MENU
  1. Accueil
  2. Windows
  3. RDP
  4. Configurer un certificat SSL / TLS pour sécuriser RDP sous Windows Server 2022

Configurer un certificat SSL / TLS pour sécuriser RDP sous Windows Server 2022

RDP

Besoin de chiffrer vos sessions Bureau à distance sous Windows Server 2022 ? Cet article détaille chaque méthode pour associer un certificat SSL/TLS fiable au service RDP‑Tcp, du déploiement RDS complet aux hôtes autonomes, en passant par les stratégies de groupe et l’automatisation PowerShell.

Sommaire

Pourquoi remplacer le certificat auto‑signé ?

Dès l’installation, Windows Server génère un certificat auto‑signé pour RDP. Fonctionnel mais non approuvé, ce certificat déclenche des avertissements et expose les échanges à des attaques de type MITM. Lier un certificat X.509 valide (émanant d’une AC interne ou publique) :

  • supprime les alertes de sécurité sur les postes clients ;
  • active le canal TLS fort plutôt que RC4/128 (mode standard historique) ;
  • permet l’identification claire du serveur (CN/SAN) et la délégation d’authentification (SSO, Azure MFA, etc.).

Prérequis et bonnes pratiques

  • Format : fichier PFX contenant clé privée + chaîne complète (AC intermédiaire + racine).
  • Algorithme : RSA 2048 ou ECC P‑256 minimum, signature SHA‑256 ou supérieure.
  • Nom DNS : champ CN ou SAN correspondant au FQDN utilisé par les clients (ex. : rdp.contoso.com).
  • Droits administratifs : membre du groupe « Administrateurs » local ou d’un rôle équivalent (RBAC).
  • Sauvegarde : exportez le certificat original avant toute modification afin de revenir en arrière si nécessaire.

Matrice des scénarios

ScénarioChemin conseillé (interface graphique)Méthode de secours (PowerShell ou registre)
Déploiement RDS complet
(avec Connection Broker)		Ouvrir Gestionnaire de serveur ▸ Remote Desktop Services. Dans « Vue d’ensemble », cliquer TASKS ▸ Edit Deployment Properties. Onglet Certificates : Select existing certificate, importer le PFX.Set-RDCertificate -Role RDConnectionBroker ` -ImportPath "C:\Cert\Rdp2022.pfx" ` -Password (ConvertTo-SecureString 'MotDePasse!' -AsPlainText -Force) Restart-Service -Name TermService
Serveur RDS autonome
(pas de Broker)		Importer le PFX dans Certificats (ordinateur local) ▸ Personnel ▸ Certificats. Copier l’empreinte SHA‑1 (sans espaces).Registre : $thumb = 'ABCDEF123456…' Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' ` -Name SSLCertificateSHA1Hash -Value $thumb Restart-Service TermService WMI : $thumb = 'ABCDEF123456…' wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting ` WHERE (__CLASS="Win32_TSGeneralSetting") CALL SetCertificateThumbprint "$thumb"
Déploiement par GPO
(plusieurs hôtes)		Ouvrir l’éditeur de stratégie. Configuration ordinateur ▸ Stratégies ▸ Modèles d’administration ▸ Windows Components ▸ Remote Desktop Services ▸ Remote Desktop Session Host ▸ Security. Éditer Server authentication certificate template, cocher « Enabled », puis indiquer l’empreinte SHA‑1 ou le nom du modèle de certificat AD CS.gpupdate /target:computer /force

Pas à pas détaillé : déploiement RDS complet

1. Importer le certificat dans le magasin local

Même si le Gestionnaire de serveur sait importer un PFX, il est préférable d’ajouter d’abord le certificat au conteneur Personnel. Ainsi, la clé privée est stockée avec le bon indicateur « Accès à la clé privée autorisé au service Network Service ». Utilisez certlm.msc ou :

Import-PfxCertificate -FilePath 'D:\Cert\Rdp2022.pfx' `
  -CertStoreLocation 'Cert:\LocalMachine\My' `
  -Password (ConvertTo-SecureString 'MotDePasse!' -AsPlainText -Force)

2. Associer le certificat aux rôles RDS

Dans l’assistant Edit Deployment Properties, validez les quatre rôles :

  • RD Connection Broker – Publishing
  • RD Connection Broker – Self‑signed (remplace le certificat interne utilisé au démarrage)
  • RD Web Access
  • RD Gateway (si présent)

Chaque rôle doit pointer vers le même certificat PFX ou un certificat distinct portant le même nom DNS, sinon les clients verront des incohérences.

3. Redémarrer les services et tester

Restart-Service -Name Tssdis,TermService,SessionEnv -Force
mstsc /admin /v:rdsbroker.contoso.com

Cliquez sur le cadenas dans la barre de connexion RDP ▸ Afficher le certificat. Vérifiez :

  • Chemin de certification complet (AC intermédiaire + racine).
  • Algorithme sha256RSA ou ecdsa‑with‑SHA256.
  • Période de validité alignée sur la politique de sécurité interne.

Pas à pas détaillé : hôte RDS autonome

1. Repérer l’empreinte SHA‑1 exacte

Dans certlm.msc, double‑cliquez sur le certificat ▸ onglet Détails ▸ champ Empreinte. Copiez‑la en supprimant les espaces et retours à la ligne.

2. Écrire l’empreinte dans le Registre

Une valeur incorrecte bloque le service RDP. Validez toujours par :

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' `
  -Name SSLCertificateSHA1Hash

3. Redémarrer le service et vérifier les ports TLS

Restart-Service TermService
Test-NetConnection -ComputerName localhost -Port 3389 -InformationLevel "Detailed"

Automatisation PowerShell avancée

Pour déployer simultanément un certificat sur 100 serveurs VM, utilisez un script :

$servers = Get-Content '.\liste-serveurs.txt'
$pwd     = ConvertTo-SecureString 'MotDePasse!' -AsPlainText -Force
foreach ($srv in $servers) {
    Copy-Item '.\Rdp2022.pfx' "\\$srv\C$\Temp"
    Invoke-Command -ComputerName $srv -ScriptBlock {
        param($pwd)
        Import-PfxCertificate -FilePath 'C:\Temp\Rdp2022.pfx' `
            -CertStoreLocation 'Cert:\LocalMachine\My' -Password $pwd
        $thumb = (Get-ChildItem 'Cert:\LocalMachine\My' | 
                  Where-Object { $_.Subject -like '*rdp.contoso.com*' }).Thumbprint
        Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' `
            -Name SSLCertificateSHA1Hash -Value $thumb
        Restart-Service TermService -Force
    } -ArgumentList $pwd
}

Le script :

  • copie le PFX sur chaque hôte ;
  • importe le certificat dans le magasin local ;
  • récupère dynamiquement l’empreinte ;
  • met à jour la clé SSLCertificateSHA1Hash ;
  • redémarre le service TermService.

Durcissement TLS et meilleures pratiques sécurité

Une fois le certificat appliqué, renforcez la pile cryptographique :

  1. Limiter la négociation aux suites PTLS 1.2/1.3 via GPO ou registre (SChannel).
  2. Activer NLA (Network Level Authentication) pour arrêter l’attaque « credential harvesting ».
  3. Déployer le mode FIPS si votre organisation doit répondre aux exigences FIPS 140‑2.
  4. Activer le canal d’administration sécurisée (RestrictedAdmin) afin que les identifiants ne soient pas transmis en clair sur le réseau (HKLM\System\CurrentControlSet\Control\Lsa\DisableRestrictedAdmin = 0).

Troubleshooting : erreurs courantes

SymptômeDiagnostic rapideSolution
Code erreur 0x4 sur le clientTLS handshake échoue ; suite faible ou protocole désactivé.Réactiver temporairement TLS 1.2 pour isoler le problème ; vérifier que le certificat utilise RSA 2048.
Event ID 36870 / SchannelAccès à la clé privée refuséAccorder « Network Service » sur la clé privée via CertMgr ▸ Gérer les clés privées.
Client affiche un ancien certificat après mise à jourCaching côté clientSupprimer MS_T120 dans le Gestionnaire de certificats du poste ou redémarrer la machine.

FAQ express

Q : Peut‑on utiliser un certificat Wildcard « *.contoso.com » ?
R : Oui, si la politique de votre AC le permet et que le SAN inclut l’entrée générique.

Q : Le certificat arrive à expiration ; faut‑il répéter toute la procédure ?
R : Non ; importez simplement le nouveau PFX portant le même sujet, puis mettez à jour l’empreinte SHA‑1. Les clés de registre et GPO restent valides.

Q : Comment vérifier à distance le certificat RDP d’un serveur ?
R : Utilisez :

openssl s_client -connect rdp.contoso.com:3389 -starttls rdp

et inspectez la section « Certificate chain ».

Conclusion

Windows Server 2022 facilite la liaison d’un certificat SSL/TLS à RDP, mais le chemin diffère selon que vous exploitez un déploiement RDS complet ou un simple hôte autonome. En appliquant les étapes détaillées ici — importation du PFX, mise à jour de l’empreinte, redémarrage des services et durcissement TLS — vous éliminez les avertissements de sécurité, protégez vos sessions contre l’interception et préparez votre infrastructure aux exigences de conformité modernes.

Que vous administriez un cluster de serveurs haute densité ou une VM unique exposée sur Internet, prenez le temps de documenter vos empreintes, d’automatiser vos mises à jour et d’intégrer les vérifications régulières de certificat dans vos scripts de supervision. Ainsi, vos utilisateurs profiteront d’un accès Bureau à distance fluide et totalement sécurisé.

RDP
Sommaire