By default, WinRM requires mutual authentication and strict cryptographic verification when operating over HTTPS. For a successful connection, the certificate used must explicitly allow Client Authentication à l'intérieur de sa Enhanced Key Usage (EKU) Si cette propriété est manquante, ou si elle ne contient que "Authentification du serveur", Windows rejette la connexion pour empêcher l'accès non autorisé ou les attaques man-in-the-middle.

Réparations étape par étape

To resolve this issue, you must ensure that the certificate being used contains the Client Authentication UCE (identifiant de l'objet: 1.3.6.1.5.5.7.3.2 Vous trouverez ci-dessous les deux façons les plus courantes de résoudre ce problème.

Méthode 1: Demandez un nouveau certificat avec l'ECU correcte (recommandé)

Si vous utilisez un Active Directory Certificate Services (AD CS) interne ou une autre autorité de certification (CA), vous devez émettre un certificat contenant à la fois l'authentification du serveur et du client.

1. Ouvrez la porte. Run boîte de dialogue en appuyant Windows Key + R.
2. Quel type ? mmc et appuyez. Enter pour ouvrir la console de gestion Microsoft.
3. Cliquez. File dans le menu en haut, puis sélectionnez Add/Remove Snap-in....
4. Sélectionnez Certificates dans la liste de gauche et cliquez Add.
5. Choisissez. Computer account, cliquez Next, sélectionnez Local computer, et cliquez Finish Cliquez. OK pour fermer la fenêtre.
6. Élargir. Certificates (Local Computer) > Personal > Certificates.
7. Cliquez avec le bouton droit sur un espace vide dans le volet du milieu, sélectionnez All Tasks, et cliquez Request New Certificate....
8. Cliquez. Next à travers l'assistant jusqu'à ce que vous voyez les modèles de certificat de votre organisation.
9. Sélectionnez un modèle qui inclut les deux Server Authentication Je ne sais pas. Client Authentication (comme le modèle par défaut "ordinateur").
10. Cliquez. Enroll Et puis... Finish.

Méthode 2: Configurer l'écoutant WinRM HTTPS pour utiliser le nouveau certificat

Une fois que vous avez généré un certificat valide, vous devez configurer WinRM pour l'utiliser en reliant son empreinte digitale spécifique au service WinRM.

1. Dans la même. mmc à partir de la méthode 1, double-cliquez sur votre certificat nouvellement inscrit sous Personal > Certificates.
2. Allez à la... Details onglet, faites défiler vers le bas, et cliquez sur Thumbprint.
3. Copiez la chaîne hexadécimale de la case (par exemple, a1b2c3d4e5... Supprimez les espaces entre les lettres et les chiffres pour qu'il forme une seule chaîne continue.
4. Ouvrez le menu Démarrer Windows, recherchez Command Prompt, cliquez avec le bouton droit et sélectionnez Run as administrator.
5. Delete the existing broken WinRM HTTPS listener by typing the following command and pressing Enter:

   winrm delete winrm/config/Listener?Address=*+Transport=HTTPS

6. Create the new listener utilizing your corrected certificate thumbprint by running this command (replace YOUR_CERTIFICATE_THUMBPRINT avec la chaîne propre que vous avez copiée à l'étape 3):

   winrm create winrm/config/Listener?Address=*+Transport=HTTPS @{Hostname="YOUR_COMPUTER_FQDN";CertificateThumbprint="YOUR_CERTIFICATE_THUMBPRINT"}

7. Redémarrez le service WinRM pour appliquer toutes les modifications immédiatement en exécutant:

   net stop winrm && net start winrm

Méthode 3: désactiver temporairement la validation du certificat client (solution de contournement)

If you cannot immediately issue a new certificate and need to restore remote management urgency, you can configure the WinRM service to bypass the client certificate EKU validation requirement. Note: This lowers deployment security and should only be used as a temporary solution.

1. Ouvrez le menu Démarrer Windows, recherchez PowerShell, cliquez avec le bouton droit et sélectionnez Run as administrator.
2. Exécutez la commande suivante pour vérifier les paramètres actuels de validation du certificat client:

   Get-ChildItem WSMan:\localhost\Service\Auth

3. Désactiver l'exigence de certificats clients valides en modifiant la configuration WSMan:

   Set-Item WSMan:\localhost\Service\Auth\Certificate -Value $false

4. Si vous vous connectez à partir d'une machine client, vous devrez peut-être également demander à votre client d'ignorer les échecs de validation pendant la période de transition:

   Set-Item WSMan:\localhost\Client\Auth\Certificate -Value $false

5. Redémarrez le service WinRM à l'aide de PowerShell pour s'assurer que les modifications prennent effet:

   Restart-Service winrm