Настройка IIS через PowerShell

Покажу готовую последовательность команд PowerShell для массовой настройки IIS: импорт PFX, создание HTTPS-привязки, назначение сертификата, включение требуемого SSL и добавление поля X-Forwarded-For в логи.
Скрипты ориентированы на выполнение по списку серверов, с проверкой доступности, копированием артефактов и очисткой.
Внизу — SOP, чеклисты, сценарии тестирования, советы по безопасности и отладке для быстрого внедрения.

Фото сервера и интерфейса управления IIS

Быстрые ссылки

Подготовка переменных и доступа
Импорт сертификата и создание привязки HTTPS
Включение обязательного SSL для сайта
Настройка пользовательских полей логирования
Стандартная процедура (SOP) и контрольные списки

Введение

PowerShell — мощный инструмент для управления Windows и IIS. Вместо того чтобы вручную повторять шаги в GUI на каждой машине, можно автоматизировать процесс и запускать его по списку серверов. Ниже приведён готовый набор действий и объяснений, который можно адаптировать под вашу среду.

Опишем целевые шаги, которые будут автоматизированы:

импорт .pfx-файла сертификата из сетевой папки;
создание HTTPS-привязки в IIS;
привязка импортированного сертификата к привязке;
включение опции «Требовать SSL» для сайта;
добавление пользовательского поля логов IIS для X-Forwarded-For.

Важно: тестируйте скрипты сначала на отдельном тестовом сервере, а затем применяйте к продакшену.

Подготовка переменных и файлов

Перед запуском подготовьте: список серверов, сетевую расшаренную папку с .pfx и учётные права, позволяющие копировать файлы и импортировать сертификаты.

Пример переменных:

$Servers = Get-Content -Path C:WebServers.txt
$CertFolder = '\\FileServer01\SharedCerts'

Примечание: в сетевых путях в PowerShell обратные слэши нужно экранировать или использовать строковые литералы в одинарных кавычках. Файл C:WebServers.txt должен содержать по одному имени сервера в строке.

Перед копированием полезно проверить доступность каждого сервера с помощью Test-Connection и скопировать артефакты в локальную временную папку на целевой машине — это уменьшит проблемы с правами при импорте сертификата.

Пример копирования и проверки доступности:

foreach ($Server in $Servers) {
    if (Test-Connection -ComputerName $Server -Quiet -Count 1) {
        Copy-Item -Path $CertFolder `
            -Destination "\\$Server\C$\Windows\Temp\CertAssets" `
            -Recurse -Force
        Write-Host "Assets successfully copied to $Server"
    }
    else {
        Write-Host "$Server appears to be offline!"
    }
    # ...далее обработка на $Server
}

Важно давать читаемую обратную связь в консоли и/или логировать события в отдельный файл.

Получение пароля сертификата безопасным способом

Ни в коем случае не храните пароли к .pfx в виде открытого текста в скриптах. Минимально — используйте Get-Credential для безопасного ввода:

$MyPwd = Get-Credential -UserName 'PFXPassword' -Message 'Введите пароль для PFX-файла'

Окно запроса пароля команды Get-Credential

Эта конструкция создаёт объект PSCredential; пароль можно получить через свойство .Password и передать в удалённый скрипт с помощью $Using:MyPwd.

Импорт сертификата и создание привязки HTTPS

Действия выполняются на целевой машине через Invoke-Command. В примере импорт происходит в системное хранилище LocalMachine\My, создаётся привязка на порт 443 и сертификат назначается этой привязке.

Пример кода внутри цикла (вставляется в foreach выше):

Invoke-Command -ComputerName $Server -ScriptBlock {
    $SiteName = "My Web Site"
    Import-PfxCertificate -Password $Using:MyPwd.Password `
        -CertStoreLocation Cert:\LocalMachine\My `
        -FilePath C:\Windows\Temp\CertAssets\MyCert.pfx
    Import-Module WebAdministration
    New-WebBinding -Name $SiteName -IP "*" -Port 443 -Protocol https
    $SSLCert = Get-ChildItem -Path Cert:\LocalMachine\My `
        | Where-Object {$_.Subject.Contains("CertFriendlyName")}
    $Binding = Get-WebBinding -Name $SiteName -Protocol "https"
    $Binding.AddSslCertificate($SSLCert.GetCertHashString(), "My")
    Write-Host "Setup successful on: $env:COMPUTERNAME"
}

Пояснения и рекомендации:

New-WebBinding с IP “*” создаёт привязку ко всем адресам; при необходимости укажите конкретный IP.
В Get-ChildItem фильтрация по Subject — простая эвристика. Можно фильтровать по Thumbprint, FriendlyName или по FriendlyName в SubjectName.
Для большего контроля собирайте thumbprint сразу после импорта и используйте его при назначении сертификата.

Пример безопасного взятия thumbprint сразу после импорта:

$Imported = Import-PfxCertificate -Password $Using:MyPwd.Password -CertStoreLocation Cert:\LocalMachine\My -FilePath C:\Windows\Temp\CertAssets\MyCert.pfx
$Thumb = $Imported.Thumbprint
$Binding.AddSslCertificate($Thumb, "My")

Очистка временных файлов

После успешного импорта удаляйте временные файлы с целевых машин:

Remove-Item -Path "\\$Server\C$\Windows\Temp\CertAssets" -Recurse -Force
Write-Host "Cleanup on $Server completed!"

Включение требования SSL для сайта

Чтобы требовать SSL для сайта через PowerShell, используйте WebAdministration и Set-WebConfiguration:

Import-Module WebAdministration
Set-WebConfiguration -Location "My Web Site" `
    -Filter 'system.webServer/security/access' -Value "Ssl"

Параметр IIS для включения требования SSL

Эта команда эквивалентна отметке “Require SSL” в GUI IIS Manager. Учтите, что после включения требование будет применено ко всем запросам сайта — подготовьте переходный план и тесты.

Настройка пользовательских полей логирования для X-Forwarded-For

Если ваш IIS стоит за балансировщиком нагрузки, полезно логировать исходный IP клиента, который балансировщик передаёт в заголовке X-Forwarded-For. IIS по умолчанию не логирует этот заголовок — его нужно добавить как пользовательское поле.

Команда для добавления поля:

Add-WebConfigurationProperty -PSPath 'MACHINE/WEBROOT/APPHOST' `
    -Filter "system.applicationHost/sites/siteDefaults/logFile/customFields" `
    -Name "." `
    -Value @{logFieldName='X-Forwarded-For';sourceName='X-Forwarded-For';sourceType='RequestHeader'}

После этого в логах IIS вы увидите столбец X-Forwarded-For. Проверьте форматирование и порядок полей (можно настроить последовательность через GUI или дополнительные команды).

Экран настроек логирования IIS с пользовательскими полями

Мини-методология развертывания (шаги)

Подготовка и валидация списка серверов и прав.
Тестовое исполнение на одном стендовом сервере.
Массовый прогон по группе тестовых серверов.
Мониторинг логов и метрик после развертывания.
Поэтапное распространение в продакшен с откатом, если требуется.

Стандартная операционная процедура (SOP)

Шаблон быстрого выполнения для инженера:

Шаг 0: Сделать бэкап конфигурации IIS:

appcmd add backup "Pre-SSL-Deploy-$(Get-Date -Format yyyyMMddHHmm)"

Шаг 1: Ввести пароль командой Get-Credential и сохранить объект в переменной $MyPwd.
Шаг 2: Убедиться, что C:WebServers.txt актуален.
Шаг 3: Запустить основной скрипт, который: копирует артефакты, импортирует сертификат, создаёт привязки, включает Ssl и настраивает логи.
Шаг 4: Проверить работоспособность сайта по HTTPS и заголовку X-Forwarded-For в логах.
Шаг 5: Удалить временные файлы и уведомить заинтересованные команды.

Контрольные списки по ролям

Администратор IIS:

Есть доступ к сетевой папке с сертификатом.
Прочитал Subject/Thumbprint сертификата.
Создал бэкап конфигурации IIS.
Протестировал импорт на тестовом сервере.

Инженер безопасности:

Проверил цепочку доверия сертификата.
Проверил политику хранения секретов (как хранится пароль PFX).
Убедился, что журналы содержат X-Forwarded-For и не раскрывают чувствительные данные.

DevOps-инженер:

Автоматизировал запуск скрипта через CI/CD или отложенные задачи.
Настроил мониторинг успешности выполнения и метрики ошибок.

Критерии приёмки

Сертификат импортирован в Cert:\LocalMachine\My на каждой целевой машине.
Для сайта создана HTTPS-привязка на порту 443.
Связан корректный сертификат (проверка по thumbprint).
“Require SSL” включён в конфигурации сайта.
Логи содержат поле X-Forwarded-For и корректно заполняются.

Сценарии тестирования и приёмки (Test cases)

Тестовая машина: проверить, что сайт доступен по HTTPS и цепочка сертификатов валидна.
Проверка привязки: appcmd list site /text:* или Get-WebBinding подтверждает протокол https.
Проверка логов: сделать запрос через балансировщик с заголовком X-Forwarded-For и убедиться, что лог записал этот заголовок.
Тест отказа: передать некорректный пароль PFX и убедиться, что скрипт возвращает понятную ошибку и не оставляет частично применённых изменений.

Отладка и распространённые ошибки

Ошибка при импорте PFX: проверьте права на файл, правильность пароля и наличие доступа к локальному хранилищу сертификатов.
Привязка не отображается: проверьте, что New-WebBinding выполнялся от имени администратора и что нет конфликта портов/IP.
X-Forwarded-For в логах пустой: проверьте, действительно ли балансировщик формирует заголовок и что он не перезаписывается промежуточными проксями.

Советы по логированию операций: записывайте события в отдельный лог-файл с отметкой времени и именем сервера. Это упрощает откат и расследование инцидентов.

Откат и восстановление

Если что-то пошло не так, используйте ранее созданный бэкап конфигурации IIS:

appcmd restore backup "Pre-SSL-Deploy-YYYYMMDDHHMM"

Для сертификатов: если импорт привёл к конфликтам, удалите проблемный сертификат из Cert:\LocalMachine\My и восстановите предыдущую конфигурацию привязок по backup.

Безопасность и соответствие

Пароли к .pfx храните в защищённых хранилищах (например, Azure Key Vault, HashiCorp Vault) или в виде зашифрованных секретов в CI/CD.
Минимизируйте время нахождения .pfx в открытом доступе на целевых машинах — удаляйте временные файлы сразу после импорта.
Контролируйте доступ к журналам, если они содержат IP-адреса клиентов. Это важно для соответствия требованиям хранения персональных данных.

Юридическая заметка: если в логах хранятся данные, позволяющие идентифицировать физических лиц, согласуйте хранение и обработку с политикой конфиденциальности и локальным регулированием.

Модель зрелости автоматизации (кратко)

Уровень 0 — ручная настройка через GUI.
Уровень 1 — скрипты для одиночных серверов.
Уровень 2 — массовое применение по списку серверов с базовой валидацией.
Уровень 3 — интеграция в CI/CD, хранение секретов в KV, мониторинг и откат.

Цель — подняться как минимум до уровня 2 и постепенно двигаться к уровню 3.

Диаграмма принятия решения для развертывания (Mermaid)

flowchart TD
    A[Есть тестовый стенд?] -->|Да| B[Запустить скрипт на стенде]
    A -->|Нет| C[Создать тестовый сервер]
    B --> D{Ошибки?}
    D -->|Нет| E[Запустить на группе тестовых серверов]
    D -->|Да| F[Исправить скрипт и ретест]
    E --> G{Проблемы в логах?}
    G -->|Нет| H[Запуск в продакшен поэтапно]
    G -->|Да| F

Короткие примеры дополнительных полезных команд

Получить список привязок сайта:

Get-WebBinding -Name "My Web Site"

Проверить сертификат по thumbprint:

Get-ChildItem Cert:\LocalMachine\My | Where-Object Thumbprint -EQ 'THUMBPRINTVALUE'

Добавить поле логирования только для конкретного сайта (пример):

Set-WebConfigurationProperty -PSPath 'MACHINE/WEBROOT/APPHOST' -Filter "system.applicationHost/sites/site[@name='My Web Site']/logFile/customFields" -Name "." -Value @{logFieldName='X-Forwarded-For';sourceName='X-Forwarded-For';sourceType='RequestHeader'}

Глоссарий (одно предложение на термин)

PFX: контейнер, содержащий сертификат и приватный ключ.
Thumbprint: однозначный хеш сертификата, используемый для идентификации.
WebAdministration: модуль PowerShell для управления IIS.
X-Forwarded-For: HTTP-заголовок, содержащий список IP-адресов прохождения запроса через прокси/балансировщик.

Заключение

Автоматизация типовых операций IIS с помощью PowerShell экономит время и снижает риск ошибок при массовых настройках. Начните с простого скрипта, протестируйте на одном сервере, затем расширяйте до полного SOP с мониторингом и откатом. Небольшие инвестиции в хранение секретов и логирование окупаются надежностью и предсказуемостью развертываний.

Ключевые действия, которые вы можете выполнить прямо сейчас:

Подготовьте список серверов и сетевую папку с .pfx.
Выполните тестовый импорт и привязку на стенде.
Автоматизируйте процесс и интегрируйте хранение секретов.

Спасибо — если нужно, помогу адаптировать скрипт под вашу конкретную инфраструктуру или подготовить версию для CI/CD.

Автоматизация настройки IIS с помощью PowerShell