By default, WinRM requires mutual authentication and strict cryptographic verification when operating over HTTPS. For a successful connection, the certificate used must explicitly allow Client Authentication Innerhalb seiner Enhanced Key Usage (EKU) Wenn diese Eigenschaft fehlt oder nur "Server-Authentifizierung" enthält, lehnt Windows die Verbindung ab, um unbefugten Zugriff oder Man-in-the-Middle-Angriffe zu verhindern.

Schrittweise Lösungen

To resolve this issue, you must ensure that the certificate being used contains the Client Authentication EKU (Objektkennzeichnung: 1.3.6.1.5.5.7.3.2 Hier sind die beiden häufigsten Möglichkeiten, dies zu beheben.

Methode 1: Anfordern Sie ein neues Zertifikat mit der richtigen EKU (empfohlen)

Wenn Sie einen internen Active Directory Certificate Services (AD CS) oder eine andere Zertifizierungsstelle (CA) verwenden, müssen Sie ein Zertifikat ausstellen, das sowohl Server- als auch Client-Authentifizierung enthält.

1. Mach auf. Run Dialogfeld durch Drücken Windows Key + R.
2. Typ mmc und drücken. Enter um die Microsoft Management Console zu öffnen.
3. Klicken File im oberen Menü, dann wählen Add/Remove Snap-in....
4. Wählen Sie. Certificates aus der linken Liste und klicken Add.
5. Wählen Sie. Computer account Klicken Sie. Next, wählen Local computer, und klicken Finish - Klicken Sie. OK um das Eintrittsfenster zu schließen.
6. Erweitern. Certificates (Local Computer) > Personal > Certificates.
7. Klicken Sie mit der rechten Maustaste auf einen leeren Bereich im mittleren Fenster und wählen Sie All Tasks, und klicken Request New Certificate....
8. Klicken Next Sie können die Zertifikatsvorlagen Ihrer Organisation durch den Assistenten sehen.
9. Wählen Sie eine Vorlage aus, die beides enthält Server Authentication Und... Client Authentication (z. B. die Standardvorlage "Computer").
10. Klicken Enroll Und dann... Finish.

Methode 2: Konfigurieren Sie den WinRM HTTPS Listener so, dass er das neue Zertifikat verwendet

Sobald Sie ein gültiges Zertifikat generiert haben, müssen Sie WinRM so konfigurieren, dass es verwendet wird, indem Sie seinen spezifischen Daumendruck mit dem WinRM-Dienst verknüpfen.

1. In demselben. mmc Konsole von Methode 1, doppelklicken Sie auf Ihr neu eingeschriebenes Zertifikat unter Personal > Certificates.
2. Gehen Sie zur... Details Tab, scrollen Sie nach unten und klicken Sie auf Thumbprint.
3. Kopieren Sie die Hexadezimalzeile aus dem Feld (z. B. a1b2c3d4e5... Es ist wichtig, dass alle Zwischenräume zwischen den Buchstaben und Zahlen gelöscht werden, so dass es eine einzige ununterbrochene Zeichenfolge bildet.
4. Öffnen Sie das Windows Startmenü und suchen Sie nach Command Prompt, klicken Sie mit der rechten Maustaste darauf und wählen Sie Run as administrator.
5. Delete the existing broken WinRM HTTPS listener by typing the following command and pressing Enter:

   winrm delete winrm/config/Listener?Address=*+Transport=HTTPS

6. Create the new listener utilizing your corrected certificate thumbprint by running this command (replace YOUR_CERTIFICATE_THUMBPRINT mit der sauberen Zeichenfolge, die Sie in Schritt 3 kopiert haben:

   winrm create winrm/config/Listener?Address=*+Transport=HTTPS @{Hostname="YOUR_COMPUTER_FQDN";CertificateThumbprint="YOUR_CERTIFICATE_THUMBPRINT"}

7. Starten Sie den WinRM-Dienst neu, um alle Änderungen sofort anzuwenden, indem Sie:

   net stop winrm && net start winrm

Methode 3: Validierung von Clientzertifikaten vorübergehend deaktivieren (Umgehungsverfahren)

If you cannot immediately issue a new certificate and need to restore remote management urgency, you can configure the WinRM service to bypass the client certificate EKU validation requirement. Note: This lowers deployment security and should only be used as a temporary solution.

1. Öffnen Sie das Windows Startmenü und suchen Sie nach PowerShell, klicken Sie mit der rechten Maustaste darauf und wählen Sie Run as administrator.
2. Führen Sie den folgenden Befehl aus, um die Einstellungen für die Validierung des aktuellen Clientzertifikats zu überprüfen:

   Get-ChildItem WSMan:\localhost\Service\Auth

3. Deaktivieren Sie die Anforderung an gültige Clientzertifikate, indem Sie die WSMan-Konfiguration ändern:

   Set-Item WSMan:\localhost\Service\Auth\Certificate -Value $false

4. Wenn Sie sich von einem Client-Rechner aus verbinden, müssen Sie Ihren Client möglicherweise auch anweisen, Validierungsfehler während der Übergangszeit zu ignorieren:

   Set-Item WSMan:\localhost\Client\Auth\Certificate -Value $false

5. Starten Sie den WinRM-Dienst mit PowerShell neu, um sicherzustellen, dass Änderungen wirksam werden:

   Restart-Service winrm