Fai doppio clic su Client Servizi certificati – Criteri di registrazione certificati.
- Impostalo su Abilitato.
- Individua i certificati scaduti e rinnovali.
- Aggiorna i certificati che utilizzano il modello di certificato.
- Fai clic su OK > Applica.
Usare CMD per risolvere i problemi di certificati e sincronizzazione
Puoi usare questi comandi durante la risoluzione dei problemi relativi ai certificati o dopo modifiche alla configurazione.
- Apri il menu Start e cerca Prompt dei comandi.
- Fai clic con il pulsante destro su Prompt dei comandi > Esegui come amministratore.
- Per controllare lo stato della sincronizzazione di Azure AD Connect, digita sc query ADSync e premi Invio.
- Per controllare i certificati installati, digita certutil -store my e premi Invio.
- Per forzare un aggiornamento dei GPO e delle policy relative ai certificati, digita quanto segue e premi Invio:
gpupdate /force
certutil -pulse
⚠️ Risoluzione dei problemi e aspetti da tenere d’occhio
| Problema/Rischio | Possibili conseguenze | Soluzione/Ripristino |
| La sincronizzazione non riesce dopo il rinnovo. | Il certificato non verrà aggiornato. | Riavvia il servizio di sincronizzazione con Windows PowerShell e verifica la configurazione del connettore. |
| Si verificano errori di accesso ad Azure. | Non riuscirai ad accedere. | Verifica con il Registro di sistema di Windows che i certificati siano associati correttamente. |
| Viene segnalato che i dati di federazione sono errati o incompleti. | Non potrai accedere ai diversi servizi sulle varie piattaforme con le credenziali esistenti. | Verifica con Windows PowerShell che i certificati AD FS siano impostati correttamente usando Set-AdfsSslCertificate. |
| Compare l’errore “Permission Denied”. | Non potrai svolgere le tue attività. | Assicurati che l’account usato per gestire chiavi e servizi sia quello corretto. |
Altri aspetti da considerare nella gestione dei certificati scaduti in Hybrid Azure AD
- Verifica sempre che i nuovi certificati siano considerati attendibili da Azure AD e da tutti i server locali prima di implementarli.
- Pianifica degli avvisi con Windows PowerShell o NinjaOne per sapere quando i certificati stanno per scadere.
- Se sei un MSP che lavora con più tenant, assicurati che tutti i server ibridi siano registrati nell’applicazione client corretta.
- Esporta e conserva sempre i certificati in un luogo sicuro prima di sostituirli o eliminarli.
I servizi NinjaOne
NinjaOne può aiutare gli amministratori IT a rafforzare la gestione dei certificati in ambienti ibridi grazie a:
- Scripting automatizzato – puoi distribuire script PowerShell per individuare i certificati scaduti e rinnovarli automaticamente.
- Avvisi e monitoraggio – gli amministratori possono impostare un avviso che segnali quando i certificati stanno per scadere.
- Verifica delle chiavi di registro – puoi estrarre i dati del registro per monitorare lo stato di associazione dei certificati degli agent ibridi.
- Verifica dei servizi – gli amministratori possono generare report sullo stato di salute dei servizi AD FS o Azure AD Connect e configurarli per concentrarsi sui problemi relativi ai certificati.
- Dashboard centralizzata – puoi monitorare i certificati di identità ibrida in tutti gli ambienti dei tuoi clienti.
Gestire i certificati del computer locale in Hybrid Azure AD
In un ambiente Hybrid Azure AD è fondamentale gestire correttamente i certificati e mantenerli sempre aggiornati. In questo modo garantisci autenticazione continua, sincronizzazione della directory e comunicazioni applicative sicure.
Argomenti correlati:
