O gerenciamento de certificados de segurança com PowerShell é uma ferramenta indispensável em qualquer ambiente corporativo que use o Azure AD híbrido. Esses certificados controlam o registro de dispositivos e a sincronização de dados.
Por isso, certificados expirados podem causar vários problemas: quebrar a sincronização de dispositivos, provocar falhas de autenticação, deixar cargas de trabalho híbridas inacessíveis ou rejeitar e atrasar a emissão de tokens.
Quer saber mais sobre o assunto? Assista ao nosso vídeo: Como usar o PowerShell para gerenciar certificados expirados no Azure AD híbrido.
Recursos disponíveis para gerenciar certificados expirados no Azure AD
Há várias formas de gerenciar certificados expirados no Azure AD. Você pode visualizar os certificados de todos os dispositivos gerenciados, renovar certificados do Azure AD Connect ou do AD FS e remover certificados expirados.
Também dá para usar o Registro do Windows para validar dependências de certificados, GPOs para gerenciar a inscrição automática de certificados em todos os dispositivos gerenciados ou o CMD para solucionar problemas de certificado e sincronização.
📌 Pré-requisitos:
- Acesso ao servidor onde o Azure AD ou o AD FS está instalado.
- Privilégios de administrador no servidor local e no servidor do Azure AD.
- Os seguintes módulos instalados no Windows PowerShell:
- AzureAD
- MSOnline
- AD FS
- Hybrid Agent
- Acesso ao snap-in Certificados do MMC e ao PowerShell.
- Recomenda-se ter uma raiz confiável e autenticação de certificado corporativa caso você emita os certificados manualmente.
📌 Estratégias de implantação recomendadas:
Identificar certificados expirados pelo PowerShell
Esse método serve para os serviços do AD FS e do Azure AD Connect. Ele lista todos os certificados do computador local e suas datas de expiração.
- Abra o menu Iniciar e pesquise por Windows PowerShell.
- Clique com o botão direito em Windows PowerShell > Executar como administrador.
- Digite o seguinte e pressione Enter:
| Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date) } | Select Subject, Thumbprint, NotAfter Listar certificados de aplicativos do Azure AD: Connect-AzureAD Get-AzureADApplication | ForEach-Object { Get-AzureADApplicationKeyCredential -ObjectId $_.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } } Verificar credenciais da entidade de serviço: Get-AzureADServicePrincipal | ForEach-Object { Get-AzureADServicePrincipalKeyCredential -ObjectId $_.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } } |
Renovar certificados do Azure AD Connect
- Faça login no servidor do Azure AD da sua organização.
- Abra o menu Iniciar e pesquise por Windows PowerShell.
- Clique com o botão direito em Windows PowerShell > Executar como administrador.
- Digite Start-ADSyncSyncCycle -PolicyType Initial e pressione Enter. Isso dispara uma sincronização completa (inicial), ou seja, o sistema lê e reaplica todas as regras de sincronização e todos os dados.
Agora é possível renovar os certificados dos dispositivos gerenciados.
Se você usa a interface gráfica do Azure AD:
- Abra o Azure AD Connect.
- Clique em Configurar > Gerenciar certificados.
- Selecione Renovar certificados.
- Siga as instruções na tela e verifique a sincronização.
Se você usa o Windows PowerShell:
- Abra o menu Iniciar e pesquise por Windows PowerShell.
- Clique com o botão direito em Windows PowerShell > Executar como administrador.
- Digite este comando e pressione Enter:
$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -like"*yourdomain.com*" -and $_.NotAfter -gt (Get-Date) }Set-ADSyncCertificate -Thumbprint $cert.Thumbprint |
Troque “yourdomain.com” pelo seu domínio.
💡 Observação: dependendo da sua configuração, talvez seja preciso escrever um script personalizado. Como alternativa, dá para renovar os certificados pela interface gráfica do Azure AD.
Renovar certificados do AD FS (se usado)
- Abra o menu Iniciar e pesquise por Windows PowerShell.
- Clique com o botão direito em Windows PowerShell > Executar como administrador.
- Para exportar e vincular um novo certificado, digite o seguinte e pressione Enter:
Set-AdfsSslCertificate -Thumbprint 'NEW_CERT_THUMBPRINT'Set-AdfsCertificate -CertificateType Service-Communications -Thumbprint 'NEW_CERT_THUMBPRINT'Atualizar os certificados de assinatura e descriptografia de token: Update-AdfsCertificate -CertificateType Token-Signing Update-AdfsCertificate -CertificateType Token-Decrypting |
- Force o recarregamento da configuração digitando Restart-Service adfssrv e pressionando Enter.
- Para confirmar que os certificados foram renovados, digite os comandos a seguir:
Get-AdfsSslCertificate
Get-AdfsCertificate
Remover certificados expirados
- Abra o menu Iniciar e pesquise por Windows PowerShell.
- Clique com o botão direito em Windows PowerShell > Executar como administrador.
- Para remover os certificados expirados do computador local, digite este comando e pressione Enter:
| Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.NotAfter -lt (Get-Date) } | Remove-Item |
Para remover os certificados expirados do aplicativo do Azure AD, digite o seguinte e pressione Enter:
| $expiredCerts = Get-AzureADApplicationKeyCredential -ObjectId $app.ObjectId | Where-Object { $_.EndDate -lt (Get-Date) } foreach ($cert in $expiredCerts) { Remove-AzureADApplicationKeyCredential -ObjectId $app.ObjectId -KeyId $cert.KeyId } |
Usar o Registro para validar ou rastrear dependências de certificados
O Registro do Windows permite relacionar certificados a serviços específicos e acompanhar quais precisam de renovação.
- Abra o menu Iniciar e pesquise por Editor do Registro para abrir o programa.
- Vá até o endereço dos serviços que quer verificar. Por exemplo, para validar se o certificado do rastreamento AD FS/híbrido está vinculado corretamente, acesse este endereço:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ADFS\Parameters
- A string CertificateHash deve conter o valor “THUMBPRINT“.
- Ou, para verificar o mapeamento de certificado da conta de serviço do Azure AD Connect, acesse HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADSync.
- A string CertificateHash deve conter o valor “THUMBPRINT“.
Esses são exemplos. O caminho e a string variam conforme o seu cenário.
Usar a Política de Grupo para gerenciar a inscrição automática de certificados
Use este método para enviar certificados renovados automaticamente a dispositivos e servidores híbridos.
- Abra o menu Iniciar e pesquise por Editar Política de Grupo para abrir o programa.
- Acesse Configuração do Computador > Configurações do Windows > Configurações de Segurança > Políticas de Chave Pública.
- Dê um duplo clique em Cliente dos Serviços de Certificados – Política de Registro de Certificados.
- Defina como Ativado.
- Localize os certificados expirados e renove-os.
- Atualize os certificados que usam o modelo de certificados.
- Clique em OK > Aplicar.
Usar o CMD para solucionar problemas de certificado e sincronização
Esses comandos ajudam na solução de problemas de certificados ou após mudanças de configuração.
- Abra o menu Iniciar e pesquise por Prompt de Comando.
- Clique com o botão direito em Prompt de Comando > Executar como administrador.
- Para verificar a integridade da sincronização do Azure AD Connect, digite sc query ADSync e pressione Enter.
- Para ver os certificados instalados, digite certutil -store my e pressione Enter.
- Para forçar uma atualização de GPO e a renovação da política de certificados, digite o seguinte e pressione Enter:
gpupdate /force
certutil -pulse
⚠️ Solução de problemas e pontos de atenção
| Problema/risco | Possíveis consequências | Correção/reversão |
| A sincronização falha após a renovação. | O certificado não será atualizado. | Reinicie o serviço de sincronização pelo Windows PowerShell e verifique a configuração do conector. |
| Ocorrem erros de login no Azure. | Não será possível fazer login. | Confirme pelo Registro do Windows que os certificados estão vinculados corretamente. |
| Uma mensagem informa que os dados de federação estão incorretos ou incompletos. | Não será possível acessar serviços em diferentes plataformas com as credenciais existentes. | Confirme no Windows PowerShell que os certificados do AD FS estão configurados corretamente com Set-AdfsSslCertificate. |
| Aparece o erro “Permission Denied”. | Não será possível executar suas tarefas. | Verifique se a conta usada para gerenciar chaves e serviços é a correta. |
Outros pontos a considerar ao gerenciar certificados expirados no Azure AD híbrido
- Antes de implementar novos certificados, confirme sempre que eles são confiáveis para o Azure AD e para todos os servidores locais.
- Programe alertas no Windows PowerShell ou no NinjaOne para avisar quando os certificados estiverem perto de expirar.
- MSPs que atendem vários tenants devem garantir que todos os servidores híbridos estejam registrados no aplicativo cliente correto.
- Exporte e guarde os certificados em local seguro antes de substituí-los ou excluí-los.
Serviços NinjaOne
NinjaOne ajuda os administradores de TI a fortalecer o gerenciamento de certificados híbridos com:
- Scripts automatizados – scripts PowerShell podem ser implantados para localizar certificados expirados e renová-los automaticamente.
- Alertas e monitoramento – os administradores podem configurar um alerta que avisa quando os certificados estão perto de expirar.
- Validação de chaves do Registro – é possível extrair dados do Registro para acompanhar o status de vinculação de certificados dos agentes híbridos.
- Verificação de serviços – os administradores podem gerar relatórios sobre a integridade dos serviços do AD FS ou do Azure AD Connect e direcioná-los a problemas de certificados.
- Painel centralizado – monitore os certificados de identidade híbrida em todos os ambientes de clientes.
Gerencie os certificados do computador local no Azure AD híbrido
Gerenciar bem os certificados em um ambiente de Azure AD híbrido e mantê-los sempre atualizados é fundamental. Assim, a autenticação, a sincronização de diretórios e a comunicação segura entre aplicativos seguem sem interrupções.
Temas relacionados:
