Comment révoquer un certificat client Azure Point-to-Site

Révoquer un client Azure Point-to-Site consiste à ajouter son empreinte à la liste révoquée de la passerelle. Cela ne consiste pas à supprimer l'autorité racine de confiance. La racine est l'autorité émettrice de chaque certificat client que vous avez délivré, donc la retirer est une autre opération à la portée bien plus large. L'unité de révocation ici est un seul certificat.

Étape 1 : Identifiez précisément le certificat visé

Partez de l'enregistrement du certificat, pas d'un nom d'affichage. Azure affiche un nom convivial que vous avez saisi vous-même, et ce libellé n'a pas à correspondre au sujet ni à l'appareil pour lequel le certificat a été émis.

Une vérification de plus avant de révoquer : déterminez combien d'appareils le présentent. Si plusieurs ordinateurs portables ont été construits à partir de copies du même PFX, la révocation de l'empreinte les bloque tous, et Azure n'a aucun moyen de distinguer celui qui est perdu de celui qui reste dans le tiroir.

Sur le client, Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter liste ce qui est installé pour cet utilisateur, et Cert:\LocalMachine\My mérite aussi une vérification, car le client VPN peut choisir dans l'un ou l'autre des deux magasins. Comparez l'empreinte à votre inventaire d'inscriptions. Un certificat renouvelé a une empreinte différente même lorsque le sujet est identique.

Vous n'avez besoin ni de la clé privée du client ni d'un PFX protégé par mot de passe pour lire l'empreinte d'un certificat public. Toute procédure qui exige l'un des deux a été copiée depuis une autre tâche.

Étape 2 : Ajoutez-le à la liste révoquée de la passerelle

Dans le portail, ouvrez la passerelle de réseau virtuel, puis la configuration Point-to-site, puis la section des certificats révoqués. Ajoutez un nom convivial que vous reconnaîtrez dans six mois et collez l'empreinte comme une seule chaîne continue, sans les espaces.

Vérifiez quelle passerelle est sélectionnée avant d'enregistrer, car un abonnement comportant plusieurs passerelles est exactement le cas où cela tourne mal. Le guide de configuration des certificats de Microsoft indique qu'une fois la mise à jour terminée, le certificat ne peut plus servir à se connecter.

Confirmez ensuite la valeur enregistrée plutôt que de vous fier à la notification du portail : az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" affiche ce que la passerelle contient réellement.

Étape 3 : Vérifiez les deux sens

Testez le refus avec le certificat révoqué, puis vérifiez qu'un autre certificat sous la même racine s'authentifie encore. C'est ce second test que les gens sautent, et c'est lui qui détecte une suppression accidentelle de la racine ou un changement de stratégie que personne n'a mentionné. Utilisez un appareil où vous pouvez voir quel certificat est présenté. Un client détenant plusieurs certificats peut en utiliser un qui fonctionne sans le dire et donner l'impression que votre révocation est cassée.

Consignez les deux résultats dans le ticket. Une révocation vérifiée uniquement dans le sens du refus n'est vérifiée qu'à moitié.

Étape 4 : Les sessions déjà établies

Le résultat documenté concerne les nouvelles connexions. Ne l'étirez pas en promesse que chaque tunnel existant tombe à la seconde où la liste est enregistrée. Si le retrait immédiat compte, utilisez les contrôles que votre configuration déployée offre réellement et vérifiez la session concernée au lieu de supposer.

Testez cela séparément de l'authentification, car les deux échouent à des endroits différents et laissent des preuves différentes.

Le retour arrière, et les raccourcis à éviter

Revenir en arrière signifie retirer l'empreinte de la liste révoquée et attendre la fin de la même mise à jour. C'est sans danger lorsque vous avez révoqué la mauvaise entrée, et dangereux lorsque le certificat est réellement compromis, alors décidez d'abord dans quel cas vous êtes. Supprimer la racine de confiance n'est pas un raccourci pour un ordinateur portable perdu. Supprimer un profil VPN local sur une machine ne change rien à ce qu'accepte une passerelle.

Si l'identité s'authentifie aussi auprès d'une seconde passerelle, les deux ont besoin du même traitement. La liste révoquée appartient à une passerelle, pas à l'abonnement.