Verlopen certificaten in Hybrid Azure AD beheren met PowerShell

Het beheer van beveiligingscertificaten met PowerShell is onmisbaar in elke bedrijfsomgeving die gebruikmaakt van Hybrid Azure AD. Deze certificaten houden de registratie van devices en de synchronisatie van gegevens bij.

Verlopen certificaten kunnen daardoor verschillende problemen veroorzaken. Ze kunnen de synchronisatie van devices verstoren, authenticatiefouten veroorzaken, hybride workloads ontoegankelijk maken of de uitgifte van tokens vertragen of blokkeren.

Wilt u meer weten over dit onderwerp? Bekijk dan onze video: Verlopen certificaten in Hybrid Azure AD beheren met PowerShell.

Functies voor het beheer van verlopen certificaten in Azure AD

U kunt verlopen certificaten in Azure AD op verschillende manieren beheren. Zo kunt u de certificaten van al uw beheerde devices bekijken, certificaten voor Azure AD Connect of AD FS verlengen en verlopen certificaten verwijderen.

Daarnaast kunt u het Windows-register gebruiken om certificaatafhankelijkheden te valideren, GPO’s inzetten om de automatische inschrijving van certificaten op al uw beheerde devices te regelen of CMD gebruiken om problemen met certificaten en synchronisatie op te lossen.

📌 Vereisten:

• U hebt toegang nodig tot de server waarop Azure AD of AD FS is geïnstalleerd.
• U hebt beheerdersrechten nodig op zowel uw lokale server als de Azure AD-server.
• De volgende modules moeten in Windows PowerShell geïnstalleerd zijn:
  • AzureAD
  • MSOnline
  • AD FS
  • Hybrid Agent
• U moet toegang hebben tot de MMC-module voor certificaten en tot PowerShell.
• Het is aan te raden om een vertrouwde hoofdcertificeringsinstantie en certificaatauthenticatie op bedrijfsniveau te gebruiken als u de certificaten handmatig uitgeeft.

📌 Aanbevolen implementatiestrategieën:

Klik om een methode te kiezen	💻 Het beste voor individuele gebruikers	💻💻💻 Het beste voor bedrijven
Verlopen certificaten opsporen via PowerShell		✓
Certificaten verlengen voor Azure AD Connect		✓
Certificaten verlengen voor AD FS (indien gebruikt)		✓
Verlopen certificaten verwijderen		✓
Het register gebruiken om certificaatafhankelijkheden te valideren of te traceren		✓
Groepsbeleid gebruiken voor automatische inschrijving van certificaten		✓
CMD gebruiken om certificaat- en synchronisatieproblemen op te lossen		✓

Verlopen certificaten opsporen via PowerShell

Dit gebruikt u voor AD FS en Azure AD Connect-services. Het toont alle certificaten van de lokale computer en hun vervaldatum.

1. Open het startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. Typ het volgende en druk op Enter:

Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date) } | Select Subject, Thumbprint, NotAfter Certificaten van Azure AD-applicaties weergeven: Connect-AzureAD Get-AzureADApplication | ForEach-Object { Get-AzureADApplicationKeyCredential -ObjectId $_.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } } Referenties van service principals controleren: Get-AzureADServicePrincipal | ForEach-Object { Get-AzureADServicePrincipalKeyCredential -ObjectId $_.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } }

Certificaten verlengen voor Azure AD Connect

1. Log in op de Azure AD-server van uw organisatie.
2. Open het startmenu en zoek naar Windows PowerShell.
3. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
4. Typ Start-ADSyncSyncCycle -PolicyType Initial en druk op Enter. Hiermee start u een volledige (initiële) synchronisatie: uw systeem leest alle synchronisatieregels en gegevens opnieuw in en past ze opnieuw toe.

Vervolgens kunt u de certificaten van uw beheerde devices verlengen.

Als u de Azure AD-GUI gebruikt:

1. Open Azure AD Connect.
2. Klik op Configureren > Certificaten beheren.
3. Selecteer Certificaten verlengen.
4. Volg de aanwijzingen en controleer de synchronisatie.

Als u Windows PowerShell gebruikt:

1. Open het startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. Typ deze opdracht en druk op Enter:

$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*yourdomain.com*" -and $_.NotAfter -gt (Get-Date) } Set-ADSyncCertificate -Thumbprint $cert.Thumbprint

Vervang “yourdomain.com” door uw eigen domein.

💡 Opmerking: afhankelijk van uw eigen configuratie moet u hiervoor mogelijk een aangepast script schrijven. U kunt de certificaten ook via de Azure AD-GUI verlengen.

Certificaten verlengen voor AD FS (indien gebruikt)

1. Open het startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. Typ het volgende en druk op Enter om een nieuw certificaat te exporteren en te koppelen:

Set-AdfsSslCertificate -Thumbprint 'NEW_CERT_THUMBPRINT' Set-AdfsCertificate -CertificateType Service-Communications -Thumbprint 'NEW_CERT_THUMBPRINT' Certificaten voor tokenondertekening en tokenontsleuteling bijwerken: Update-AdfsCertificate -CertificateType Token-Signing Update-AdfsCertificate -CertificateType Token-Decrypting

4. Forceer het opnieuw laden van uw configuratie door Restart-Service adfssrv te typen en op Enter te drukken.
5. Typ de volgende opdrachten om te controleren of de certificaten zijn verlengd:

Get-AdfsSslCertificate
Get-AdfsCertificate

Verlopen certificaten verwijderen

1. Open het startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. Typ deze opdracht en druk op Enter om de verlopen certificaten van de lokale computer te verwijderen:

Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date) } | Remove-Item

Typ het volgende en druk op Enter om de verlopen certificaten uit de Azure AD-app te verwijderen:

$expiredCerts = Get-AzureADApplicationKeyCredential -ObjectId $app.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } foreach ($cert in $expiredCerts) { Remove-AzureADApplicationKeyCredential -ObjectId $app.ObjectId -KeyId $cert.KeyId }

Het register gebruiken om certificaatafhankelijkheden te valideren of te traceren

Met het Windows-register kunt u certificaten koppelen aan specifieke services en nagaan of er certificaten zijn die verlengd moeten worden.

1. Open het startmenu en zoek naar Register-editor om het programma te openen.
2. Ga naar het adres van de services die u wilt controleren. Wilt u bijvoorbeeld valideren of het certificaat in de AD FS-/Hybrid-trace correct is gekoppeld, ga dan naar dit adres:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ADFS\Parameters

3. De tekenreeks CertificateHash moet de waarde “THUMBPRINT” bevatten.
4. Wilt u de certificaatkoppeling van het serviceaccount van Azure AD Connect controleren, ga dan naar HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADSync.
5. De tekenreeks CertificateHash moet de waarde “THUMBPRINT” bevatten.

Dit zijn voorbeeldsituaties. Het precieze pad en de tekenreeks verschillen per situatie.

Groepsbeleid gebruiken voor automatische inschrijving van certificaten

Hiermee kunt u verlengde certificaten automatisch uitrollen naar hybride devices en servers.

1. Open het startmenu en zoek naar Groepsbeleid bewerken om het programma te openen.
2. Ga naar Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Openbare-sleutelbeleid.
3. Dubbelklik op Certificate Services Client – Certificate Enrollment Policy.
4. Stel dit in op Ingeschakeld.
5. Zoek de verlopen certificaten op en verleng ze.
6. Werk de certificaten bij die de certificaattemplate gebruiken.
7. Klik op OK > Toepassen.

CMD gebruiken om certificaat- en synchronisatieproblemen op te lossen

Deze opdrachten kunt u gebruiken bij het oplossen van certificaatproblemen of na configuratiewijzigingen.

1. Open het startmenu en zoek naar Opdrachtprompt.
2. Klik met de rechtermuisknop op Opdrachtprompt > Als administrator uitvoeren.
3. Typ sc query ADSync en druk op Enter om de synchronisatiestatus van Azure AD Connect te controleren.
4. Typ certutil -store my en druk op Enter om de geïnstalleerde certificaten te bekijken.
5. Typ het volgende en druk op Enter om een GPO-update en een vernieuwing van het certificaatbeleid af te dwingen:

gpupdate /force
certutil -pulse

⚠️ Problemen oplossen en aandachtspunten

Probleem/risico	Mogelijke gevolgen	Oplossing/herstel
De synchronisatie mislukt na de verlenging.	Het certificaat wordt niet bijgewerkt.	Start de synchronisatieservice opnieuw met Windows PowerShell en controleer uw connectorconfiguratie.
U krijgt foutmeldingen bij het inloggen op Azure.	U kunt niet inloggen.	Controleer via het Windows-register of de certificaten correct zijn gekoppeld.
U krijgt de melding dat de federatiegegevens onjuist of onvolledig zijn.	U kunt met uw bestaande referenties geen toegang krijgen tot verschillende services op verschillende platforms.	Controleer met Set-AdfsSslCertificate in Windows PowerShell of de AD FS-certificaten correct zijn ingesteld.
U krijgt de foutmelding “Permission Denied”.	U kunt uw taken niet uitvoeren.	Controleer of u het juiste account gebruikt om sleutels en services te beheren.

Aanvullende aandachtspunten bij het beheren van verlopen certificaten in Hybrid Azure AD

• Controleer altijd of de nieuwe certificaten worden vertrouwd door Azure AD en al uw lokale servers voordat u ze in gebruik neemt.
• Stel notificaties in via Windows PowerShell of NinjaOne zodat u weet wanneer certificaten bijna verlopen.
• Werkt u als MSP met meerdere tenants, zorg er dan voor dat al uw hybride servers bij de juiste clientapplicatie zijn geregistreerd.
• Exporteer uw certificaten altijd en bewaar ze op een veilige plek voordat u ze vervangt of verwijdert.

NinjaOne-diensten

NinjaOne helpt IT-beheerders het beheer van hybride certificaten te versterken met:

• Geautomatiseerde scripting – u kunt PowerShell-scripts uitrollen die verlopen certificaten opsporen en automatisch verlengen.
• Notificaties en monitoring – beheerders kunnen een notificatie instellen die hen eraan herinnert dat certificaten bijna verlopen.
• Validatie van registersleutels – u kunt registergegevens ophalen om de koppelingsstatus van de certificaten van uw hybride agents te volgen.
• Serviceverificatie – beheerders kunnen rapporten genereren over de servicestatus van AD FS of Azure AD Connect en die toespitsen op certificaatproblemen.
• Centraal dashboard – u kunt certificaten voor hybride identiteiten in al uw klantomgevingen monitoren.

Certificaten van de lokale computer beheren in Hybrid Azure AD

Een goed certificaatbeheer in een Hybrid Azure AD-omgeving is cruciaal en alle certificaten moeten actueel blijven. Zo zorgt u voor ononderbroken authenticatie, directorysynchronisatie en veilige communicatie tussen applicaties.

Gerelateerde onderwerpen:

• Active Directory Certificate Services: uitleg en configuratie van AD CS
• Notificaties voor verlopende certificaten beheren met PowerShell voor betere IT-beveiliging
• Certificaten efficiënt vinden en verwijderen op basis van thumbprint met PowerShell