Facultatif : Créer un certificat de signature de code pour App Control for Business

Lorsque vous déployez App Control for Business, vous devrez peut-être signer des fichiers catalogue ou des stratégies App Control en interne. Pour effectuer cette signature, vous devez utiliser le service Signatures de confiance de Microsoft, un certificat de signature de code émis publiquement ou une autorité de certification interne. Si vous avez acheté un certificat de signature de code, vous pouvez ignorer cet article et suivre à la place d’autres articles répertoriés dans le Guide de déploiement d’App Control for Business.

Si vous disposez d'une autorité de certification interne, complétez ces étapes pour créer un certificat de signature de code.

1. Ouvrez le composant logiciel enfichable MMC (Microsoft Management Console) d'autorité de certification et sélectionnez votre autorité de certification émettrice.

2. Une fois connecté, cliquez avec le bouton droit sur Modèles de certificats, puis sélectionnez Gérer pour ouvrir la console modèles de certification.

   

   Figure 1. Gestion des modèles de certificat

3. Dans le volet de navigation, cliquez avec le bouton droit sur le certificat de signature de code, puis sélectionnez Dupliquer le modèle.

4. Sur l’onglet Compatibilité , désélectionnez la case à cocher Afficher les modifications résultantes . Choisissez Windows Server 2012 dans la liste Autorité de certification , puis choisissez Windows 8/Windows Server 2012 dans la liste Destinataire du certificat .

5. Sur l’onglet Général, remplissez les champs Nom complet du modèle et Nom du modèle. Cet exemple utilise le nom App Control Catalog Signing Certificate.

6. Sur l’onglet Traitement de la demande , cochez la case Autoriser l’exportation de la clé privée .

7. Sous l’onglet Extensions, sélectionnez la zone Contraintes de base case activée, puis sélectionnez Modifier.

8. Dans la boîte de dialogue Modifier les extensions de contraintes de base, sélectionnez Activer cette extension, comme indiqué dans la figure 2.

   

   Figure 2. Sélectionner des contraintes sur le nouveau modèle

9. Si un gestionnaire de certificats est requis pour l’approbation des certificats émis, accédez à l’onglet Conditions d’émission et sélectionnez Approbation du gestionnaire de certificat de l’autorité de certification.

10. Sur l’onglet Nom du sujet, choisissez Fournir dans la demande.

11. Sur l’onglet Sécurité, vérifiez que le compte qui sera utilisé pour demander le certificat est autorisé à inscrire ce dernier.

12. Sélectionnez OK pour créer le modèle, puis fermez la console de modèle de certificat.

Une fois le modèle de certificat créé, vous devez le publier dans le magasin de modèles publiés de l’autorité de certification. Pour ce faire, procédez comme suit :

1. Dans le composant logiciel enfichable Autorité de certification MMC, cliquez avec le bouton droit sur Modèles de certification, pointez sur Nouveau, puis sélectionnez Modèle de certificat à émettre, comme illustré dans la figure 3.

   

   Figure 3. Sélection du nouveau modèle de certificat à émettre

   Une liste des modèles disponibles à émettre s’affiche, y compris le modèle que vous avez créé.

2. Sélectionnez le certificat de signature du catalogue de contrôle d’application, puis sélectionnez OK.

Maintenant que le modèle est disponible pour être émis, vous devez en demander un à partir de l’ordinateur exécutant Windows 10 ou Windows 11 sur lequel vous créez et signez des fichiers catalogue. Pour commencer, ouvrez la console MMC, puis procédez comme suit :

1. Dans MMC, dans le menu Fichier , sélectionnez Ajouter/supprimer un composant logiciel enfichable. Double-cliquez sur Certificats, puis sélectionnez Mon compte d’utilisateur.

2. Dans le composant logiciel enfichable Certificats, cliquez avec le bouton droit sur le dossier Magasin personnel, pointez sur Toutes les tâches, puis sélectionnez Demander un nouveau certificat.

3. Sélectionnez Suivant deux fois pour accéder à la liste de sélection de certificats.

4. Dans la liste Demander un certificat, sélectionnez le certificat de signature de code qui vient d’être créé, puis sélectionnez le texte en bleu qui indique que des informations supplémentaires sont requises, comme indiqué dans la Figure 4.

   

   Figure 4. Obtention d’informations supplémentaires pour le certificat de signature de code

5. Accédez à la boîte de dialogue Propriétés du certificat , puis, pour Type, sélectionnez Nom commun. Pour Valeur, spécifiez un nom explicite pour votre certificat (dans cet exemple, nous sélectionnons $ContosoSigningCert), puis sélectionnez Ajouter. Une fois ajouté, sélectionnez OK.

6. Inscrivez-le, puis terminez la procédure.

Ce certificat doit être installé dans le magasin personnel de l’utilisateur sur l’ordinateur qui signera les fichiers catalogue et les stratégies d’intégrité du code. Si la signature se produit sur le même ordinateur que celui que vous avez utilisé pour demander le certificat, vous pouvez ignorer les étapes suivantes. Si vous vous connectez sur un autre ordinateur, vous devez exporter le certificat .pfx avec les clés et les propriétés nécessaires. Pour ce faire, procédez comme suit :

1. Cliquez avec le bouton droit sur le certificat, pointez sur Toutes les tâches, puis sélectionnez Exporter.

2. Sélectionnez Suivant, puis Oui, exportez la clé privée.

3. Choisissez les paramètres par défaut, puis sélectionnez Exporter toutes les propriétés étendues.

4. Définissez un mot de passe, sélectionnez un chemin d’exportation, puis sélectionnez AppControlCatSigningCert.pfx comme nom de fichier.

Une fois le certificat exporté, importez-le dans le magasin personnel de l’utilisateur qui procédera à la signature des fichiers catalogues ou stratégies d’intégrité du code, sur l’ordinateur qui effectuera cette opération.