Merhaba arkadaşlar, ben Cem Zengin.

Active Directory ortamlarında çalışan sistem ve ağ mühendisleri olarak en sık karşılaştığımız senaryolardan biri de süresi dolan veya artık güvenilmeyen kök sertifikaların (örneğin eski güvenlik duvarı SSL Decryption / SSL araya girme sertifikaları) istemci makinelerden kaldırılması ihtiyacıdır.

Bu rehberde; istemci bilgisayarlarda kalan eski kök sertifikaların Active Directory ortamındaki tüm istemcilerden, PowerShell ve Group Policy Object (GPO) kullanılarak otomatik, güvenli ve merkezi bir şekilde nasıl temizleneceğini adım adım ele alacağız.

1. Adım: Silinecek Sertifikanın Parmak İzinin (Thumbprint) Bulunması

PowerShell betiğinin sistemdeki diğer geçerli sertifikalara dokunmadan yalnızca eski sertifikayı hedef alabilmesi için, sertifikaya ait benzersiz kimlik numarasının (Thumbprint) tespit edilmesi gerekir.

  1. Eski sertifikanın halen yüklü olduğu bir istemci bilgisayarda Windows + R tuşlarına basarak Çalıştır penceresini açın.
  2. Kutucuğa certlm.msc yazın ve Enter tuşuna basarak Yerel Bilgisayar Sertifika Yöneticisi‘ni açın.
  3. Sol taraftaki menü ağacından şu yolu izleyin: Trusted Root Certification Authorities (Güvenilen Kök Sertifika Yetkilileri) ➔ Certificates (Sertifikalar).
  4. Sağ taraftaki listeden silmek istediğiniz eski sertifikayı bulun ve üzerine çift tıklayarak açın.
  5. Açılan pencerenin üst kısmındaki Details (Ayrıntılar) sekmesine geçiş yapın.
  6. Listenin en altına doğru kaydırın ve Thumbprint (Parmak İzi) satırına tıklayın.
  7. Alt kutuda beliren harf ve rakamlardan oluşan 40 karakterlik kodu seçip kopyalayın.

[!WARNING] Kritik Not: Kopyaladığınız değerin arasındaki boşlukları silerek tamamen bitişik hale getirmelisiniz (Örn: def18524...). Ayrıca Windows üzerinden kopyalama yaparken metnin en başına gelebilecek gizli/görünmez karakterleri (BOM) temizlemek için kodu önce boş bir Not Defteri’ne yapıştırıp en başındaki olası boşluğu silmeniz önerilir.

2. Adım: PowerShell Betiğinin (Script) Hazırlanması

Tespit edilen parmak izi (Thumbprint) değeri kullanılarak bir temizleme betiği oluşturulur.

  1. Boş bir Not Defteri (Notepad) açın.
  2. Aşağıdaki PowerShell kod bloğunu yapıştırın (İçerikteki thumbprint alanına 1. Adımda bulduğunuz bitişik değeri yazın):
# Eski Sertifikayi Sistemden Silme Betigi
$thumbprint = "def185249a8b6f9f0492bc0534f39d29cab425b8"
Get-ChildItem -Path Cert:\LocalMachine\Root | Where-Object {$_.Thumbprint -eq $thumbprint} | Remove-Item -Force
  1. Dosyayı farklı kaydet diyerek uzantısı .ps1 olacak şekilde (Örneğin: EskiSertifikaSil.ps1) kaydedin. Kayıt türünü “Tüm Dosyalar (.)” yapmayı unutmayın.

3. Adım: Group Policy (GPO) Üzerinden Dağıtım

Hazırlanan scriptin bilgisayarlar açılırken en üst yetkiyle (SYSTEM) çalışması için Startup Script olarak GPO’ya eklenmesi gerekir.

  1. Domain Controller sunucusunda Group Policy Management konsolunu açın.
  2. Kuralı uygulamak istediğiniz Organizasyonel Birim’e (OU) sağ tıklayarak Create a GPO in this domain, and Link it here… seçeneğine tıklayın.
  3. GPO’ya açıklayıcı bir isim verin (Örn: GPO_Eski_Sertifika_Temizligi) ve onaylayın.
  4. Oluşturulan GPO’ya sağ tıklayıp Edit (Düzenle) seçeneğini seçin.
  5. Sol menüden şu yolu izleyin: Computer Configuration ➔ Policies ➔ Windows Settings ➔ Scripts (Startup/Shutdown) ➔ Startup.
  6. Açılan pencerede üst kısımdaki PowerShell Scripts sekmesine geçiş yapın.
  7. Alt taraftaki Show Files… (Dosyaları Göster) butonuna tıklayın. Açılan Sysvol ağ klasörünün içerisine 2. Adımda hazırladığınız EskiSertifikaSil.ps1 dosyasını yapıştırın ve bu klasör penceresini kapatın.
  8. Özellikler penceresine geri dönüp Add… (Ekle) butonuna tıklayın.
  9. Browse… (Gözat) butonuna basarak az önce klasöre attığınız .ps1 uzantılı script dosyasını seçin.
  10. Tüm pencereleri OK / Apply diyerek kapatın.

4. Adım: Test ve Doğrulama

Sürecin sorunsuz çalıştığından emin olmak için canlı ortamda doğrulama yapılır.

  1. İlgili OU altındaki bir test bilgisayarında komut satırını (CMD) açarak gpupdate /force komutu ile politikaları güncelleyin.
  2. Bilgisayarı yeniden başlatın (Startup script bilgisayar açılış ekranında devreye girecektir).
  3. Bilgisayar açıldığında tekrar certlm.msc konsolunu açarak Trusted Root Certification Authorities altındaki eski sertifikanın kalıcı olarak silindiğini teyit edin.