PKI: One Infrastructure, Two Authorities
A PKI migration story told from start to finish, in three parts. On the Linux and appliance side: a manual OpenSSL CA replaced by step-ca, with short-lived certificates that renew automatically. On the Microsoft side: AD CS kept separate for RDP and autoenrollment. Finally, signing .rdp files following the April 2026 security hardening.
Partie 1
Partie 2
Partie 3
From a Homemade PKI to Step-CA: Moving Away from Manual Signatures (Part 1)
Pendant lontgemp, ma PKI interne a reposé sur une autorité de certification OpenSSL pilotée à la main : une racine, des certificats de deux ans signés un par un. Ça marchait — jusqu'à ce que le nombre de services rende le modèle intenable. Cette première partie raconte la bascule vers step-ca : comment réutiliser la racine existante pour ne pas casser la confiance déjà déployée, comment passer à des certificats courts renouvelés automatiquement, et comment industrialiser le motif sur toute la flotte sans transformer chaque machine en corvée.
From a Homemade PKI to Step-CA: The Microsoft AD CS Side (Part 2)
La Partie 1 racontait la bascule de mon monde Linux vers step-ca. Mais une autre autorité de certification tournait déjà de son côté : AD CS, l'autorité Microsoft native à mon Active Directory. Cette deuxième partie explique pourquoi j'ai choisi de garder les deux PKI séparées plutôt que de les fusionner, puis détaille le chantier qui m'a occupé ces dernièrs jours — sécuriser l'authentification RDP sur deux domaines AD via des certificats machine émis et renouvelés automatiquement, avec son lot de pièges autour du service SessionEnv.
From a Homemade PKI to Step-CA: Signing RDP Files (Part 3)
Depuis avril 2026, Windows affiche un bandeau d'avertissement agressif sur tout fichier .rdp non signé — y compris ceux qu'on crée soi-même. Cette troisième partie raconte comment j'ai mis en place une signature automatique de ces fichiers avec mon AD CS interne : un endpoint JEA restreint aux admins du domaine, un watcher côté client, une tâche planifiée qui a refusé de coopérer et une limite assumée du nouveau modèle de sécurité de Microsoft qu'aucune automatisation ne peut contourner.