Windows IIS

El Hook de Windows IIS se conecta al servidor IIS mediante el protocolo WinRM utilizando un script de Ansible.

Sigue los pasos que se indican a continuación para habilitar el servicio WinRM y configurar el Firewall de Windows, de modo que solo se permita el acceso remoto desde el servidor de CertGuardian.

Habilitar Servicio WinRM

Ejecuta el siguiente comando el en servidor de IIS

winrm quickconfig

Si te pide confirmar (Y/N), escribe Y y pulsa Enter. Esto iniciará el servicio y creará la excepción básica en el firewall.

Generar un certificado autofirmado para el servicio WinRM:

New-SelfSignedCertificate -Subject "CN=ip-del-servidor-iis" -CertStoreLocation "Cert:\LocalMachine\My" -NotAfter (Get-Date).AddYears(5)

ip-del-servidor-iis es la IP que CertGuardian utilizará para conectarse al servidor IIS, por lo que debe ser accesible desde el servidor de CertGuardian.

Después de generar el certificado, anota su thumbprint (huella digital).

También puedes listar los certificados instalados con:

Get-ChildItem Cert:\LocalMachine\My |
    Where-Object {$_.HasPrivateKey} |
    Select Subject, Thumbprint, NotAfter |
    Sort-Object NotAfter

Inicia el servicio WinRM creando un listener HTTPS con:

winrm create 'winrm/config/Listener?Address=*+Transport=HTTPS' '@{Hostname="ip-del-servidor-iis";CertificateThumbprint="your-certificate-thumbprint"}'

Esto iniciará el servicio en el puerto 5986.

Importante: Es posible que debas permitir el acceso al puerto 5986 desde la IP de CertGuardian en tu firewall, dependiendo de tu configuración.

Configuración del Firewall de Windows (Opcional)

Para restringir el acceso y permitir únicamente las conexiones desde el servidor de CertGuardian, sigue estos pasos:

Abre el Firewall de Windows pulsando Windows + R y escribiendo wf.msc y pulsando Enter.

• Una vez dentro del Firewall de Windows, haz clic en Reglas de entrada (1)

• Busca y haz doble clic en la regla "Administración remota de Windows (HTTP de entrada)" (2) para abrir sus propiedades.

• Ve a la pestaña Opciones avanzadas (1)

• En la sección Perfiles, marca las casillas Dominio, Privado y Público (2).

• En Cruce seguro del perímetro, selecciona Bloquear cruce seguro del perímetro (3) en el menú desplegable.

• Ve a la pestaña Ámbito (1).

• En la sección Dirección IP remota (parte inferior), selecciona la opción Estas direcciones IP (2).

• Haz clic en Agregar (3) e introduce la dirección IP del servidor de CertGuardian.

Guardar cambios: Pulsa Aplicar y Aceptar para cerrar las ventanas y aplicar la nueva directiva de seguridad.

Credenciales de conexión

El servidor WinRM requiere un usuario y una contraseña para conectarse. Deberás crear un nuevo usuario o utilizar uno existente para que CertGuardian lo utilice.

El usuario debe tener permisos de administrador.

Probar la conexión

Desde el servidor de CertGuardian puedes comprobar rápidamente si el puerto es accesible desde el servidor mediante el siguiente comando:

curl -v telnet://ip-del-servidor-iis:5986

Si telnet permite establecer la conexión, significa que las dos máquinas pueden comunicarse.

El siguiente paso es probar la conexión mediante WinRM. Ve a CertGuardian → Destinos de instalación → Nuevo. Selecciona el Hook de IIS y completa el formulario: Una vez completado el formulario, haz clic en «Prueba de conexión» para verificar que la conexión funciona correctamente:

Permitir conexión a usuario de Active Directory

Si el usuario está en un dominio de Active Directory, hay que añadirlo al grupo local de Administradores con:

Add-LocalGroupMember -Group Administradores -Member "DOMINIO\usuario"

Comprueba que el usuario se haya añadido correctamente al grupo Administradores con: Get-LocalGroupMember Administradores