[Powershell] unknown error code signing certificate

[amx]

Beste,

Ik wil een signed only script execution policy op mijn laptop (windows 10 Education Edition build 1703).

Ik heb een script dat ik bij opstarten wil uitvoeren. Het script is opgeslagen als PS1 bestand en in UTF-8.

Om het script te signen maak ik een self signed certificate aan:

code:

New-SelfSignedCertificate -CertStoreLocation Cert:\LocalMachine\ -Type CodeSigningCert -Subject
"CN=test" -NotAfter (Get-Date).AddYears(10)

Daarna verplaats ik het certificaat naar Trusted Publishers.

Daarna probeer ik het script te signen:

code:

$cert = (Get-ChildItem Cert:\LocalMachine\TrustedPublisher\ -CodeSigningCert)[0]

Set-AuthenticodeSignature .\Untitled1.ps1 $cert

Ik krijg de volgende output:

code:

    Directory: D:\Documents\Scripts


SignerCertificate                         Status                                 Path
-----------------                         ------                                 ----
XXXXXXXXXXXX                UnknownError                 Untitled1.ps1

Documentatie leidt vooral richting problemen met formaat (big-endian of UTF-8), of dat het geen code signing certificaat is.

Heeft iemand nog meer ideeën hoe ik dit script op de juiste manier kan signen?

[ElCondor]

En IS het een code-signing certificaat?

[amx]

Ja, de variabele $cert heeft exit code 0 op voorwaarde dat het certificaat een code signing certificaat is

[Meekoh]

Kies je wel het juiste certificate? Degene die ook de private key bevat dus?

[amx]

Trusted Publishers is onvoldoende vertrouwd blijkbaar.

Als ik het certificaat in Trusted Root Certificate Authorities zet, doet hij het wel goed.

[Zaratrass]

amx schreef op zaterdag 7 oktober 2017 @ 16:35:
Trusted Publishers is onvoldoende vertrouwd blijkbaar.

Als ik het certificaat in Trusted Root Certificate Authorities zet, doet hij het wel goed.

Hi amx, het is wellicht al een tijd geleden. Maar ik vraag me af hoe je dit heb gedaan, is dit d.m.v. Export / Import (met of zonder private key)?
En heb je dit lokaal of via een group policy gedaan?

Ik blijf namelijk de UnknownError krijgen ook als ik hem nu toevoeg aan Trusted Root Certificate Authorities.
ik heb deze handleiding gevolgd.

Ter beeldvorming ik heb een prototype omgeving met een DC/CA en normale server (Server 2016 allen)
Certificaat is niet verlopen.

edit: Het werkt wel als ik een export doe (met private key) en importeer in de Cert:\CurrentUser\My map.

Die persoon moet dan wel rechten hebben op de security group die actief is op de template. Dit heb ik zojuist nog getest, anders moet die user de privatekey password invullen.

[ Voor 14% gewijzigd door Zaratrass op 06-03-2020 14:16 ]

[amx]

Daar heb ik niet bij stilgestaan. Toendertijd gewoon geïmporteerd via de Computer Certificates MMC. Het importeren heeft als ik het me goed herinner geen problemen opgeleverd op mijn laptop.

[edit]

kan ook zijn dat het in het Powershell commando New-SelfSignedCertificate via -CertStoreLocation kon worden gespecificeerd

Is alweer een paar jaar terug. Denk dat er genoeg documentatie van te vinden moet zijn.

[ Voor 37% gewijzigd door amx op 07-03-2020 22:51 ]

[Killah_Priest]

Zaratrass schreef op vrijdag 6 maart 2020 @ 11:26:
[...]


Hi amx, het is wellicht al een tijd geleden. Maar ik vraag me af hoe je dit heb gedaan, is dit d.m.v. Export / Import (met of zonder private key)?
En heb je dit lokaal of via een group policy gedaan?

Ik blijf namelijk de UnknownError krijgen ook als ik hem nu toevoeg aan Trusted Root Certificate Authorities.
ik heb deze handleiding gevolgd.

Ter beeldvorming ik heb een prototype omgeving met een DC/CA en normale server (Server 2016 allen)
Certificaat is niet verlopen.

edit: Het werkt wel als ik een export doe (met private key) en importeer in de Cert:\CurrentUser\My map.

Die persoon moet dan wel rechten hebben op de security group die actief is op de template. Dit heb ik zojuist nog getest, anders moet die user de privatekey password invullen.

Als je de CA rol van Windows Server gebruikt dan kun je dmv een GPO het root certificate van de CA in de trusted root zetten.