Configuración de WINRM para HTTPS

En este artículo se proporciona una solución para configurar WINRM para HTTPS.

Se aplica a todas las ediciones de Windows 10
Número de KB original: 2019527

Resumen

De forma predeterminada, WinRM usa Kerberos para la autenticación, por lo que Windows nunca envía la contraseña al sistema que solicita validación. Para obtener una lista de la configuración de autenticación, escriba el siguiente comando:

winrm get winrm/config

El propósito de configurar WinRM para HTTPS es cifrar los datos que se envían a través de la conexión.

WinRM HTTPS requiere un certificado de autenticación del servidor del equipo local con un CN que coincida con el nombre de host que se va a instalar. El certificado no debe expirarse, revocarse ni autofirmarse.

Para instalar o ver certificados para el equipo local:

1. Seleccione Iniciar y, a continuación, seleccione Ejecutar (o con la combinación de teclado, presione tecla Windows+R)。
2. Escriba MMC y presione Entrar.
3. Seleccione Archivo en las opciones de menú y, a continuación, seleccione Agregar o quitar complementos.
4. Seleccione Certificados y seleccione Agregar.
5. Vaya al asistente seleccionando Cuenta de equipo.
6. Instale o vea los certificados en Certificados (equipo local)>Certificados personales.>

Si no tiene un certificado de autenticación del servidor, consulte al administrador de certificados. Si tiene un servidor de certificados de Microsoft, puede solicitar un certificado mediante la plantilla de certificado web de HTTPS://<MyDomainCertificateServer>/certsrv.

Una vez instalado el certificado, escriba lo siguiente para configurar WINRM para que escuche en HTTPS:

winrm quickconfig -transport:https

Si no tiene un certificado adecuado, puede ejecutar el siguiente comando con los métodos de autenticación configurados para WinRM. Sin embargo, los datos no se cifrarán.

winrm quickconfig

Más información

De forma predeterminada, en Windows 7 y versiones posteriores, HTTP de WinRM usa el puerto 5985 y WinRM HTTPS usa el puerto 5986. En versiones anteriores de Windows, HTTP de WinRM usa el puerto 80 y WinRM HTTPS usa el puerto 443.

Para confirmar que WinRM escucha en HTTPS, escriba el siguiente comando:

winrm enumerate winrm/config/listener

Para confirmar que se ha instalado un certificado de equipo, use el complemento MMC Certificados o escriba el siguiente comando:

Winrm get http://schemas.microsoft.com/wbem/wsman/1/config

Si recibe el siguiente mensaje de error:

Número de error: -2144108267 0x80338115
ProviderFault
WSManFault
Mensaje = No se puede crear un agente de escucha winRM en HTTPS porque esta máquina no tiene un certificado adecuado.

Para usarse para SSL, un certificado debe tener un CN que coincida con el nombre de host, ser adecuado para la autenticación del servidor y no ser expirado, revocado o autofirmado.

Abra el complemento MMC de certificados y confirme que los atributos siguientes son correctos:

• La fecha del equipo se encuentra entre el valor Válido de: a la fecha To: en la pestaña General .
• El nombre de host coincide con el emitido para: en la pestaña General , o coincide con uno de los nombres alternativos del firmante exactamente como se muestra en la pestaña Detalles .
• Que el uso mejorado de clave en la pestaña Detalles contiene autenticación del servidor.
• En la pestaña Ruta de certificación, el estado actual es Este certificado es Correcto.

Si tiene instalado más de un certificado de servidor de cuenta de equipo local, confirme que la huella digital del certificado mostrada por Winrm enumerate winrm/config/listener es la misma huella digital en la pestaña Detalles del certificado.