Windows Server 2019: Instale o certificado para uma CA emissora (assinada por uma CA raiz offline) usando o PowerShell

Question

Estou trabalhando para automatizar a implantação de um sistema PKI multicamadas baseado em ADCS (tenho uma solução de TI de produto geral que implantamos em projetos principalmente de maneira padronizada). Tenho todo o processo automatizado usando o PowerShell, exceto a etapa em que preciso instalar o certificado para as CAs emissoras. Em nosso design, a CA raiz (baseada em Windows ADCS) não é associada ao domínio e é mantida off-line - apenas colocada on-line para assinar os certificados para CA emissora e publicar CRLs.

As CAs emissoras são configuradas usando:

Add-WindowsFeature ADCS-Cert-Authority -IncludeManagementTools
Install-ADCSCertificationAuthority -CACommonName <Issing CA CN> -CAType EnterpriseSubordinateCA -CryptoProviderName <Provider> -HashAlgorithmName <Algorithm> -KeyLength <Key Length> -OutputCertRequestFile <.req File Path> -Force

Em seguida, pego esse arquivo .req e o assino pela CA raiz. Minha pergunta é então como usar o PowerShell para instalar o certificado (ou seja, para substituir o processo manual da ferramenta RSAT da Autoridade de Certificação aberta-> clique com o botão direito em CA-> Todas as Tarefas-> Instalar Certificado CA).

Não encontrei nada na biblioteca ADCS PS padrão nem no excelente módulo PSPKI (embora possa estar lá e eu esteja cego para isso). Meu google-fu retorna apenas resultados sobre como instalar o ADCS usando PowerShell e nada sobre esta questão específica.

Preciso apenas importar o certificado normalmente usando certutil -dspublish ou -addstore e, em caso afirmativo, para qual loja?

Answer 1

Você pode usar o certutil

certutil -installCert "<path to cert>"