Как сделать импорт сертификата через CertMgr.exe?

Question

[Ruslan-Strannik]

Пытаюсь настроить импорт сертификата на машины с ОС WIN7 WIN10 через батник.
Используется для подключения VPN по SSTP.
Импортировать сертификат необходимо в "доверенные корневые сертификаты машины". Именно компа, а не пользователя.
Добился того, что создал папку, куда кинул сам сертификат, CertMgr.ехе, import.bat
Копирую это дело на машину подопытного, запускаю импорт от имени администратора - серт импортируется не туда куда надо. в личные.. В этом и загвоздка.

import.bat

certmgr.exe -add -c CAcert.cer -s -r localMachine root

сколько смотрел статей на эту тему - понял что строка верная. а почему не пихается в нужную ветку понять не могу.
Подскажите, пожалуйста

Answer 1

[Ziptar]

Используете powershell. Cmdlet Import-certificate позволяет прямо указать целевое хранилище, включая хранилища машины.

Comments

[Ruslan-Strannik]

Так-с. Как автоматизировать процесс? батники через cmd запускаются.
с power-shell я не очень дружу. пользуюсь редко, а уж такие тонкости тем более не знаю.
Читаю пока faq на сайте microsoft

[Ruslan-Strannik]

Import-Certificate -FilePath "CAcert.cer" -CertStoreLocation Cert:\LocalMachine\Root
строка получается такой. Но, как я понимаю, лучше указать полный путь

[Ziptar]

Ruslan-Strannik, .ps1 скрипты запускаются точно так же, как батники. Единственное, что может понадобится разрешить выполнение локальных powershell скриптов на уровне политик.
Относительные пути к файлам powershell поддерживает точно так же, как и cmd.

[Ziptar]

Ruslan-Strannik, рылся тут в старых файлах, нашёл вот такую конструкцию:

spoiler

@echo off
CD /D "%~dp0"
certutil -addstore Root ca.crt
EXIT

Учитывая, что скрипт использовался в преднастройке sstp подключения для win - по идее он должен был добавлять сертификат в доверенные корневые машины. Но это не точно - давно было, не помню; а проверять лень.
CD /D "%~dp0" - инициирует запрос повышения привилегий

[Ruslan-Strannik]

Ziptar,

CD /D "%~dp0"
certutil -addstore Root CAcert.cer
так получилось. только первая строка это не запрос на повышение привилегий. Это переход в каталог, где лежит сам батник.

[Ziptar]

Ruslan-Strannik,
Ахм, склероз; с другой конструкцией перепутал.

Answer 2

[Keffer]

Потому что скрипту не хватает прав, запускать его надо от имени машины в таком случае, иначе он запихнет серт тому юзеру от которого отработал.

Comments

[Ruslan-Strannik]

ага.. так. А как это сделать можно? :)

[Keffer]

Ruslan-Strannik, Ищите способы запуска батника от имени системы, возможно поможет. Вообще такими костылями как батники никто не пользуется при таких задачах. Серты или руками инсталить или через GPO распространять.

[Ruslan-Strannik]

Пока руками ставлю. Спасибо за информацию. Попробую агентом Касперского распространить