Installation eines SSL-Zertifikats auf Remote Desktop Services

Diese Schritt-für-Schritt-Anleitung zeigt Ihnen, wie Sie ein SSL-Zertifikat auf Remote Desktop Services (RDS) unter Windows Server installieren.

CSR-Code für Remote Desktop Services erstellen

Wenn Sie ein SSL-Zertifikat beantragen, müssen Sie zunächst eine CSR (Certificate Signing Request) erstellen und diese an die Zertifizierungsstelle (CA) übermitteln. Die CSR enthält die Kontakt- und Domain-Daten, die die CA zur Ausstellung Ihres Zertifikats benötigt.

RDS basiert auf Microsoft IIS, das mit jeder Version von Windows Server ausgeliefert wird. Daher können Sie die CSR in der IIS-Version erstellen, die Ihrem Server entspricht. Wenn Sie beispielsweise RDS auf Windows Server 2022 betreiben, erstellen Sie die CSR in IIS 10. Sie haben zwei Möglichkeiten:

• Folgen Sie unseren Anleitungen zur Erstellung eines CSR-Codes auf verschiedenen IIS-Versionen.
• Oder erstellen Sie die CSR automatisch mit unserem CSR-Generator.

Nachdem Sie die CSR übermittelt und die Domain-Validierung abgeschlossen haben, sendet Ihnen die CA die Zertifikatsdateien per E-Mail zu. Anschließend können Sie mit der unten beschriebenen Installation fortfahren.

SSL-Zertifikat auf Remote Desktop Services installieren

Um Ihre Remote-Desktop-Services-Umgebung abzusichern, installieren Sie ein gültiges SSL-Zertifikat. Die Zertifikatsverwaltung bei RDS dreht sich um .pfx-Dateien. Diese Anleitung behandelt die drei gängigsten Methoden: die RDS-Bereitstellungseigenschaften (empfohlen), den RD Gateway Manager (nur Gateway) und PowerShell (skriptfähig für jede Rolle).

Bevor Sie beginnen

Stellen Sie sicher, dass Ihre .pfx-Zertifikatsdatei bereitliegt. Eine .pfx-Datei ist eine einzelne gebündelte Datei, die Folgendes enthält:

• Ihr Serverzertifikat (ausgestellt für Ihre Domain).
• Den privaten Schlüssel (erzeugt bei der Erstellung Ihrer CSR).
• Die vollständige Zertifikatskette (Zwischen- und Root-CA-Zertifikate).

Wenn Ihnen die CA separate .crt-, .ca-bundle– und .key-Dateien geschickt hat, kombinieren Sie diese zunächst zu einer einzigen .pfx-Datei. Dies können Sie mit OpenSSL tun:

openssl pkcs12 -export -out yourdomain.pfx -inkey yourdomain.key -in yourdomain.crt -certfile yourdomain.ca-bundle

OpenSSL fordert Sie auf, ein Exportkennwort festzulegen. Merken Sie es sich, da Windows danach fragt, wenn Sie die Datei importieren. Weitere Details finden Sie in unserem Artikel über SSL-Zertifikatsformate.

Windows Server 2016 oder älter? OpenSSL 3.x exportiert die .pfx-Datei mit moderner AES-256-Verschlüsselung, die ältere Windows-Versionen nicht lesen können, was beim Import zu einer irreführenden Fehlermeldung „falsches Kennwort“ führt. Fügen Sie dem obigen Befehl das Flag -legacy hinzu (openssl pkcs12 -export -legacy ...), damit die Datei die ältere Verschlüsselung verwendet, die diese Systeme erwarten. Windows Server 2019 und neuer importieren das Standardformat ohne Änderung.

Option A: Zertifikate über die RDS-Bereitstellungseigenschaften installieren (empfohlen)

Diese Methode wendet das SSL-Zertifikat auf alle RDS-Rollen gleichzeitig an (RD-Webzugriff, RD-Gateway, RD-Verbindungsbroker). Führen Sie sie auf dem Server aus, der die Rolle des RD-Verbindungsbrokers innehat.

1. Öffnen Sie den Server-Manager (Start → Server-Manager).
2. Klicken Sie im linken Bereich auf Remotedesktopdienste.
3. Klicken Sie im Bereich Übersicht oben rechts auf Aufgaben und wählen Sie Bereitstellungseigenschaften bearbeiten.
4. Klicken Sie im linken Bereich des Dialogfelds auf Zertifikate.
5. Wählen Sie eine Rolle aus der Liste, klicken Sie dann auf Vorhandenes Zertifikat auswählen, navigieren Sie zu Ihrer .pfx-Datei und geben Sie das Zertifikatskennwort ein. Wiederholen Sie dies für jede der folgenden Rollen:
   • RD-Verbindungsbroker – Veröffentlichung
   • RD-Verbindungsbroker – SSO (Single Sign-On)
   • RD-Webzugriff
   • RD-Gateway
6. Aktivieren Sie Stammzertifizierungsstelle des Zertifikats dem Speicher „Vertrauenswürdige Stammzertifizierungsstellen“ hinzufügen (optional, aber für intern ausgestellte Zertifikate empfohlen).
7. Klicken Sie auf Übernehmen und dann auf OK. Die Änderungen werden sofort wirksam. Ein Neustart ist nicht erforderlich.

Tipp: Verwenden Sie dasselbe Zertifikat (eines, das den öffentlichen FQDN Ihrer Bereitstellung abdeckt) für alle Rollen, damit Clients nie eine Namensabweichung sehen.

Option B: Zertifikat nur auf dem RD-Gateway installieren

Verwenden Sie diese Methode, wenn Sie nur die RD-Gateway-Rolle und nicht die gesamte Bereitstellung absichern müssen.

1. Öffnen Sie den RD-Gateway-Manager (Start → Server-Manager → Tools → Remotedesktopdienste → Remotedesktop-Gateway-Manager).
2. Klicken Sie im linken Bereich mit der rechten Maustaste auf Ihren Servernamen und wählen Sie Eigenschaften.
3. Wechseln Sie zur Registerkarte SSL-Zertifikat und wählen Sie Ein Zertifikat in den Speicher RD-Gateway (Lokaler Computer)Eigene Zertifikate importieren.
4. Klicken Sie auf Durchsuchen und Zertifikat importieren, wählen Sie Ihre .pfx-Datei aus und geben Sie das Zertifikatskennwort ein.
5. Klicken Sie auf OK.

Ein Server-Neustart ist nicht erforderlich. Der RD-Gateway-Listener wechselt sofort zum neuen Zertifikat.

Option C: Zertifikat mit PowerShell installieren

Wenn Sie die Befehlszeile bevorzugen (praktisch für Skripting oder automatisierte Verlängerungen), verwenden Sie das Cmdlet Set-RDCertificate aus dem RemoteDesktop-Modul. Führen Sie es auf dem RD-Verbindungsbroker aus. Speichern Sie zunächst das .pfx-Kennwort als sicheren String:

$Password = ConvertTo-SecureString -String "YourPfxPassword" -AsPlainText -Force

Wenden Sie dann das Zertifikat auf jede Rolle an. Gültige -Role-Werte sind RDPublishing, RDRedirector (die SSO-Rolle des Verbindungsbrokers), RDWebAccess und RDGateway:

Set-RDCertificate -Role RDPublishing -ImportPath "C:Certsyourdomain.pfx" -Password $Password -ConnectionBroker "broker.yourdomain.com" -Force
Set-RDCertificate -Role RDRedirector -ImportPath "C:Certsyourdomain.pfx" -Password $Password -ConnectionBroker "broker.yourdomain.com" -Force
Set-RDCertificate -Role RDWebAccess -ImportPath "C:Certsyourdomain.pfx" -Password $Password -ConnectionBroker "broker.yourdomain.com" -Force
Set-RDCertificate -Role RDGateway -ImportPath "C:Certsyourdomain.pfx" -Password $Password -ConnectionBroker "broker.yourdomain.com" -Force

Sie können die Zuweisung jederzeit bestätigen mit:

Get-RDCertificate -ConnectionBroker "broker.yourdomain.com"

Testen Sie Ihre SSL-Installation

Nachdem Sie das Zertifikat installiert haben, öffnen Sie Ihre RD-Webzugriff- oder RD-Gateway-URL in einem Browser und prüfen Sie das Schlosssymbol sowie die Zertifikatsdetails. Selbst wenn alles korrekt aussieht, sollten Sie einen tiefergehenden Scan durchführen, um versteckte Fehler und schwache Konfigurationen zu erkennen. Unser SSL Checker liefert sofortige Berichte über den Zustand Ihres Zertifikats, der Zertifikatskette und Ihrer TLS-Einstellungen.

Wo kauft man ein SSL-Zertifikat für Remote Desktop Services?

Wenn Sie auf der Suche nach erschwinglichen SSL-Zertifikaten sind, ist SSL Dragon Ihr bester SSL-Anbieter. Unsere intuitive Website führt Sie durch das gesamte SSL-Zertifikatssortiment, und jedes Produkt wird von einer angesehenen Zertifizierungsstelle ausgestellt und ist vollständig mit Remote Desktop Services kompatibel. Da das RD-Gateway internetseitig zugänglich ist, sollten Sie ein öffentlich vertrauenswürdiges Zertifikat wählen, damit sich Remote-Clients ohne Vertrauenswarnungen verbinden können.

Wir bieten Ihnen die niedrigsten Preise auf dem Markt und engagierten Kundensupport für jedes Zertifikat, das Sie wählen.

Häufig gestellte Fragen