Lệnh certreq trong Windows

Certreq có thể được sử dụng để yêu cầu chứng chỉ từ một tổ chức chứng nhận (CA), nhằm nhận được một phản hồi cho yêu cầu trước đó từ một CA, tạo một yêu cầu mới từ file .inf, chấp nhận và cài đặt phản hồi cho yêu cầu, xây dựng yêu cầu cấp quyền chéo, chứng nhận đủ điều kiện từ chứng chỉ hay yêu cầu CA hiện có và ký yêu cầu cấp quyền chứng nhận chéo hoặc đủ điều kiện.

Cảnh báo

Các phiên bản trước của certreq có thể không cung cấp tất cả các tùy chọn được mô tả trong tài liệu này. Bạn có thể thấy tất cả các tùy chọn mà một phiên bản cụ thể của certreq cung cấp bằng cách chạy các lệnh được hiển thị trong phần Ký hiệu cú pháp bên dưới.

Các động từ được sử dụng với lệnh certreq

Bảng sau mô tả các động từ có thể được sử dụng với lệnh certreq:

Ký hiệu cú pháp

Đối với cú pháp dòng lệnh cơ bản, hãy chạy:

certreq -?

Đối với cú pháp sử dụng certutil với một động từ cụ thể, hãy chạy:

certreq <verb> -?

Để gửi tất cả cú pháp certutil vào một file văn bản, hãy chạy các lệnh sau:

certreq -v -? > certreqhelp.txt

notepad certreqhelp.txt

Bảng sau mô tả ký hiệu được sử dụng để chỉ ra cú pháp dòng lệnh.

Certreq -submit

Đây là tham số certreq.exe mặc định, nếu không có tùy chọn nào được chỉ định rõ ràng tại dấu nhắc lệnh, certreq.exe sẽ cố gắng gửi yêu cầu chứng chỉ tới CA.

CertReq [-Submit] [Options] [RequestFileIn [CertFileOut [CertChainFileOut [FullResponseFileOut]]]]

Bạn phải chỉ định file yêu cầu chứng chỉ khi sử dụng tùy chọn –submit. Nếu tham số này bị bỏ qua, một cửa sổ File Open sẽ được hiển thị. Đây là nơi bạn có thể chọn file yêu cầu chứng chỉ thích hợp.

Bạn có thể sử dụng các ví dụ này làm điểm bắt đầu để tạo yêu cầu gửi chứng chỉ của mình. Để gửi yêu cầu chứng chỉ đơn giản, hãy sử dụng ví dụ bên dưới:

certreq –submit certRequest.req certnew.cer certnew.pfx

Certreq -retrieve

certreq -retrieve [Options] RequestId [CertFileOut [CertChainFileOut [FullResponseFileOut]]]

• Nếu bạn không chỉ định CAComputerName hoặc CAName trong -config, một hộp thoại CAComputerName\CANamea sẽ xuất hiện và hiển thị một danh sách tất cả các CA có sẵn.
• Nếu bạn sử dụng -config thay vì -config CAComputerName\CAName, thao tác được xử lý bằng CA mặc định.
• Bạn có thể sử dụng certreq -retrieve RequestID để lấy chứng chỉ sau khi CA đã thực sự phát hành nó. RequestIDPKC có thể là một số thập phân hoặc thập lục phân với tiền tố 0x và nó có thể là một số sê-ri chứng chỉ không có tiền tố 0x. Bạn cũng có thể sử dụng nó để truy xuất bất kỳ chứng chỉ nào đã được CA cấp, bao gồm các chứng chỉ bị thu hồi hoặc hết hạn, bất kể yêu cầu của chứng chỉ có ở trạng thái đang chờ xử lý hay không.
• Nếu bạn gửi yêu cầu tới CA, mô-đun chính sách của CA có thể để lại yêu cầu trong trạng thái đang chờ xử lý và trả lại RequestID cho người gọi Certreq. Cuối cùng, quản trị viên của CA sẽ cấp chứng chỉ hoặc từ chối yêu cầu.

Lệnh dưới đây lấy chứng chỉ id 20 và tạo file chứng chỉ (.cer):

certreq -retrieve 20 MyCertificate.cer

Certreq -new

certreq -new [Options] [PolicyFileIn [RequestFileOut]]

Vì file INF cho phép tập hợp các tham số và tùy chọn phong phú, nên khó xác định template mặc định mà quản trị viên nên sử dụng cho mọi mục đích. Do đó, phần này mô tả tất cả các tùy chọn cho phép bạn tạo một file INF phù hợp với nhu cầu cụ thể của bạn. Các từ khóa sau được sử dụng để mô tả cấu trúc file INF.

1. Section là một vùng trong file INF bao gồm một nhóm các key logic. Section luôn xuất hiện trong các dấu ngoặc ở file INF.
2. Key là tham số nằm bên trái dấu bằng.
3. Value là tham số ở bên phải dấu bằng.

Ví dụ, một file INF tối thiểu sẽ trông giống như sau:

[NewRequest] 
; At least one value must be set in this section 
Subject = "CN=W2K8-BO-DC.contoso2.com"

Sau đây là một số section có thể được thêm vào file INF. Phần này là bắt buộc đối với file INF, hoạt động như một template cho yêu cầu chứng chỉ mới. Phần này yêu cầu ít nhất một key có giá trị:

1. Subject

Định nghĩa: Một số ứng dụng dựa vào thông tin của subject trong một chứng chỉ. Do đó, bạn nên chỉ định giá trị cho key này. Nếu subject không được đặt ở đây, bạn nên đưa tên subject vào trong phần mở rộng thay thế tên cho subject của chứng chỉ.

Giá trị: Các giá trị chuỗi Relative Distinguished Name.

Ví dụ:

Subject = "CN=computer1.contoso.com" 
Subject="CN=John Smith,CN=Users,DC=Contoso,DC=com"

2. Exportable

Định nghĩa: Nếu thuộc tính này được đặt thành TRUE, private key có thể được xuất với chứng chỉ. Để đảm bảo mức bảo mật cao, không thể xuất private key. Tuy nhiên, trong một số trường hợp, private key có thể xuất được, nếu một số máy tính hoặc người dùng phải chia sẻ cùng một private key.

Giá trị: true, false

Ví dụ:

Exportable = TRUE.

Các key CNG có thể phân biệt giữa điều này và văn bản thô có thể xuất được. Còn key CAPI1 thì không thể.

3. ExportableEncrypted

Định nghĩa: Chỉ định liệu private key có nên được đặt thành có thể xuất được hay không.

Giá trị: true, false

Ví dụ:

ExportableEncrypted = true

Mẹo: Không phải tất cả các kích thước và thuật toán của các public key đều sẽ hoạt động với tất cả các thuật toán hash. Tamehe CSP được chỉ định cũng phải hỗ trợ thuật toán hash được chỉ định. Để xem danh sách các thuật toán hash được hỗ trợ, bạn có thể chạy lệnh:

certutil -oid 1 | findstr pwszCNGAlgid | findstr /v CryptOIDInfo

4. HashAlgorithm

Định nghĩa: Thuật toán Hash được sử dụng cho yêu cầu này.

Giá trị: Sha256, sha384, sha512, sha1, md5, md4, md2

Ví dụ:

HashAlgorithm = sha1

Để xem danh sách các thuật toán băm được hỗ trợ, hãy sử dụng:

certutil -oid 1 | findstr pwszCNGAlgid | findstr /v CryptOIDInfo

KeyContainer = {C347BD28-7F69-4090-AA16-BC58CF4D749C}

KeySpec = AT_KEYEXCHANGE

CERT_DIGITAL_SIGNATURE_KEY_USAGE -- 80 (128)

KeyUsage = 0xa0.
CERT_NON_REPUDIATION_KEY_USAGE -- 40 (64)
CERT_KEY_ENCIPHERMENT_KEY_USAGE -- 20 (32)
CERT_DATA_ENCIPHERMENT_KEY_USAGE -- 10 (16)
CERT_KEY_AGREEMENT_KEY_USAGE -- 8
CERT_KEY_CERT_SIGN_KEY_USAGE -- 4
CERT_OFFLINE_CRL_SIGN_KEY_USAGE -- 2
CERT_CRL_SIGN_KEY_USAGE -- 2
CERT_ENCIPHER_ONLY_KEY_USAGE -- 1
CERT_DECIPHER_ONLY_KEY_USAGE -- 8000 (32768)

KeyUsage = "CERT_DIGITAL_SIGNATURE_KEY_USAGE | 
CERT_KEY_ENCIPHERMENT_KEY_USAGE"

NCRYPT_ALLOW_DECRYPT_FLAG -- 1
NCRYPT_ALLOW_SIGNING_FLAG -- 2
NCRYPT_ALLOW_KEY_AGREEMENT_FLAG -- 4
NCRYPT_ALLOW_ALL_USAGES -- ffffff (16777215)

KeyUsageProperty = "NCRYPT_ALLOW_DECRYPT_FLAG | 
NCRYPT_ALLOW_SIGNING_FLAG"

certutil -oid 2 | findstr pwszCNGAlgid

ProviderName = "Microsoft RSA SChannel Cryptographic Provider"

RenewalCert = 4EDF274BD2919C6E9EC6A522F0F3B153E9B1582D

Requestername = "Contoso\BSmith"

PKCS10 -- 1
PKCS7 -- 2
CMC -- 3
Cert -- 4

SecurityDescriptor = "D:P(A;;GA;;;SY)(A;;GA;;;BA)"

AlternateSignatureAlgorithm = false

XCN_NCRYPT_UI_NO_PROTCTION_FLAG -- 0
XCN_NCRYPT_UI_PROTECT_KEY_FLAG -- 1
XCN_NCRYPT_UI_FORCE_HIGH_PROTECTION_FLAG -- 2

KeyProtection = NCRYPT_UI_FORCE_HIGH_PROTECTION_FLAG

Chú thích:

SubjectNameFlags cho phép file INF xác định các trường mở rộng Subject và SubjectAltName nào sẽ được tự động điền bởi certreq dựa trên người dùng hoặc thuộc tính máy hiện tại: Tên DNS, UPN, v.v... Sử dụng chữ "template" nghĩa là SubjectNameFlags được sử dụng thay thế. Điều này cho phép một file INF duy nhất được sử dụng trong nhiều ngữ cảnh, để tạo ra các yêu cầu phù hợp với từng ngữ cảnh cụ thể.

X500NameFlags chỉ định các flag được chuyển trực tiếp đến API CertStrToName khi các key Subject INF được chuyển đổi thành ASN.1 encoded Distinguished Name.

Để yêu cầu chứng chỉ thông qua việc sử dụng certreq, hãy sử dụng các bước từ ví dụ bên dưới:

Cảnh báo

Nội dung trong phần này dựa trên các thiết lập mặc định cho Windows Server 2008 AD CS. Ví dụ, đặt độ dài key thành 2048, chọn Microsoft Software Key Storage Provider (Nhà cung cấp bộ lưu trữ key phần mềm của Microsoft) làm CSP và sử dụng Secure Hash Algorithm 1 (SHA1). Hãy đánh giá các lựa chọn này dựa trên các yêu cầu của chính sách bảo mật ở công ty bạn.

Để tạo một Policy File (.inf) và lưu ví dụ bên dưới trong Notepad dưới dạng RequestConfig.inf:

[NewRequest] 
Subject = "CN=<FQDN of computer you are creating the certificate>" 
Exportable = TRUE 
KeyLength = 2048 
KeySpec = 1 
KeyUsage = 0xf0 
MachineKeySet = TRUE 
[RequestAttributes]
CertificateTemplate="WebServer"
[Extensions] 
OID = 1.3.6.1.5.5.7.3.1 
OID = 1.3.6.1.5.5.7.3.2

Trên máy tính mà bạn đang yêu cầu một loại chứng chỉ, hãy nhập lệnh dưới đây:

CertReq –New RequestConfig.inf CertRequest.req

Ví dụ sau đây minh họa việc triển khai cú pháp phần [Strings] cho các OID và các dữ liệu khó giải thích khác. Ví dụ cú pháp {text} mới cho phần mở rộng EKU, sử dụng danh sách các OID được phân cách bằng dấu phẩy:

[Version]
Signature="$Windows NT$

[Strings]
szOID_ENHANCED_KEY_USAGE = "2.5.29.37"
szOID_PKIX_KP_SERVER_AUTH = "1.3.6.1.5.5.7.3.1"
szOID_PKIX_KP_CLIENT_AUTH = "1.3.6.1.5.5.7.3.2"

[NewRequest]
Subject = "CN=TestSelfSignedCert"
Requesttype = Cert

[Extensions]
%szOID_ENHANCED_KEY_USAGE%="{text}%szOID_PKIX_KP_SERVER_AUTH%,"
_continue_ = "%szOID_PKIX_KP_CLIENT_AUTH%"

Certreq -accept

CertReq -accept [Options] [CertChainFileIn | FullResponseFileIn | CertFileIn]

Tham số –accept liên kết private key được tạo trước đó với chứng chỉ đã được phát hành và loại bỏ yêu cầu chứng chỉ đang chờ xử lý từ hệ thống yêu cầu chứng chỉ (nếu có yêu cầu phù hợp).

Bạn có thể sử dụng ví dụ này để chấp nhận chứng chỉ theo cách thủ công:

certreq -accept certnew.cer

Cảnh báo

Tham số –accept, các tùy chọn -user và –machine cho biết liệu cert có được cài đặt trong ngữ cảnh của người dùng hay máy không. Nếu có yêu cầu đặc biệt trong cả hai ngữ cảnh khớp với public key đang được cài đặt, thì các tùy chọn này là không cần thiết. Nếu không có yêu cầu đặc biệt nào, thì một trong những yêu cầu này phải được chỉ định.

Certreq -policy

certreq -policy [-attrib AttributeString] [-binary] [-cert CertID] [RequestFileIn [PolicyFileIn [RequestFileOut [PKCS10FileOut]]]]

• File cấu hình xác định các ràng buộc được áp dụng cho chứng chỉ CA khi điều khoản đủ điều kiện được định nghĩa gọi là Policy.inf.
• Nếu bạn gõ certreq -policy mà không có bất kỳ tham số bổ sung nào, nó sẽ mở một cửa sổ hộp thoại để bạn có thể chọn file được yêu cầu (req, cmc, txt, der, cer hoặc crt). Khi bạn chọn file được yêu cầu và bấm nút Open, một cửa sổ hộp thoại khác sẽ mở ra để chọn file INF.

Bạn có thể sử dụng ví dụ này để tạo yêu cầu chứng chỉ chéo:

certreq -policy Certsrv.req Policy.inf newcertsrv.req

Certreq -sign

certreq -sign [Options] [RequestFileIn [RequestFileOut]]

• Nếu bạn gõ certreq -ign mà không có bất kỳ tham số bổ sung nào, nó sẽ mở một cửa sổ hộp thoại để bạn có thể chọn file được yêu cầu (req, cmc, txt, der, cer hoặc crt).
• Việc ký yêu cầu phụ đủ điều kiện có thể yêu cầu thông tin đăng nhập của Quản trị viên doanh nghiệp. Đây là phương pháp hay nhất để cấp chứng chỉ phụ đủ điều kiện.
• Chứng chỉ sử dụng để ký yêu cầu phụ đủ điều kiện được tạo bằng template phụ đủ điều kiện. Quản trị viên doanh nghiệp sẽ phải ký yêu cầu hoặc cấp quyền người dùng cho các cá nhân sẽ ký chứng chỉ.
• Khi bạn ký yêu cầu CMC, bạn cần phải có nhiều nhân viên ký yêu cầu này, tùy thuộc vào mức độ bảo đảm được liên kết với yêu cầu phụ đủ điều kiện.
• Nếu CA gốc của CA phụ đủ điều kiện bạn đang cài đặt là ngoại tuyến, bạn phải có chứng chỉ CA cho CA phụ đủ điều kiện từ CA gốc ngoại tuyến. Nếu CA gốc đang trực tuyến, hãy chỉ định chứng chỉ CA cho CA phụ đủ điều kiện trong Certificate Services Installation Wizard (Trình hướng dẫn cài đặt dịch vụ chứng chỉ).

Trình tự các lệnh dưới đây sẽ cho thấy cách tạo yêu cầu chứng chỉ mới, ký tên và gửi nó:

certreq -new policyfile.inf MyRequest.req
certreq -sign MyRequest.req MyRequest_Sign.req
certreq -submit MyRequest_Sign.req MyRequest_cert.cer

Certreq -enroll

Để đăng ký chứng chỉ:

certreq –enroll [Options] TemplateName

Để gia hạn chứng chỉ hiện có:

certreq –enroll –cert CertId [Options] Renew [ReuseKeys]

Bạn chỉ có thể gia hạn chứng chỉ hợp lệ về thời gian. Chứng chỉ hết hạn không thể được gia hạn và phải được thay thế bằng chứng chỉ mới.

Dưới đây là ví dụ về việc gia hạn chứng chỉ bằng số sê-ri của nó:

certreq –enroll -machine –cert "61 2d 3c fe 00 00 00 00 00 05" Renew

Dưới đây là ví dụ về việc đăng ký một template chứng chỉ được gọi là WebServer bằng cách sử dụng dấu hoa thị (*) để chọn policy server qua U/I:

certreq -enroll –machine –policyserver * "WebServer"

Các tùy chọn

Các định dạng

Xem thêm:

• Lệnh diskshadow trong Windows
• Lệnh diskcopy trong Windows
• Lệnh diskcomp trong Windows