Windows Server 2025 / IISへHTTPS証明書を適用して更新を確認する
IISのHTTPSには要求名に合う証明書、対応する秘密鍵、証明書を選んだHTTPSバインドが必要です。クライアントの信頼、有効期間、失効確認と、更新後に実際に提示する証明書まで確かめます。
名前・鍵・信頼・バインドを分ける
HTTPSはTLS（Transport Layer Security）で通信を保護します。クライアントは証明書の名前、期限、発行チェーンを検証します。WEB1のローカルコンピューター → 個人に秘密鍵付き証明書を置き、SANにweb.lab.example.testがあることを確認します。
DNS名だけの証明書へIPで接続すると名前不一致になり得ます。.testは内部実習用で、実サービスは管理する名前と適切なCAを使います。IISのHTTPS設定で証明書準備とバインドを区別します。
隔離実習用の証明書を作る
LabSiteとDNS .30が正常なWEB1の管理者PowerShellで作成します。自己署名は非公開の実習用で、本番発行の代わりではありません。一か月は実習の選択です。
$labCertificate = New-SelfSignedCertificate -DnsName 'web.lab.example.test' -CertStoreLocation 'Cert:\LocalMachine\My' -FriendlyName 'LabSite HTTPS test' -NotAfter (Get-Date).AddMonths(1)
$labCertificate | Select-Object Subject,Thumbprint,NotAfter,HasPrivateKeyNew-SelfSignedCertificateを確認します。certlm.mscの個人でSAN、期限、拇印、秘密鍵を確認し、拇印を記録します。同じ表示名の別証明書と混同せず、無意味に増やさないでください。
8443へHTTPSをバインドする
- IISのサーバー証明書で新しい証明書を確認します。
- LabSiteのバインドへhttps / 172.24.50.30 / 8443を追加します。
- web.lab.example.testを指定し、SNIを要求します。
- LabSite HTTPS testを選び、記録した拇印と照合します。
- 重複とサイト状態を確認します。
- Domain、TCP 8443、接続元172.24.50.0/24のLab-IIS-HTTPS-8443規則を作ります。
SNI（Server Name Indication）はTLS接続時に名前を伝えて証明書選択を助けます。バインド属性を参照します。8443は実習用で、通常のHTTPS既定ポートは443です。
CLIENT1で信頼と実証明書を確認する
https://web.lab.example.test:8443/を開きます。自己署名を信頼する前の警告では、名前、期限、拇印を確認します。警告を無視した表示を検証成功としません。
- WEB1から該当証明書だけを秘密鍵なしのcerで出力します。
- 信頼できる実習経路でCLIENT1へ渡し、拇印を照合します。PFXは配りません。
- 隔離CLIENT1の現在のユーザーの信頼されたルートへ、その証明書だけを追加します。
- ブラウザーを開き直し、同じ名前とポートで警告なし・正しい本文を確認します。
Test-NetConnection -ComputerName web.lab.example.test -Port 8443TCP成功だけではTLSを検証できません。未確認のルートを警告消去のために登録せず、本番PCやドメイン全体へ配りません。残る警告はSAN、時計、期限、実提示証明書と組織ポリシーを確認します。
更新と整理でもバインドを確認する
新しい証明書がストアにあるだけではIISは切り替わりません。鍵、名前、チェーンを確認してバインドを更新し、別クライアントから新しい拇印を確認します。旧証明書は依存と戻し方を調べてから整理します。担当、更新方式、期限前の作業余裕、失効情報への経路、失敗通知を決めます。
実習終了は該当HTTPSバインドと規則を外し、依存を確認して指定証明書だけ削除します。CLIENT1の追加ルートも記録した拇印だけを対象にします。似た名前の他証明書を消さず、HTTPの保持や転送は別に判断します。
