Sécuriser un serveur web IIS sous Windows Server 2016 - Windows Server - Tutoriels

Grâce à votre autorité de certification, vous pourrez générer des certificats SSL valides pour sécuriser vos différents serveurs web IIS.

1. Installation du serveur web IIS

Dans notre cas, nous avons installé le rôle "Serveur Web (IIS)" sur notre serveur "WEB" lié à notre domaine Active Directory "informatiweb.lan".

Une fois ce rôle installé, vous pourrez accéder au gestionnaire des services Internet (IIS) depuis ce serveur.

Etant donné que notre serveur web est joint à notre domaine Active Directory, celui-ci possède déjà un nom de domaine DNS (configuré automatiquement sur notre serveur DNS local).

Pour le vérifier ou pour le créer si ce serveur n'est pas joint à un domaine Active Directory dans votre cas, ouvrez le gestionnaire DNS sur votre serveur DNS local (ou plus souvent votre contrôleur de domaine Active Directory).

Comme vous pouvez le voir, un enregistrement DNS existe déjà dans notre cas pour notre serveur web.
Ce qui nous permettra de créer un certificat qui sera valable pour ce nom de domaine (web.informatiweb.lan).

2. Créer un nouveau modèle de certificat pour le serveur web IIS

Pour commencer, vous devrez créer un nouveau modèle de certificat sur lequel vous ajouterez notamment les droits nécessaires pour que vous puissiez demander un certificat pour votre serveur depuis sa console mmc.
Pour cela, lancez la console "Autorité de certification" et faites un clic droit "Gérer" sur "Modèles de certificats".

Dupliquez le modèle de certificat "Serveur Web".

Dans l'onglet "Général", indiquez un nouveau nom pour ce nouveau modèle de certificat.
Par exemple : Serveur Web v2.

Note : la publication du certificat dans l'Active Directory n'est pas utile étant donné que le certificat ne sera utilisé que sur un seul serveur.

Dans l'onglet "Traitement de la demande", cochez la case "Autoriser l'exportation de la clé privée" pour pouvoir exporter plus tard le certificat et sa clé privée depuis la console mmc (par exemple), si vous le souhaitez.

Dans l'onglet "Sécurité", vous verrez que les administrateurs du domaine ont le droit d'inscrire des certificats en utilisant ce modèle de certificat.
Néanmoins, étant donné que c'est votre serveur qui effectuera la demande de certificat, il faut que celui-ci ait aussi le droit d'inscrire des certificats.
Pour cela, cliquez sur : Ajouter.

Par défaut, la fenêtre qui apparait vous permet de sélectionner des utilisateurs, des groupes ou des principaux de sécurités intégrés.
Si vous souhaitez autoriser des serveurs et/ou des ordinateurs spécifiques, vous devrez d'abord cliquer sur : Type d'objets.

Cochez la case "des ordinateurs" et cliquez sur OK.

Indiquez le nom du serveur ou de l'ordinateur à autoriser, puis cliquez sur OK.

Si vous le souhaitez, vous pourriez aussi autoriser un groupe dans lequel vous auriez placé au préalable tous vos serveurs web.

Dans un environnement de test, vous pourriez autoriser le groupe "Ordinateurs du domaine" pour autoriser tous vos serveurs et ordinateurs à demander des certificats.

Donnez les autorisations "Lecture" et "Inscrire" à ce serveur (ou ordinateur ou groupe) pour que votre serveur web puisse demander un certificat en utilisant ce modèle de certificat.

Dans l'onglet "Extensions", vous verrez que la stratégie d'application prévue est : Authentification du serveur.

Dans l'onglet "Nom du sujet", laissez l'option "Fournir dans la demande" sélectionnée.

Cela vous permettra de créer une demande de certificat depuis le gestionnaire des services Internet (IIS) de votre serveur IIS et la soumettre à votre autorité de certification.
Cela vous permettra également de fournir manuellement le nom de domaine à utiliser comme nom commun pour vos certificats.
Ce qui est utile lorsque vous souhaitez héberger plusieurs sites avec des domaines différents sur un même serveur web IIS.

Cliquez sur OK.

Votre nouveau modèle de certificat a été créé.

Pour pouvoir demander des certificats en utilisant ce nouveau modèle de certificat, vous devez d'abord ajouter celui-ci à la liste des modèles de certificats à délivrer.
Pour cela, faites un clic droit sur "Modèles de certificats" et cliquez sur : Nouveau -> Modèle de certificat à délivrer.

Sélectionnez votre nouveau modèle de certificat dans la liste (dans notre cas : Serveur Web v2) et cliquez sur OK.

Votre nouveau modèle de certificat apparait dans la liste.