Migrer un serveur WSUS en SSL

Bonjour à tous,
Avec l’arrivé de Windows 10 anniversary, il vous faut un serveur WSUS en SSL.

Nous allons voir comment faire aujourd’hui pour passer un serveur WSUS sur disponible en HTTP vers le protocole HTTPS avec la création d’un certificat de domaine.

Donc, pour cela, il vous faut :
– un domaine (AD DS, AD CS),
– un serveur ayant le rôle WSUS installé et configuré,
– un pc de test.

Sur le serveur WSUS :
1 – Se connecter,
2 – Ouvrir la console de gestion des services Internet (IIS)

3 – Générer un certificat SSL
3.1 – Développer votre serveur et cliquer sur « Certificats de serveur »

3.2 – Cliquer sur « Créer un certificat de domaine… »

3.3 – Remplir les informations demandées pour la génération de votre certificat

3.4 – Choisir l’autorité de certification de votre domaine (CA) ainsi que le nom convivial

4 – Lier le certificat nouvellement créé sur la carte réseau :
4.1 – Dans la console IIS, développer votre serveur, développer « Sites« , sélectionner « Administration WSUS » et cliquer sur « Liaisons… »

4.2 – Sélectionner « https » et cliquer sur « Modifier »

4.3 – Dans la liste déroulante des « Certificat SSL », sélectionner le certificat que vous venez de créer et valider, puis fermer la fenêtre des liaisons

5 – Forcer l’encryption SSL sur les applications virtuelles suivantes :
– ApiRemoting30
– ClientWebService
– DSSAuthWebService
– ServerSyncWebService
– SimpleAuthWebService

5.1 – Ouvrir les paramètres SSL

5.2 – Cocher la case « Exiger SSL » et cliquer ensuite sur « Appliquer »

5.3 – Configuration enregistré

Refaire les manipulations 5.1 à 5.3 pour chaque application virtuelle listé au point 5.

6 – Exécuter une commande pour informer le WSUS d’utiliser le SSL
6.1 – Ouvrir une invite de commande en mode Administrateur

6.2 – Changer de répertoire d’exécution
cd "c:\Program Files\Update Services\Tools"

6.3 – Exécuter la commande suivante en remplaçant le FQDN par votre serveur :
WsusUtil.exe configuressl monserveurwsus.mondomain.tld

6.4 – Redémarrer votre serveur pour être sûrs de l’application des modifications
shutdown -f -r -t 0

7 – Configurer vos clients pour se connecter au WSUS via SSL par stratégies de groupe (GPO):
7.1 – Sur votre contrôleur de domaine, lancer le « Gestionnaire de serveur« , cliquer sur « Outils » puis sur « gestion des stratégies de groupe »

7.2 – Modifier votre GPO

7.3 – Le paramètre à modifier se trouve « Configuration ordinateur« \ »Stratégies« \ »Modèles d’administration« \ »Composants Windows« \ »Windows Update » et c’est le paramètre « Spécifier l’emplacement intranet du service de mise à jour Microsoft »

7.4 – Modifier « Configurer le service de Mise à jour … » ainsi que « Configurer le serveur intranet de statistiques » en spécifiant le l’url de votre serveur,
si votre serveur WSUS est monserveurwsus.mondomain.tld, vous devrez saisir https://monserveurwsus.mondomain.tld:8531

8 – Sur le contrôleur de domaine, ouvrir une invite de commande et taper
gpupdate /force

9 – Sur la poste client, ouvrir une invite de commande et taper
gpupdate /force

10 – Confirmation que la stratégie s’est bien appliqué à votre poste, vous pouvez ouvrir une invite de commande et taper la commande suivate pour confirmation :
REG QUERY HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate /v WUServer

[Ajout d’une modif sur le web.config du serveur wsus]

Source :
http://jackstromberg.com/2013/11/enabling-ssl-on-windows-server-update-services-wsus/
https://technet.microsoft.com/fr-fr/library/bb633246.aspx
https://support.microsoft.com/en-us/kb/3159706