PKI : une infra, deux autorités
Une migration PKI racontée de bout en bout, en trois parties. Côté Linux et appliances : une CA OpenSSL manuelle remplacée par step-ca, avec des certificats courts renouvelés automatiquement. Côté Microsoft : AD CS gardé à part pour le RDP et l’autoenrollment. Pour finir, la signature des fichiers .rdp après le durcissement d’avril 2026.
Partie 1
Partie 2
Partie 3
D'une PKI artisanale à step-ca : sortir de la signature manuelle (Partie 1)
Pendant lontgemp, ma PKI interne a reposé sur une autorité de certification OpenSSL pilotée à la main : une racine, des certificats de deux ans signés un par un. Ça marchait — jusqu'à ce que le nombre de services rende le modèle intenable. Cette première partie raconte la bascule vers step-ca : comment réutiliser la racine existante pour ne pas casser la confiance déjà déployée, comment passer à des certificats courts renouvelés automatiquement, et comment industrialiser le motif sur toute la flotte sans transformer chaque machine en corvée.
D'une PKI artisanale à step-ca : le versant Microsoft AD CS (Partie 2)
La Partie 1 racontait la bascule de mon monde Linux vers step-ca. Mais une autre autorité de certification tournait déjà de son côté : AD CS, l'autorité Microsoft native à mon Active Directory. Cette deuxième partie explique pourquoi j'ai choisi de garder les deux PKI séparées plutôt que de les fusionner, puis détaille le chantier qui m'a occupé ces dernièrs jours — sécuriser l'authentification RDP sur deux domaines AD via des certificats machine émis et renouvelés automatiquement, avec son lot de pièges autour du service SessionEnv.
D'une PKI artisanale à step-ca : signer les fichiers RDP(Partie 3)
Depuis avril 2026, Windows affiche un bandeau d'avertissement agressif sur tout fichier .rdp non signé — y compris ceux qu'on crée soi-même. Cette troisième partie raconte comment j'ai mis en place une signature automatique de ces fichiers avec mon AD CS interne : un endpoint JEA restreint aux admins du domaine, un watcher côté client, une tâche planifiée qui a refusé de coopérer et une limite assumée du nouveau modèle de sécurité de Microsoft qu'aucune automatisation ne peut contourner.