ローカルマシンの個人ストアにある証明書をすべて表示

Mermaid
2025.09.27

PowerShellでPKI証明書管理

導入（問題設定）

デジタル証明書は、現代のITインフラにおいて信頼の基盤となる重要な要素です。ウェブサーバーのTLS/SSL、コード署名、VPN認証、デバイス認証など、その用途は多岐にわたります。Windows環境では、これらの証明書は「証明書ストア」と呼ばれる安全な場所に保管・管理されています。

GUI（certmgr.mscやMMCスナップイン）を使った証明書管理は直感的ですが、次のような課題があります。 – 自動化の限界: 定期的な証明書更新や、大量のサーバーへの展開には不向きです。 – 一貫性の欠如: 手動操作によるミスが発生しやすく、設定の一貫性を保つのが困難です。 – 可視性の低さ: ストア内の証明書を一括で検索・監査するのが面倒です。

そこでPowerShellの出番です。PowerShellのCertificateプロバイダと関連Cmdletを活用すれば、これらの課題を解決し、証明書管理を効率的かつ堅牢に行うことができます。本記事では、PowerShellによる証明書管理の基本から、その内部動作、落とし穴、そして堅牢な運用に必要な知識まで、マニアックに掘り下げていきます。

理論の要点

PowerShellによる証明書管理を深く理解するためには、WindowsにおけるPKIと証明書ストアの基本的な概念を把握しておく必要があります。

1. Windows証明書ストアの構造

Windowsには、ユーザーごと（CurrentUser）とコンピューターごと（LocalMachine）に異なる証明書ストアが存在します。PowerShellのCert:プロバイダは、これらのストアへのパスを提供します。

  • Cert:\CurrentUser: 現在のユーザープロファイルに関連付けられた証明書ストア。
  • Cert:\LocalMachine: コンピューター全体で利用可能な証明書ストア。サービスアカウントやIISサイトなどが利用します。

各ストアには、さらに用途に応じたサブストア（コンテナ）があります。 – My (または Personal): ユーザーまたはコンピューターが所有する証明書と秘密鍵が格納されます。主にサーバー証明書やクライアント証明書がここに入ります。 – Root: 信頼されたルート証明機関 (CA) の証明書が格納されます。ここにないCAの証明書は、原則として信頼されません。 – TrustedPublisher: 信頼された発行元の証明書が格納されます。コード署名などで利用されます。 – Intermediate Certification Authorities: 中間CAの証明書が格納されます。

証明書の実体は、X.509形式のデータとして、通常はレジストリ（HKLM\SOFTWARE\Microsoft\SystemCertificatesなど）やファイルシステム（秘密鍵）に格納されます。PowerShellはこれらの抽象化されたインターフェースを提供しています。

2. デジタル証明書の構成要素と秘密鍵

デジタル証明書は公開鍵と、その公開鍵の所有者情報を証明するメタデータ（Subject, Issuer, Validity Period, Extended Key Usageなど）から構成されます。

  • Subject: 証明書の所有者（エンティティ）の情報。
  • Issuer: 証明書を発行したCAの情報。
  • Thumbprint: 証明書のハッシュ値。証明書を一意に識別するための簡潔なIDとしてよく使われます。
  • Serial Number: 発行者CAによって一意に割り当てられる番号。
  • Validity Period: 証明書の有効期間（NotBeforeからNotAfterまで）。
  • Extended Key Usage (EKU): 証明書がどのような用途で利用されるかを示すOID (Object Identifier) のリスト。例: Server Authentication (TLS/SSLサーバー), Client Authentication (TLS/SSLクライアント), Code Signing。

証明書とペアになる秘密鍵は、高度な機密情報です。Windowsでは、秘密鍵は通常、暗号化サービスプロバイダ (CSP) またはキー記憶プロバイダ (KSP) によって保護された状態で、ファイルシステム（C:\ProgramData\Microsoft\Crypto\以下など）に保存されます。 – CSP (Cryptographic Service Provider): 比較的古いCryptoAPI (CAPI) で利用されるプロバイダ。通常はRSA鍵用です。 – KSP (Key Storage Provider): 新しいCryptography Next Generation (CNG) で利用されるプロバイダ。RSA、ECCなど多様なアルゴリズムをサポートし、より柔軟なセキュリティ機能を提供します。

秘密鍵には、その鍵がエクスポート可能か否かを制御するエクスポートポリシー (KeyExportPolicy) が紐づいています。 – NonExportable: 秘密鍵のエクスポートを許可しません。最も安全な設定です。 – Exportable: 秘密鍵のエクスポートを許可します。バックアップや移行時に必要ですが、セキュリティリスクが増大します。 – ExportableEncrypted: 秘密鍵のエクスポートを許可しますが、常に暗号化して保存する必要があります。

3. PFX (PKCS#12) ファイル

PFXファイル（*.pfxまたは*.p12）は、証明書と対応する秘密鍵を単一のファイルにまとめたものです。通常、パスワードで保護されており、証明書のバックアップ、移行、または複数のシステムへの展開に利用されます。

実装（最小→堅牢化）

最小実装

1. ストア内の証明書を検索する

Get-ChildItem CmdletをCert:プロバイダに対して使用します。

# ローカルマシンの個人ストアにある証明書をすべて表示
Get-ChildItem -Path Cert:\LocalMachine\My

# 特定のサブジェクト名を持つ証明書を検索
Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object Subject -Match "MyWebApp"

# 特定のThumbprintを持つ証明書を検索（Thumbprintは一意なので最も確実な識別子）
$thumbprint = "1A2B3C4D5E6F7A8B9C0D1E2F3A4B5C6D7E8F9A0B" # 例として適当な値を指定
Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object Thumbprint -EQ $thumbprint

# 詳細情報を表示
(Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object Subject -Match "MyWebApp")[0] | Format-List *

2. 自己署名証明書を作成する

New-SelfSignedCertificate Cmdletを使用します。

# 最小構成の自己署名証明書を作成（LocalMachine\Myストアに格納）
$cert = New-SelfSignedCertificate -Subject "CN=MySimpleTestCert" -CertStoreLocation Cert:\LocalMachine\My
Write-Host "証明書が作成されました: $($cert.Thumbprint)"

3. 証明書をPFXファイルとしてエクスポートする

Export-PfxCertificate Cmdletを使用します。秘密鍵のエクスポートポリシーがExportableである必要があります。

# 前述の自己署名証明書を変数に格納 (ここではThumbprintで取得)
$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object Thumbprint -EQ $cert.Thumbprint

# パスワード付きでPFXとしてエクスポート
$password = Read-Host -AsSecureString "PFXパスワードを入力してください"
Export-PfxCertificate -Cert $cert -FilePath "C:\temp\MySimpleTestCert.pfx" -Password $password

Write-Host "証明書が C:\temp\MySimpleTestCert.pfx にエクスポートされました。"

4. PFXファイルをインポートする

Import-PfxCertificate Cmdletを使用します。

# インポート先のストアパスを指定
$storePath = "Cert:\LocalMachine\My"

# パスワード付きPFXファイルをインポート
$password = Read-Host -AsSecureString "PFXパスワードを入力してください"
Import-PfxCertificate -FilePath "C:\temp\MySimpleTestCert.pfx" -CertStoreLocation $storePath -Password $password

Write-Host "C:\temp\MySimpleTestCert.pfx がストアにインポートされました。"

5. 証明書を削除する

Remove-Item Cmdletを使用します。

# 削除対象の証明書を取得
$certToRemove = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object Subject -Match "MySimpleTestCert"

# 証明書を削除
if ($certToRemove) {
    Remove-Item -Path $certToRemove.PSPath
    Write-Host "証明書 $($certToRemove.Thumbprint) が削除されました。"
} else {
    Write-Host "削除対象の証明書が見つかりませんでした。"
}

堅牢化

ここでは、New-SelfSignedCertificate を中心に、よりセキュアで用途に合わせた証明書作成と管理の方法を掘り下げます。

1. 高度な自己署名証明書の作成

New-SelfSignedCertificate は多数のパラメータを持ち、セキュリティ要件や用途に合わせてカスタマイズできます。

パラメータ名 説明
-Subject 証明書の識別名 (DN)。例: "CN=myapp.contoso.com, OU=IT, O=Contoso". 必須。
-CertStoreLocation 証明書を格納するストアのパス。例: "Cert:\LocalMachine\My". 必須。
-DnsName Subject Alternative Name (SAN) のDNS名を指定。ウェブサーバー用途では必須。複数指定可。例: "myapp.contoso.com", "localhost".
-KeyUsage キー用途を指定。例: DigitalSignature, KeyEncipherment, DataEncipherment. 複数指定可。デフォルトはDigitalSignature, KeyEncipherment。
-ExtendedKeyUsage 拡張キー用途 (EKU) を指定。OIDまたは標準名。例: ServerAuthentication, ClientAuthentication, CodeSigning. 複数指定可。デフォルトはServerAuthentication。
-KeyLength 秘密鍵のビット長。例: 2048, 4096. デフォルトは2048。
-HashAlgorithm 証明書の署名に使用するハッシュアルゴリズム。例: SHA256, SHA384, SHA512. デフォルトはSHA256。
-NotBefore 証明書の有効期限開始日時。デフォルトは現在時刻。
-NotAfter 証明書の有効期限終了日時。デフォルトは発行から1年間。
-KeyExportPolicy 秘密鍵のエクスポートポリシー。NonExportable, Exportable, ExportableEncrypted。セキュリティ要件に応じて選択。デフォルトはNonExportable。
-KeyAlgorithm 秘密鍵のアルゴリズム。例: RSA, ECDH_P256, ECDH_P384, ECDH_P521. デフォルトはRSA。
-Provider 鍵の保存に使用するCSP/KSP。例: "Microsoft Software Key Storage Provider" (CNG/KSP), "Microsoft Enhanced RSA and AES Cryptographic Provider" (CAPI/CSP)。アーキテクチャやセキュリティ要件に応じて選択。PowerShellは64bitだが、CAPIプロバイダは32bit/64bit対応状況がプロバイダによるため注意。
-FriendlyName 証明書の表示名。MMCなどで見やすい名前を設定できます。

自己署名証明書（サーバー認証用、エクスポート可能）の例:

$domain = "secureapp.internal.contoso.com"
$certPath = "Cert:\LocalMachine\My"
$password = ConvertTo-SecureString "YourSecureP@ssword" -AsPlainText -Force # 本番ではRead-Hostを使用

$cert = New-SelfSignedCertificate `
    -Subject "CN=$domain" `
    -DnsName $domain, "localhost" `
    -FriendlyName "TLS Certificate for $domain" `
    -CertStoreLocation $certPath `
    -KeyAlgorithm RSA `
    -KeyLength 4096 `
    -HashAlgorithm SHA512 `
    -NotBefore (Get-Date) `
    -NotAfter (Get-Date).AddYears(2) `
    -KeyUsage DigitalSignature, KeyEncipherment `
    -ExtendedKeyUsage ServerAuthentication `
    -KeyExportPolicy Exportable ` # ★重要: PFXエクスポートのためにExportableにする
    -Provider "Microsoft Software Key Storage Provider" # CNGプロバイダの指定 (モダンな選択)

Write-Host "高機能な証明書が作成されました: $($cert.Thumbprint)"

# 作成した証明書をPFXとしてエクスポート（バックアップ目的など）
Export-PfxCertificate `
    -Cert $cert `
    -FilePath "C:\temp\$($domain)_$(Get-Date -Format 'yyyyMMdd').pfx" `
    -Password $password `
    -Force # 既存ファイルがある場合は上書き

Write-Host "証明書がPFXとしてエクスポートされました。"

KeyExportPolicy Exportable の指定は、Export-PfxCertificateで秘密鍵をエクスポートする際に必須です。この設定がないと、後述の「失敗例」のように秘密鍵付きのエクスポートに失敗します。

2. 証明書の詳細プロパティの確認

X509Certificate2オブジェクトのプロパティを深く掘り下げます。

$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object Subject -Match "secureapp.internal.contoso.com"

if ($cert) {
    Write-Host "Subject: $($cert.Subject)"
    Write-Host "Issuer: $($cert.Issuer)"
    Write-Host "Thumbprint: $($cert.Thumbprint)"
    Write-Host "Valid From: $($cert.NotBefore)"
    Write-Host "Valid To: $($cert.NotAfter)"
    Write-Host "Has Private Key: $($cert.HasPrivateKey)"

    # 拡張情報
    $cert.Extensions | ForEach-Object {
        Write-Host "  Extension: $($_.Oid.FriendlyName) ($($_.Oid.Value))"
        if ($_.Oid.FriendlyName -eq "Subject Alternative Name") {
            # SubjectAlternativeNameExtensionをキャストして詳細表示
            $sanExtension = [System.Security.Cryptography.X509Certificates.X509SubjectAlternativeNameExtension]$_
            $sanExtension.EnumerateDnsNames() | ForEach-Object { Write-Host "    DNS Name: $_" }
        }
        if ($_.Oid.FriendlyName -eq "Key Usage") {
            # KeyUsageExtensionをキャストして詳細表示
            $keyUsageExtension = [System.Security.Cryptography.X509Certificates.X509KeyUsageExtension]$_
            Write-Host "    Key Usage: $($keyUsageExtension.KeyUsages)"
        }
        if ($_.Oid.FriendlyName -eq "Enhanced Key Usage") {
            # X509EnhancedKeyUsageExtensionをキャストして詳細表示
            $ekuExtension = [System.Security.Cryptography.X509Certificates.X509EnhancedKeyUsageExtension]$_
            $ekuExtension.EnhancedKeyUsages | ForEach-Object { Write-Host "    EKU: $($_.FriendlyName) ($($_.Value))" }
        }
    }

    # 秘密鍵情報の詳細 (HasPrivateKeyがTrueの場合のみ)
    if ($cert.HasPrivateKey) {
        # CNG (KSP) と CAPI (CSP) の判定
        if ($cert.PrivateKey -is [System.Security.Cryptography.RSACng] -or $cert.PrivateKey -is [System.Security.Cryptography.ECDiffieHellmanCng]) {
            Write-Host "  Key Storage Provider (KSP) Details:"
            Write-Host "    Provider Name: $($cert.PrivateKey.CngKey.Provider.ProviderName)"
            Write-Host "    Algorithm Group: $($cert.PrivateKey.CngKey.AlgorithmGroup.FriendlyName)"
            Write-Host "    Key Name: $($cert.PrivateKey.CngKey.KeyName)"
            Write-Host "    Export Policy: $($cert.PrivateKey.CngKey.ExportPolicy)" # KeyExportPolicyに対応
        } elseif ($cert.PrivateKey -is [System.Security.Cryptography.RSACryptoServiceProvider]) {
            Write-Host "  Cryptographic Service Provider (CSP) Details:"
            Write-Host "    Provider Name: $($cert.PrivateKey.CspKeyContainerInfo.ProviderName)"
            Write-Host "    Key Container Name: $($cert.PrivateKey.CspKeyContainerInfo.KeyContainerName)"
            Write-Host "    Exportable: $($cert.PrivateKey.CspKeyContainerInfo.Exportable)"
        }
    }
} else {
    Write-Host "証明書が見つかりませんでした。"
}

X509Certificate2.PrivateKeyプロパティは、内部的には.NETのSystem.Security.Cryptography名前空間のオブジェクト（RSACryptoServiceProviderまたはRSACngなど）を返します。これにより、鍵がCAPI由来かCNG由来かを判別し、それぞれのプロバイダ情報を参照できます。64bit/32bitのアーキテクチャの違いは、これらのプロバイダ実装の選択に影響しますが、PowerShell Cmdletでは抽象化されているため直接意識する必要はほとんどありません。しかし、CNG (Microsoft Software Key Storage Providerなど) を使用することは、最新のセキュリティ機能と64bit環境での最適なパフォーマンスを得る上で推奨されます。

Mermaid図: 証明書とPFXのライフサイクル

graph TD
    A["証明書要件定義"] --> B["New-SelfSignedCertificateまたはCAから取得"];
    B -- 発行/生成 --> C{"証明書ストアに格納"};
    C --> D["秘密鍵の有無とエクスポートポリシー確認"];
    D -- 秘密鍵なし または 非エクスポート可能 --> E["証明書単独の利用 (例: 公開鍵の配布)"];
    D -- 秘密鍵あり かつ エクスポート可能 --> F[Export-PfxCertificate];
    F --> G{"PFXファイル (証明書+秘密鍵) 生成"};
    G --> H["PFXファイルを安全に保管/配布"];
    H --> I[Import-PfxCertificate];
    I --> J["別のシステム/ストアへインポート"];
    J --> K["アプリケーションで利用 (例: WebサーバーのTLS)"];
    K --> L["証明書有効期限切れ"];
    L --> M["更新/再発行"];
    M --> B;
    C --> N["Remove-Item(\"不要な証明書の削除\")"];
    N --> O["ストアから削除完了"];

API仕様・引数・定数一覧

ここでは、主要なCmdletの重要パラメータと、それに紐づく定数や概念を箇条書きの表形式で示します。

New-SelfSignedCertificate

  • -Subject <String>:
    • 必須。例: "CN=test.example.com, OU=IT, O=Example Corp"
    • CN (Common Name) は特に重要。
  • -CertStoreLocation <String>:
    • 必須。例: "Cert:\LocalMachine\My", "Cert:\CurrentUser\My"
  • -DnsName <String[]>:
    • SAN (Subject Alternative Name) に含めるDNS名。複数指定可能。
    • ウェブサーバー証明書では必須。例: "www.example.com", "example.com"
  • -KeyUsage <X509KeyUsageFlags>:
    • DigitalSignature, KeyEncipherment, DataEncipherment など。複数指定はカンマ区切り。
    • 用途に応じて適切なものを選択。
  • -ExtendedKeyUsage <String[]>:
    • ServerAuthentication, ClientAuthentication, CodeSigning など。OIDでの指定も可能。
    • ServerAuthentication (1.3.6.1.5.5.7.3.1) はウェブサーバーでTLS/SSLに利用する際に必須。
  • -KeyExportPolicy <X509KeyStorageFlags>:
    • NonExportable (デフォルト), Exportable, ExportableEncrypted。
    • ExportableにしないとPFXとして秘密鍵をエクスポートできない。
  • -Provider <String>:
    • "Microsoft Software Key Storage Provider" (CNG/KSP) または "Microsoft Enhanced RSA and AES Cryptographic Provider" (CAPI/CSP) など。
    • 推奨はCNGプロバイダ。

Export-PfxCertificate

  • -Cert <X509Certificate2>:
    • エクスポートする証明書オブジェクト。Get-ChildItemの出力などをパイプラインで渡す。
  • -FilePath <String>:
    • 出力するPFXファイルのパス。例: "C:\backup\cert.pfx"
  • -Password <SecureString>:
    • PFXファイルを保護するためのパスワード。ConvertTo-SecureStringで生成。
    • パスワードなしでエクスポートするとセキュリティリスクが高まる。

Import-PfxCertificate

  • -FilePath <String>:
    • インポートするPFXファイルのパス。
  • -CertStoreLocation <String>:
    • インポート先の証明書ストアのパス。
  • -Password <SecureString>:
    • PFXファイルがパスワードで保護されている場合に必要。
  • -ExportableKey:
    • インポートした秘密鍵を再度エクスポート可能にするフラグ。デフォルトでは非エクスポート可能としてインポートされる。セキュリティ上の理由から、通常は指定しない。

失敗例→原因→対処

失敗例: 秘密鍵付きの自己署名証明書をPFXファイルとしてエクスポートしようとしたが、Export-PfxCertificateがエラーを吐いた。

# 1. 秘密鍵のエクスポートポリシーを`NonExportable`（デフォルト）で証明書を作成
$cert = New-SelfSignedCertificate -Subject "CN=NonExportableTestCert" -CertStoreLocation Cert:\LocalMachine\My
Write-Host "作成した証明書 Thumbprint: $($cert.Thumbprint)"

# 2. この証明書をPFXとしてエクスポートしようとする
$password = ConvertTo-SecureString "P@ssword123!" -AsPlainText -Force
Export-PfxCertificate -Cert $cert -FilePath "C:\temp\nonexportable.pfx" -Password $password

# エラーメッセージ例:
# Export-PfxCertificate : Cannot export the certificate with private key.
# A certificate with a private key required for this operation was not found.
# At line:6 char:1
# + Export-PfxCertificate -Cert $cert -FilePath "C:\temp\nonexportable.pfx" -Passw ...
# + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
#     + CategoryInfo          : NotSpecified: (:) [Export-PfxCertificate], CryptographicException
#     + FullyQualifiedErrorId : System.Security.Cryptography.CryptographicException,Microsoft.CertificateServices.Commands.ExportPfxCertificateCommand

原因: New-SelfSignedCertificate Cmdletのデフォルト動作では、作成される証明書の秘密鍵はNonExportable（エクスポート不可）としてマークされます。これはセキュリティ上の推奨事項であり、秘密鍵が安易にコピーされるのを防ぐためです。しかし、PFXファイルは証明書とその秘密鍵の両方を含むため、秘密鍵がエクスポート不可に設定されていると、Export-PfxCertificateは秘密鍵をファイルに書き出すことができず、エラーとなります。

対処: 証明書を作成する際に、-KeyExportPolicy Exportable または -KeyExportPolicy ExportableEncrypted パラメータを明示的に指定する必要があります。これにより、秘密鍵がエクスポート可能な状態で作成され、PFXとしてエクスポートできるようになります。

# 1. 秘密鍵のエクスポートポリシーを`Exportable`で証明書を作成
$exportableCert = New-SelfSignedCertificate `
    -Subject "CN=ExportableTestCert" `
    -CertStoreLocation Cert:\LocalMachine\My `
    -KeyExportPolicy Exportable # ★ここが重要！
Write-Host "作成したエクスポート可能証明書 Thumbprint: $($exportableCert.Thumbprint)"

# 2. この証明書をPFXとしてエクスポート
$password = ConvertTo-SecureString "P@ssword123!" -AsPlainText -Force
Export-PfxCertificate -Cert $exportableCert -FilePath "C:\temp\exportable.pfx" -Password $password

Write-Host "秘密鍵付きPFXファイル C:\temp\exportable.pfx が正常にエクスポートされました。"

# 後片付け
Remove-Item -Path $exportableCert.PSPath

注意点: Exportableな秘密鍵は、セキュリティリスクが高まります。PFXファイルを扱う際は厳重なパスワードで保護し、アクセス権を適切に設定してください。

ベンチ/検証

作成した証明書やPFXファイルの整合性、パフォーマンスを検証する観点を示します。

1. 証明書の正当性検証

  • 有効期限: Get-Date -gt $cert.NotAfter で期限切れをチェック。
  • 信頼チェーン: Get-AuthenticodeSignature や (Get-Item Cert:\LocalMachine\My\$thumbprint).Verify() メソッドで、証明書が信頼されたルートCAに連なるか確認。自己署名証明書は通常、信頼チェーンのルート自体なので、Verify()はTrueを返しますが、システムの信頼されたルートストアにインポートしない限り、他のアプリケーションからは信頼されません。
  • EKU/KeyUsage: 意図した用途（Server Authenticationなど）が正しく設定されているか確認。
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object Subject -Match "secureapp.internal.contoso.com"
if ($cert) {
    if ($cert.NotAfter -lt (Get-Date)) {
        Write-Warning "証明書 $($cert.Thumbprint) は期限切れです。"
    }
    # 証明書の検証 (信頼チェーン、有効期限など)
    $isValid = $cert.Verify() # 結果はシステムの信頼設定に依存
    Write-Host "証明書検証結果 (Verify()): $($isValid)"
}

2. PFXファイルの整合性

  • インポートテスト: エクスポートしたPFXファイルを、別のクリーンなストアやマシンにインポートしてみて、正しく証明書と秘密鍵が復元されるか確認。特に秘密鍵の有無。
  • パスワードテスト: 正しいパスワードだけでなく、誤ったパスワードでのインポート失敗も確認。

3. パフォーマンス計測

  • 大量の証明書検索: Measure-Command を使用して、数百〜数千の証明書の中から特定の条件で検索する際の時間を計測。Get-ChildItem -Path Cert:\LocalMachine\My -Recurse は遅いため、Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object ... の方が良い場合が多い。
  • 自己署名証明書生成時間: 異なるKeyLengthやHashAlgorithmでNew-SelfSignedCertificateを実行し、処理時間を比較。
# 自己署名証明書生成のパフォーマンス計測
Measure-Command {
    New-SelfSignedCertificate -Subject "CN=PerformanceTest" -CertStoreLocation Cert:\CurrentUser\My -KeyLength 4096 -HashAlgorithm SHA512
}

# 大量検索の例（事前に多くの証明書を作成しておくか、既存のシステムで実行）
# Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.NotAfter -lt (Get-Date).AddDays(30)}
# Measure-Command { Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.Subject -match "Microsoft"} }

応用例／代替案

応用例

  1. IISサイトへの証明書バインド: New-SelfSignedCertificateで作成した証明書や、PFXからインポートした証明書をIISサイトにバインドできます。

    # IIS WebAdministrationモジュールをインポート
Import-Module WebAdministration

# 対象の証明書（例：Subjectがsecureapp.internal.contoso.com）
$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object Subject -Match "secureapp.internal.contoso.com"

if ($cert) {
    # IISサイトのバインディングを追加または更新
    $siteName = "Default Web Site"
    $port = 443
    $ip = "0.0.0.0" # すべてのIPアドレス
    $hostname = $cert.Subject.Replace("CN=", "") # SANがない場合

    # 既存のバインディングを削除 (必要であれば)
    Get-WebBinding -Name $siteName -Protocol https -Port $port | ForEach-Object {
        if ($_.HostHeader -eq $hostname -or $_.IPAddress -eq $ip) {
            Remove-WebBinding -Name $siteName -Protocol https -Port $port -IPAddress $_.IPAddress -HostHeader $_.HostHeader
        }
    }

    # 新しいバインディングを追加
    New-WebBinding -Name $siteName -IPAddress $ip -Port $port -HostHeader $hostname -Protocol https
    Set-ItemProperty "IIS:\SslBindings\!$($ip)!$($port)!$($hostname)" -Name "SslCertificateHash" -Value $cert.Thumbprint -Force
    Set-ItemProperty "IIS:\SslBindings\!$($ip)!$($port)!$($hostname)" -Name "SslCertificateStoreName" -Value "My"
    Write-Host "IISサイト '$siteName' に証明書 $($cert.Thumbprint) をバインドしました。"
} else {
    Write-Warning "指定された証明書が見つかりませんでした。"
}

  2. 証明書ストアの定期監査: 有効期限間近の証明書や、不要な自己署名証明書を検出するスクリプトを作成できます。

    # 期限切れ間近の証明書を検索（30日以内）
$threshold = (Get-Date).AddDays(30)
Get-ChildItem -Path Cert:\LocalMachine\My, Cert:\CurrentUser\My -Recurse | Where-Object {
    $_.NotAfter -lt $threshold -and $_.NotAfter -gt (Get-Date)
} | Format-Table Subject, Issuer, NotAfter, Thumbprint -AutoSize

# 期限切れの証明書を検索
Get-ChildItem -Path Cert:\LocalMachine\My, Cert:\CurrentUser\My -Recurse | Where-Object {
    $_.NotAfter -lt (Get-Date)
} | Format-Table Subject, Issuer, NotAfter, Thumbprint -AutoSize

代替案

  1. certutil.exe: Windowsに標準搭載されているコマンドラインツールで、証明書の管理、CAとの連携、秘密鍵の診断など、PowerShell Cmdletでは難しい低レベルな操作も可能です。PowerShellと組み合わせて利用することもよくあります。

    # certutil で証明書ストアを表示（LocalMachine\My）
certutil -store -v My
# certutil で秘密鍵のアクセス権を診断
# certutil -repairstore My $thumbprint # 秘密鍵のACLを修復するコマンド（注意して使用）

  2. ACMEクライアント (e.g., Posh-ACME, certbot): Let’s EncryptなどのCAから無料で証明書を取得・自動更新するためのPowerShellモジュール (Posh-ACME) や、Pythonベースのcertbotなどがあります。これらのツールは、証明書管理の大部分を自動化してくれるため、ウェブサーバー証明書の運用には非常に強力です。本記事の範囲外ですが、実運用では強く推奨されます。

まとめ

PowerShellのCertificateプロバイダと関連Cmdletは、WindowsにおけるPKI証明書管理を自動化し、堅牢化するための強力なツールです。New-SelfSignedCertificateによる詳細な証明書作成、Export-PfxCertificateとImport-PfxCertificateによる安全なバックアップと移行、そしてGet-ChildItemによるストアの監査は、日常的な運用で不可欠な操作となります。

特に、秘密鍵のエクスポートポリシー、CNG/CAPIプロバイダの違い、そしてSubject Alternative Name (SAN) の重要性を理解することは、単なるHowToに留まらない、より深い証明書管理の知識につながります。本記事で解説した内部動作や落とし穴への理解を深め、堅牢なPowerShellスクリプトを構築し、証明書管理の自動化を推進してください。

運用チェックリスト

  • 証明書の有効期限監視: 定期的に全証明書の有効期限をチェックし、期限切れが近いものがあればアラートを発報するスクリプトを運用していますか？
  • 秘密鍵の保護: エクスポート可能な秘密鍵を持つPFXファイルは、厳重なパスワードで保護され、アクセス制限された場所に保管されていますか？
  • ストアの定期監査: 不要になった証明書（特に期限切れやテスト目的の自己署名証明書）は定期的にストアから削除されていますか？
  • KeyExportPolicyの適切な設定: 証明書作成時、秘密鍵が本当にエクスポート可能である必要がある場合のみExportableを指定していますか？
  • 秘密鍵のバックアップ: 重要な証明書（特にCA発行のもの）の秘密鍵付きPFXは、安全な場所にバックアップされていますか？
  • SANの利用: ウェブサーバー証明書では、Subject Alternative Name (SAN) が適切に設定されていますか？ (CNのみは非推奨です)
  • プロバイダの選択: 新規証明書作成時、可能であれば最新のセキュリティ機能とパフォーマンスを持つCNGプロバイダ（例: Microsoft Software Key Storage Provider）を利用していますか？

参考リンク

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました