WSUS Installation & SSL

Um mit dem Matrix42 Patch Katalog für SCCM auf den WSUS Server zuzugreifen, wird empfohlen, den Zugriff auf den WSUS Server mit einem Zertifikat abzusichern. Wurde der WSUS Server wie hier gezeigt installiert, muss die SSL-Anpassung nun nachgeholt werden. Zu diesem Zweck den IIS Manager auf dem WSUS Server öffnen. Unter localhost den Menüpunkt "Server Certificates" aufrufen. Mit der Aktion "Create Certificate Request…" wird der Dialog zum Erstellen eines Zertifikat Request gestartet. Hier wird als Common-Name der Name des WSUS Server exakt so angegeben, wie er später auch verwendet werden soll. Alle weiteren Felder werden wie gewünscht befüllt.

Im Anschluss wird die gewünschte Verschlüsselungsstärke ausgewählt (empfohlen 2048 oder höher) und Text-Datei in einem Verzeichnis gespeichert, dass auch von der Certificate Authority (CA) aus erreichbar ist.

Auf Basis des Zertifikat-Requests kann nun auf der CA das Zertifikat ausgestellt werden. Da im Zertifikat-Request nicht das Zertifikat-Template mit angegeben ist, auf dessen Basis das Zertifikat erstellt werden soll kann das Zertifikat nicht über das MMC Snap-In erstellt werden, sondern muss über die Kommandozeile erzeugt werden.

Rufen Sie den folgenden Befehl auf, um das Zertifikat zu erstellen ("TemplateName" und die Pfade müssen entsprechend angepasst werden):

certreq.exe –submit –attrib "CertificateTemplate:<TemplateName>" c:\temp\iis.txt c:\temp\iis.cer

Wechseln Sie nun auf den IIS Server zurück und rufen die Option "Complete Certificate Request" auf. Geben Sie einen beliebigen "Friendly Name" an, lassen die Standardauswahl "Personal" als Certificate Store bestehen und beenden den Dialog mit "OK".

Wechseln Sie im IIS Manager nun auf die WSUS Website und starten die Aktion "Bindings".

In dem folgenden Dialog wird das Binding für "https" editiert und anschließend das zuvor gewählte Zertifikat angewählt. Unter "View" wird das Zertifikat angezeigt und man kann nun den FQDN-Namen des Servers heraus kopieren. Dieser wird im Feld "Host name" eingetragen.

Im Anschluss müssen noch einige Bereiche unterhalb der WSUS-Seite auf SSL umgestellt werden.

Klicken Sie auf das Kontrollkästchen "Require SSL" und anschließend auf Übernehmen.

Wiederholen Sie die letzten beiden Punkte für "DssAuthWebService”, "ServerSyncWebService”, und "SimpleAuthWebService”. Danach kann der IIS-Manager geschlossen werden.

Damit der WSUS nun über https erreicht werden kann, muss er initial gestartet werden:

1. Öffnen Sie eine Eingabeaufforderung im Administratormodus.
2. Wechseln Sie in C: \ Programme \ Update Services \ Tools.
3. Führen Sie den Befehl "WsusUtil.exe configuressl <FQDN>" aus. Stellen Sie sicher, dass Sie eine ähnliche URL-Antwort wie angezeigt erhalten.
4. Schließen Sie die Eingabeaufforderung.