RADIUS / NPS¶

Configuration du service NPS¶

Le service IAS (Internet Authentication Service) est le nom interne du serveur NPS dans le registre. Meme sous Windows Server 2019/2022, le service conserve ce nom historique.

Cle du service IAS¶

HKLM\SYSTEM\CurrentControlSet\Services\IAS

# Check the NPS service status
Get-Service -Name IAS | Select-Object Name, DisplayName, Status, StartType

Name DisplayName             Status StartType
---- -----------             ------ ---------
IAS  Network Policy Server  Running Automatic

Parametres principaux du service¶

La configuration NPS reside sous une arborescence dediee :

HKLM\SYSTEM\CurrentControlSet\Services\IAS\Parameters

Enregistrement dans Active Directory¶

NPS doit etre enregistre dans AD pour pouvoir lire les proprietes de connexion distante des comptes utilisateurs :

# Register NPS in Active Directory
netsh ras add registeredserver

# Verify registration
netsh nps show registeredserver

The RADIUS server was registered successfully in Active Directory domain corp.local.

Registered RADIUS servers in domain corp.local:
    NPS01.corp.local

L'enregistrement ajoute le compte machine au groupe RAS and IAS Servers dans AD, ce qui lui donne les droits de lecture necessaires sur les comptes utilisateurs.

Clients et serveurs RADIUS dans le registre¶

%%{init: {'theme': 'base', 'themeVariables': {'primaryColor': '#bd93f9', 'primaryTextColor': '#f8f8f2', 'primaryBorderColor': '#bd93f9', 'lineColor': '#ff79c6', 'secondaryColor': '#44475a', 'tertiaryColor': '#282a36', 'edgeLabelBackground': '#282a36', 'clusterBkg': '#282a36', 'clusterBorder': '#6272a4', 'titleColor': '#f8f8f2'}}}%%
flowchart TB
    A["Switch / AP\n(client RADIUS)"]:::orange
    B["Serveur NPS\nprincipal"]:::purple
    C["Serveur NPS\nsecondaire"]:::purple
    D["Active\nDirectory"]:::cyan
    E["Proxy RADIUS\n(optionnel)"]:::pink

    A -->|"UDP 1812\n(Access-Request)"| B
    A -.->|"Basculement"| C
    B --> D
    C --> D
    A -->|"UDP 1813\n(Accounting)"| B
    E -->|"Transfert vers\ndomaine distant"| B

    classDef pink fill:#ff79c6,stroke:#ff79c6,color:#282a36
    classDef green fill:#50fa7b,stroke:#50fa7b,color:#282a36
    classDef cyan fill:#8be9fd,stroke:#8be9fd,color:#282a36
    classDef orange fill:#ffb86c,stroke:#ffb86c,color:#282a36
    classDef purple fill:#bd93f9,stroke:#bd93f9,color:#282a36

Les clients RADIUS (points d'acces, commutateurs, controleurs VPN) sont enregistres dans le registre NPS. Chaque client est identifie par un nom et une adresse IP.

Emplacement des clients RADIUS¶

HKLM\SYSTEM\CurrentControlSet\Services\IAS\Parameters\Clients

Chaque client est une sous-cle numerotee :

HKLM\...\IAS\Parameters\Clients\{NumeroClient}

# List all configured RADIUS clients
Get-NpsRadiusClient | Select-Object Name, Address, SharedSecret, Enabled |
    Format-Table -AutoSize

Name              Address       SharedSecret   Enabled
----              -------       ------------   -------
Switch-Etage1     10.0.1.10     ************      True
Switch-Etage2     10.0.1.11     ************      True
AP-WiFi-Corp      10.0.2.0/24   ************      True
VPN-Gateway       10.0.0.1      ************      True

Ajouter un client RADIUS¶

# Add a new RADIUS client for a network switch
New-NpsRadiusClient -Name "Switch-Etage3" `
    -Address "10.0.1.12" `
    -SharedSecret "C0mpl3x!Sh@redS3cret#2024" `
    -VendorName "RADIUS Standard"

Name          : Switch-Etage3
Address       : 10.0.1.12
SharedSecret  : ************
Enabled       : True

Le secret partage est stocke sous forme chiffree dans le registre. Ne tentez jamais de le modifier directement dans le registre ; utilisez toujours les cmdlets NPS ou la console nps.msc.

Configuration du serveur RADIUS (ports d'ecoute)¶

HKLM\SYSTEM\CurrentControlSet\Services\IAS\Parameters

# Verify NPS listening ports with netstat
netstat -an | Select-String ":1812|:1813"

  UDP    0.0.0.0:1812           *:*
  UDP    0.0.0.0:1813           *:*

Strategies de connexion et strategies reseau¶

NPS utilise deux types de strategies evaluees dans l'ordre : les strategies de demande de connexion (qui decide du traitement) et les strategies reseau (qui autorise ou refuse).

Strategies de demande de connexion (Connection Request Policies)¶

Ces strategies determinent si NPS traite la demande localement ou la transmet a un proxy RADIUS :

HKLM\SYSTEM\CurrentControlSet\Services\IAS\Parameters\Connection Request Policies

Chaque strategie est une sous-cle numerotee contenant :

Strategies reseau (Network Policies)¶

Les strategies reseau determinent l'autorisation ou le refus de l'acces :

HKLM\SYSTEM\CurrentControlSet\Services\IAS\Parameters\Network Policies

Chaque strategie contient :

# List all network policies and their processing order
Get-NpsNetworkPolicy | Select-Object Name, ProcessingOrder, Enabled, GrantAccess |
    Sort-Object ProcessingOrder | Format-Table -AutoSize

Name                            ProcessingOrder Enabled GrantAccess
----                            --------------- ------- -----------
802.1X Wired - Domain Computers               1    True        True
802.1X WiFi - Corp Employees                  2    True        True
VPN Remote Access                              3    True        True
Deny All Others                                4    True       False

Flux d'evaluation des strategies¶

L'evaluation suit un ordre strict. La premiere strategie dont les conditions correspondent est appliquee :

flowchart TD
    A[Requete RADIUS entrante] --> B{Connection Request Policy match ?}
    B -->|Oui, traiter local| C{Network Policy #1 match ?}
    B -->|Oui, proxy| F[Transmettre au serveur RADIUS distant]
    B -->|Aucune match| E[Refuser la connexion]
    C -->|Conditions OK| D{Action = Grant ?}
    C -->|Conditions KO| G{Network Policy #2 match ?}
    D -->|Oui| H[Acces autorise]
    D -->|Non| I[Acces refuse]
    G -->|Conditions OK| J{Action = Grant ?}
    G -->|Conditions KO| K[... Policy suivante ...]
    J -->|Oui| H
    J -->|Non| I
    K --> E

Authentification 802.1X¶

%%{init: {'theme': 'base', 'themeVariables': {'primaryColor': '#bd93f9', 'primaryTextColor': '#f8f8f2', 'primaryBorderColor': '#bd93f9', 'lineColor': '#ff79c6', 'secondaryColor': '#44475a', 'tertiaryColor': '#282a36'}}}%%
sequenceDiagram
    participant S as Supplicant<br/>(poste client)
    participant SW as Authenticator<br/>(switch / AP)
    participant NPS as Serveur NPS<br/>(RADIUS)
    participant AD as Active<br/>Directory

    S->>SW: EAPOL-Start
    SW->>S: EAP-Request Identity
    S->>SW: EAP-Response Identity
    SW->>NPS: Access-Request (RADIUS)
    NPS->>AD: Vérification identité + groupe
    AD-->>NPS: Authentification OK
    NPS-->>SW: Access-Accept + VLAN assigné
    SW-->>S: EAP-Success
    SW->>SW: Port ouvert (VLAN production)

L'authentification 802.1X utilise NPS comme serveur RADIUS pour authentifier les postes et utilisateurs sur le reseau filaire et sans fil. La configuration implique a la fois le serveur NPS et les postes clients.

Configuration du supplicant 802.1X (poste client)¶

Le service dot3svc (Wired AutoConfig) gere l'authentification 802.1X filaire :

HKLM\SYSTEM\CurrentControlSet\Services\dot3svc

Pour le sans-fil, le service Wlansvc (WLAN AutoConfig) prend en charge 802.1X :

HKLM\SYSTEM\CurrentControlSet\Services\Wlansvc

Profil 802.1X par interface (filaire)¶

HKLM\SOFTWARE\Microsoft\dot3svc\Interfaces\{GUID-Interface}

Le profil XML stocke dans cette cle definit la methode d'authentification, le type EAP et les parametres de validation du certificat serveur.

# Enable the Wired AutoConfig service for 802.1X
Set-Service -Name dot3svc -StartupType Automatic
Start-Service -Name dot3svc

# Verify the service status
Get-Service -Name dot3svc | Select-Object Name, DisplayName, Status, StartType

Name    DisplayName       Status StartType
----    -----------       ------ ---------
dot3svc Wired AutoConfig Running Automatic

Configuration 802.1X via GPO¶

Les strategies de groupe deploient les profils 802.1X via les cles suivantes :

HKLM\SOFTWARE\Policies\Microsoft\Windows\Wired\IEEE 802.1X

Pour le sans-fil :

HKLM\SOFTWARE\Policies\Microsoft\Windows\Wireless\IEEE 802.11

# Check if 802.1X wired policy is applied
$wiredPolicy = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\Wired\IEEE 802.1X"
if (Test-Path $wiredPolicy) {
    $props = Get-ItemProperty $wiredPolicy
    Write-Output "802.1X Wired Policy Enabled: $($props.Enabled)"
} else {
    Write-Output "No wired 802.1X GPO policy detected."
}

802.1X Wired Policy Enabled: 1

Strategie reseau NPS pour 802.1X filaire¶

Voici les conditions typiques d'une strategie NPS autorisant l'acces 802.1X filaire :

# Create a network policy for 802.1X wired authentication
New-NpsNetworkPolicy -Name "802.1X Wired - Domain Computers" `
    -ProcessingOrder 1 `
    -AccessType "GRANT" `
    -UserGroupsCondition "CORP\Domain Computers" `
    -AuthenticationType "EAP"

Name                            : 802.1X Wired - Domain Computers
ProcessingOrder                 : 1
Enabled                         : True
GrantAccess                     : True

Authentification VPN avec NPS¶

NPS sert de serveur RADIUS pour authentifier les connexions VPN. Chaque protocole VPN possede ses propres caracteristiques dans la configuration NPS.

Protocoles VPN supportes¶

Configuration du service RRAS¶

Le service Routing and Remote Access (RRAS) utilise NPS comme fournisseur d'authentification :

HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters

HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters\AccountProviders\RadiusAccounting

Strategie reseau NPS pour VPN¶

Les conditions specifiques pour une strategie VPN :

# Check RRAS authentication provider configuration
$rrasParams = Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters" -ErrorAction SilentlyContinue
if ($rrasParams) {
    $authType = switch ($rrasParams.AuthenticationType) {
        1 { "Windows" }
        2 { "RADIUS" }
        default { "Unknown ($($rrasParams.AuthenticationType))" }
    }
    Write-Output "RRAS Authentication Provider: $authType"
}

RRAS Authentication Provider: RADIUS

Desactiver PPTP via le registre¶

PPTP est considere comme non securise. Pour interdire ce protocole sur le serveur VPN :

HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters\Protocols\Pptp

# Disable PPTP by setting maximum ports to zero
$pptpPath = "HKLM:\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters\Protocols\Pptp"
if (Test-Path $pptpPath) {
    Set-ItemProperty -Path $pptpPath -Name "MaximumPorts" -Value 0 -Type DWord
    Write-Output "PPTP disabled (MaximumPorts set to 0)."
} else {
    Write-Output "PPTP protocol key not found."
}

PPTP disabled (MaximumPorts set to 0).

Configuration des methodes EAP¶

Les methodes EAP (Extensible Authentication Protocol) definissent comment le client prouve son identite au serveur RADIUS. Les deux methodes les plus courantes en entreprise sont PEAP et EAP-TLS.

Methodes EAP dans le registre¶

Les methodes EAP installees sont enregistrees sous :

HKLM\SYSTEM\CurrentControlSet\Services\EapHost\Methods

Chaque methode est identifiee par un couple {AuthorID}\{EapTypeId} :

HKLM\SYSTEM\CurrentControlSet\Services\EapHost\Methods\311\25

# List all registered EAP methods
Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services\EapHost\Methods" -Recurse |
    Where-Object { $_.PSChildName -match "^\d+$" -and $_.PSParentPath -match "Methods\\\d+$" } |
    ForEach-Object {
        $props = Get-ItemProperty $_.PSPath -ErrorAction SilentlyContinue
        if ($props.FriendlyName) {
            [PSCustomObject]@{
                EapType      = $_.PSChildName
                FriendlyName = $props.FriendlyName
            }
        }
    } | Format-Table -AutoSize

EapType FriendlyName
------- ------------
13      Microsoft: Smart Card or other certificate
25      Microsoft: Protected EAP (PEAP)
26      Microsoft: Secured password (EAP-MSCHAP v2)

PEAP (Protected EAP)¶

PEAP cree un tunnel TLS entre le client et le serveur NPS, puis utilise une methode interne (generalement EAP-MSCHAPv2) pour l'authentification reelle. Le serveur NPS doit posseder un certificat serveur valide.

Configuration cote serveur NPS (stockee dans la strategie reseau) :

EAP-TLS (authentification par certificat)¶

EAP-TLS utilise des certificats X.509 cote client et cote serveur. C'est la methode la plus securisee car elle elimine les mots de passe.

Configuration du certificat client via GPO :

HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\My

Les certificats machines deployes via l'autoenrollment sont stockes dans le magasin machine local. Le poste selectionne automatiquement le certificat dont l'EKU (Extended Key Usage) contient Client Authentication (1.3.6.1.5.5.7.3.2).

Validation du certificat serveur (cote client)¶

Le client 802.1X verifie le certificat presente par le serveur NPS. La configuration de validation est critique :

HKLM\SOFTWARE\Policies\Microsoft\EapHost\Config

Les parametres de validation incluent :

# Verify the NPS server certificate
$cert = Get-ChildItem Cert:\LocalMachine\My |
    Where-Object { $_.EnhancedKeyUsageList.FriendlyName -contains "Server Authentication" } |
    Select-Object Subject, NotAfter, Thumbprint, Issuer
$cert | Format-List

Subject    : CN=NPS01.corp.local
NotAfter   : 15/03/2027 08:00:00
Thumbprint : A1B2C3D4E5F6A1B2C3D4E5F6A1B2C3D4E5F6A1B2
Issuer     : CN=Corp-Root-CA, DC=corp, DC=local

Journalisation et comptabilite NPS¶

La journalisation NPS est essentielle pour le diagnostic des echecs d'authentification et la conformite reglementaire. NPS supporte trois modes de journalisation.

Configuration de la journalisation dans le registre¶

HKLM\SYSTEM\CurrentControlSet\Services\IAS\Parameters\Accounting

Journalisation dans un fichier texte¶

HKLM\...\IAS\Parameters\Accounting\Providers\File Accounting

# Configure NPS text file logging
$logPath = "D:\NPS-Logs"
if (-not (Test-Path $logPath)) {
    New-Item -Path $logPath -ItemType Directory -Force
}

$fileAcctPath = "HKLM:\SYSTEM\CurrentControlSet\Services\IAS\Parameters\Accounting\Providers\File Accounting"
Set-ItemProperty -Path $fileAcctPath -Name "Directory" -Value $logPath
Set-ItemProperty -Path $fileAcctPath -Name "LogType" -Value 1 -Type DWord
Set-ItemProperty -Path $fileAcctPath -Name "LogFrequency" -Value 1 -Type DWord
Set-ItemProperty -Path $fileAcctPath -Name "LogAuthentication" -Value 1 -Type DWord
Set-ItemProperty -Path $fileAcctPath -Name "LogAccounting" -Value 1 -Type DWord

Restart-Service -Name IAS -Force
Write-Output "NPS file logging configured to $logPath."

NPS file logging configured to D:\NPS-Logs.

Journalisation SQL Server¶

Pour les environnements a fort volume, NPS peut ecrire directement dans une base SQL Server :

HKLM\...\IAS\Parameters\Accounting\Providers\SQL Accounting

# Configure NPS SQL logging
$sqlAcctPath = "HKLM:\SYSTEM\CurrentControlSet\Services\IAS\Parameters\Accounting\Providers\SQL Accounting"
if (Test-Path $sqlAcctPath) {
    Set-ItemProperty -Path $sqlAcctPath -Name "DataSource" -Value "SQLSVR01\NPS"
    Set-ItemProperty -Path $sqlAcctPath -Name "InitialCatalog" -Value "NPSAccounting"
    Set-ItemProperty -Path $sqlAcctPath -Name "IntegratedSecurity" -Value "SSPI"
    Write-Output "NPS SQL logging configured."
}

NPS SQL logging configured.

Journal des evenements Windows¶

NPS ecrit egalement dans le journal des evenements, independamment de la journalisation fichier ou SQL :

# Query NPS authentication events from the Security log
Get-WinEvent -FilterHashtable @{
    LogName   = "Security"
    Id        = 6272, 6273
} -MaxEvents 10 |
    Select-Object TimeCreated, Id,
        @{N="Result"; E={if ($_.Id -eq 6272) {"Access-Accept"} else {"Access-Reject"}}},
        Message |
    Format-Table TimeCreated, Id, Result -AutoSize

TimeCreated           Id Result
-----------           -- ------
2024-03-15 14:32:01 6272 Access-Accept
2024-03-15 14:31:58 6273 Access-Reject
2024-03-15 14:30:45 6272 Access-Accept

Configuration du proxy RADIUS¶

Le proxy RADIUS permet de transmettre les requetes d'authentification vers un autre serveur NPS, utile dans les architectures multi-sites ou multi-forets.

Groupes de serveurs RADIUS distants¶

HKLM\SYSTEM\CurrentControlSet\Services\IAS\Parameters\Remote RADIUS Server Groups

Chaque groupe est une sous-cle contenant un ou plusieurs serveurs :

Pour chaque serveur dans le groupe :

Repartition de charge et basculement¶

Le proxy RADIUS utilise la priorite et le poids pour distribuer les requetes :

# List remote RADIUS server groups and their members
netsh nps show remoteservergroup

Remote RADIUS Server Group Name = "NPS-Site-Paris"
    Server: NPS-PARIS01.corp.local
        Authentication Port: 1812
        Accounting Port: 1813
        Priority: 1
        Weight: 50

    Server: NPS-PARIS02.corp.local
        Authentication Port: 1812
        Accounting Port: 1813
        Priority: 1
        Weight: 50

Lier un groupe proxy a une strategie de connexion¶

La strategie de demande de connexion doit etre configuree pour transmettre les requetes au groupe de serveurs distants (valeur msNPAction = 2 dans le registre).

# Create a connection request policy that proxies to remote NPS
# This is typically done via the NPS console (nps.msc) or exported configuration
netsh nps set connectionrequestpolicy name="Proxy-Site-Paris" state="enable" `
    processingorder=2

Ok.

Scenario : diagnostiquer des echecs d'authentification 802.1X¶

Contexte¶

Les utilisateurs du batiment B signalent des echecs de connexion au reseau filaire. Leurs postes sous Windows 11 ne parviennent plus a s'authentifier en 802.1X depuis le remplacement du certificat du serveur NPS le week-end precedent. Le serveur NPS est NPS01.corp.local sous Windows Server 2022.

Etape 1 : verifier les evenements NPS¶

# Query recent NPS authentication failures
Get-WinEvent -ComputerName NPS01 -FilterHashtable @{
    LogName   = "Security"
    Id        = 6273
    StartTime = (Get-Date).AddHours(-4)
} -MaxEvents 20 |
    ForEach-Object {
        $xml = [xml]$_.ToXml()
        $data = $xml.Event.EventData.Data
        [PSCustomObject]@{
            Time      = $_.TimeCreated
            User      = ($data | Where-Object { $_.Name -eq "SubjectUserName" }).'#text'
            Reason    = ($data | Where-Object { $_.Name -eq "Reason" }).'#text'
            ReasonCode = ($data | Where-Object { $_.Name -eq "ReasonCode" }).'#text'
        }
    } | Format-Table -AutoSize

Time                    User                Reason                                      ReasonCode
----                    ----                ------                                      ----------
2024-03-15 10:45:23     CORP\jdupont        The client could not be authenticated...    16
2024-03-15 10:45:20     CORP\mmartin        The client could not be authenticated...    16
2024-03-15 10:44:58     host/PC-BAT-B-012   The client could not be authenticated...    16

Le code de raison 16 indique : "Authentication failed due to a user credentials mismatch. Either the user name provided does not map to an existing user account or the password was incorrect." Mais dans un contexte 802.1X EAP-TLS, ce code signifie souvent un probleme de validation de certificat.

Etape 2 : verifier le certificat NPS¶

# Check the NPS server certificate
$npsCert = Get-ChildItem Cert:\LocalMachine\My |
    Where-Object {
        $_.EnhancedKeyUsageList.FriendlyName -contains "Server Authentication" -and
        $_.Subject -match "NPS01"
    }

foreach ($cert in $npsCert) {
    [PSCustomObject]@{
        Subject     = $cert.Subject
        Issuer      = $cert.Issuer
        NotBefore   = $cert.NotBefore
        NotAfter    = $cert.NotAfter
        Thumbprint  = $cert.Thumbprint
        HasPrivKey  = $cert.HasPrivateKey
    }
} | Format-List

Subject    : CN=NPS01.corp.local
Issuer     : CN=Corp-SubCA-01, DC=corp, DC=local
NotBefore  : 10/03/2024 00:00:00
NotAfter   : 10/03/2026 00:00:00
Thumbprint : B2C3D4E5F6A7B8C9D0E1F2A3B4C5D6E7F8A9B0C1
HasPrivKey : True

Le nouveau certificat est emis par Corp-SubCA-01, alors que l'ancien etait emis par Corp-Root-CA. La chaine de certification a change.

Etape 3 : verifier la configuration NPS¶

# Export the current NPS configuration for analysis
$exportPath = "C:\Temp\nps-config-export.xml"
Export-NpsConfiguration -Path $exportPath
Write-Output "NPS configuration exported to $exportPath"

# Check which certificate thumbprint NPS is using
netsh nps show eapconfig

NPS configuration exported to C:\Temp\nps-config-export.xml

Etape 4 : verifier la confiance cote client¶

Le probleme est que les postes clients ne font pas confiance a la nouvelle autorite de certification intermediaire Corp-SubCA-01. Verifions :

# On a client machine: check trusted root and intermediate CAs
$subCA = Get-ChildItem Cert:\LocalMachine\CA |
    Where-Object { $_.Subject -match "Corp-SubCA-01" }

if ($subCA) {
    Write-Output "Intermediate CA found: $($subCA.Subject)"
} else {
    Write-Output "PROBLEM: Intermediate CA 'Corp-SubCA-01' NOT found in trusted store!"
}

PROBLEM: Intermediate CA 'Corp-SubCA-01' NOT found in trusted store!

Etape 5 : appliquer le correctif¶

Deux actions sont necessaires : distribuer le certificat de la CA intermediaire et mettre a jour le profil 802.1X :

# STEP A: Publish the intermediate CA certificate via GPO (on a Domain Controller)
# The certificate should be added to the "Intermediate Certification Authorities" store
# via Group Policy Management: Computer Configuration > Policies > Windows Settings >
# Security Settings > Public Key Policies > Intermediate Certification Authorities

# STEP B: Force a Group Policy update on affected clients
Invoke-Command -ComputerName (Get-ADComputer -Filter 'Name -like "PC-BAT-B-*"' |
    Select-Object -ExpandProperty Name) -ScriptBlock {
    gpupdate /force
    # Restart the Wired AutoConfig service to re-trigger 802.1X
    Restart-Service -Name dot3svc -Force
}

Mise a jour de la strategie d'ordinateur effectuee.
Mise a jour de la strategie d'utilisateur effectuee.

Etape 6 : verifier que le profil 802.1X client fait confiance au bon CA¶

# Check the 802.1X wired policy on a client
$wiredPolicyPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\Wired\IEEE 802.1X"
if (Test-Path $wiredPolicyPath) {
    $profile = Get-ItemProperty $wiredPolicyPath
    Write-Output "802.1X Wired Policy present: Enabled = $($profile.Enabled)"
} else {
    Write-Output "No wired 802.1X policy found."
}

# Verify the intermediate CA is now in the certificate store
$subCA = Get-ChildItem Cert:\LocalMachine\CA |
    Where-Object { $_.Subject -match "Corp-SubCA-01" }
if ($subCA) {
    Write-Output "Intermediate CA present: $($subCA.Subject) (expires: $($subCA.NotAfter))"
}

802.1X Wired Policy present: Enabled = 1
Intermediate CA present: CN=Corp-SubCA-01, DC=corp, DC=local (expires: 15/03/2034 00:00:00)

Etape 7 : validation finale¶

# Monitor NPS events after the fix to confirm authentication success
Get-WinEvent -ComputerName NPS01 -FilterHashtable @{
    LogName   = "Security"
    Id        = 6272, 6273
    StartTime = (Get-Date).AddMinutes(-15)
} -MaxEvents 10 |
    Select-Object TimeCreated, Id,
        @{N="Result"; E={if ($_.Id -eq 6272) {"ACCEPT"} else {"REJECT"}}},
        @{N="User"; E={
            $xml = [xml]$_.ToXml()
            ($xml.Event.EventData.Data | Where-Object { $_.Name -eq "SubjectUserName" }).'#text'
        }} |
    Format-Table -AutoSize

TimeCreated             Id Result User
-----------             -- ------ ----
2024-03-15 15:05:12   6272 ACCEPT CORP\jdupont
2024-03-15 15:05:10   6272 ACCEPT host/PC-BAT-B-012
2024-03-15 15:04:58   6272 ACCEPT CORP\mmartin
2024-03-15 15:04:55   6272 ACCEPT host/PC-BAT-B-008

Synthese du diagnostic¶