スケジュールジョブ(PowerShell)でパスワードをセキュアに使う(証明書編)

########################################################
# 証明書の作成
########################################################
function MakeCert(
                    $CertName   # 証明書名
                ){
    .\makecert -sky exchange -r -n "CN=$CertName" -pe -a sha256 -len 2048 -e 12/31/2050 -sr LocalMachine -ss My "$CertName.cer"
}

########################################################
# 拇印の取得
########################################################
function GetThumbprintFile(
                    $CertName,      # 証明書名
                    $ThumbprintFile # 拇印ファイルのフルパス
                ){
    # 拇印の取得
    $Thumbprint = (Get-ChildItem Cert:\LocalMachine\My | ? {$_.Subject -eq "CN=$CertName"}).Thumbprint

    # 拇印をファイルに出力
    $Thumbprint | Set-Content $ThumbprintFile
}

########################################################
# パスワードの暗号化
########################################################
function MakePasswordFile(
                    $PlainPassword,     # 暗号化するパスワード
                    $ThumbprintFile,    # 拇印ファイルのフルパス
                    $PasswordFile       # パスワードファイルのフルパス
                ){
    # 証明書の拇印(Thumbprint)読み込み
    $Thumbprint = Get-Content $ThumbprintFile

    # パスワードの暗号化(暗号化してBase64で出力)
    $Cert = get-item cert:\LocalMachine\MY\$Thumbprint
    Add-type –AssemblyName System.Security 
    $pass = [Text.Encoding]::UTF8.GetBytes($PlainPassword) 
    $content = new-object Security.Cryptography.Pkcs.ContentInfo –argumentList (,$pass) 
    $Enveloped = new-object Security.Cryptography.Pkcs.EnvelopedCms $content 
    $Enveloped.Encrypt((new-object System.Security.Cryptography.Pkcs.CmsRecipient($Cert))) 
    $Password = [Convert]::ToBase64String($Enveloped.Encode())

    # 暗号化されたパスワードをファイルに出力
    $Password | Set-Content $PasswordFile
}

##################################################################
# 証明書のエクスポート(Windows Server 2012/ Windows 8以降の場合)
##################################################################
function ExportCert(
                    $ThumbprintFile,    # 拇印ファイルのフルパス
                    $CertFile,          # 証明書ファイルのフルパス
                    $ExportPassword     # Export パスワード
                ){
    # 証明書の拇印(Thumbprint)読み込み
    $Thumbprint = Get-Content $ThumbprintFile

    # パスワードを指定して証明書のエクスポート
    $Password = ConvertTo-SecureString -AsPlainText -Force $ExportPassword
    $Cert = get-item cert:\LocalMachine\MY\$Thumbprint
    Export-PfxCertificate -Cert $Cert -FilePath $CertFile -Password $Password
}

######################################################################
# 証明書のエクスポート(Windows Server 2008 R2 / Windows 7以前の場合)
######################################################################
function ExportCert(
                    $ThumbprintFile,    # 拇印ファイルのフルパス
                    $CertFile,          # 証明書ファイルのフルパス
                    $ExportPassword     # Export パスワード
                ){
    # 証明書の拇印(Thumbprint)読み込み
    $Thumbprint = Get-Content $ThumbprintFile

    # パスワードを指定して証明書のエクスポート
    $Cert = get-item cert:\LocalMachine\MY\$Thumbprint
    $bytes = $Cert.Export("Pfx", $ExportPassword) 
    [System.IO.File]::WriteAllBytes($CertFile, $bytes)
}

##############################################################
#
# 証明書インストーラー
# このスクリプト、証明書ファイル、拇印ファイルを適当なフォルダーにコピーして実行
#
##############################################################
if (-not(([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole] "Administrator"))) {
    echo "[FAIL] 実行には管理権限が必要です"
    exit
}

$ScriptFileName = $MyInvocation.MyCommand.Path
$ScriptDir = Split-Path $ScriptFileName -Parent

# 証明書ファイル名
$CertificateFileName = "EncPassword.pfx"

# 証明書パスワード
$CertificatePassword = "P@ssw0rd"

# 拇印ファイル名
$ThumbprintFileName = "Thumbprint.txt"

# 証明書ファイルフルパス
$CertificateFileFullPath = Join-Path $ScriptDir $CertificateFileName
if( -not (Test-Path $CertificateFileFullPath) ){
    echo "[FAIL] $CertificateFileFullPath not found !!"
    exit
}

# 拇印ファイルのフルパス
$ThumbprintFileFullPath = Join-Path $ScriptDir $ThumbprintFileName
if( -not (Test-Path $ThumbprintFileFullPath) ){
    echo "[FAIL] $ThumbprintFileFullPath not found !!"
    exit
}

# 証明書の拇印の読み込み
$Thumbprint = Get-Content $ThumbprintFileFullPath

$CertPath = Join-Path "cert:\LocalMachine\MY\" $Thumbprint

# 証明書インストール確認
if( test-path $CertPath ){
    echo "[INFO] 証明書はインストール済みです"
}
# 証明書がインストールされていないのでインストール
else{
    certutil -p $CertificatePassword -importpfx $CertificateFileFullPath NoExport
    echo "[INFO] 証明書をインストールしました"
}

# 証明書ファイル削除
del $CertificateFileFullPath

# インストールスクリプト削除
del $ScriptFileName

#######################################################
# 証明書復号
# 復号に失敗したら $null を返す
#######################################################
function Encrypt(
                $ThumbprintFile,    # 拇印ファイルフルパス
                $PasswordFile       # パスワードファイルフルパス
                ){

    if( -not (test-path $PasswordFile )){
        $ErrorMessage = "[FAIL] Encrypt FAIL. Password file " + $PasswordFile + " not found !!"
        Echo $ErrorMessage
        return $null
    }

    if( -not (test-path $ThumbprintFile )){
        $ErrorMessage = "[FAIL] Encrypt FAIL. Thumbprint file " + $ThumbprintFile + " not found !!"
        echo $ErrorMessage
        return $null
    }

    ### 証明書復号のメイン処理
    Add-type –AssemblyName System.Security
    $Thumbprint = Get-Content $ThumbprintFile
    $CertPath = "cert:\LocalMachine\MY\" + $Thumbprint
    if(-not(test-path $CertPath)){
        $ErrorMessage = "[FAIL] Encrypt FAIL. Certificate not found !!"
        echo $ErrorMessage
        return $null
    }
    $Cert = get-item $CertPath
    $Password = Get-Content $PasswordFile
    $Enveloped = new-object Security.Cryptography.Pkcs.EnvelopedCms
    $Enveloped.Decode([Convert]::FromBase64String( $Password ))
    $Enveloped.Decrypt( $Cert )
    $PlainPassword = [Text.Encoding]::UTF8.GetString($Enveloped.ContentInfo.Content)
    return $PlainPassword
}