樹結(jié)構(gòu)圖

TOP 10

您現(xiàn)在的位置： > 技術(shù)沙龍 > 操作系統(tǒng) > Window > 管理和腳本撰寫工具 > 命令行參考 A-Z > C類 > Certutil

相關(guān)軟件
>Certutil　創(chuàng)建者：webmaster　更新時(shí)間：2005-10-13 21:45

Certutil.exe 是在 Windows Server 2003 家族中安裝為“證書服務(wù)”一部分的命令行程序?？墒褂?Certutil.exe 轉(zhuǎn)儲(chǔ)并顯示href="HELP=glossary.hlp TOPIC=gls_certification_authority"
name=ix_certification_authority>證書頒發(fā)機(jī)構(gòu) (CA) 配置信息、配置“證書服務(wù)”、備份和恢復(fù) CA 組件，還可驗(yàn)證證書、密鑰對(duì)和證書鏈。

有關(guān)如何使用 Certutil.exe 執(zhí)行特定任務(wù)的詳細(xì)信息，請(qǐng)參閱以下主題：

用于對(duì)證書進(jìn)行編碼和解碼的 Certutil 任務(wù)
用于配置證書頒發(fā)機(jī)構(gòu) (CA) 的 Certutil 任務(wù)
用于管理證書頒發(fā)機(jī)構(gòu) (CA) 的 Certutil 任務(wù)
用于管理證書的 Certutil 任務(wù)
用于管理 CRL 的 Certutil 任務(wù)
用于密鑰存檔和恢復(fù)的 Certutil 任務(wù)
用于備份和恢復(fù)證書的 Certutil 任務(wù)
用于對(duì)證書進(jìn)行疑難解答的 Certutil 任務(wù)

用于對(duì)證書進(jìn)行編碼和解碼的 Certutil 任務(wù)

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書編碼為一個(gè) base64 文件

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">對(duì)一個(gè) base64 編碼證書進(jìn)行解碼

語(yǔ)法

certutil -decode [-f] [-v] InFile OutFile

參數(shù)

-decode: 對(duì)一個(gè) base64 編碼文件進(jìn)行解碼。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
InFile: 指定要解碼的 base64 編碼文件。
OutFile: 指定要接收輸出的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">解碼 base64 編碼請(qǐng)求為 DER 編碼請(qǐng)求

語(yǔ)法

certutil -decode [-f] [-v] Base64Request.req DERrequest.der

參數(shù)

-decode: 對(duì)一個(gè) base64 編碼文件進(jìn)行解碼。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
Base64Request.req: 指定要解碼的 base64 編碼請(qǐng)求。
DERrequest.der: 指定要?jiǎng)?chuàng)建的 DER 編碼請(qǐng)求（與 Entrust 兼容）。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">解碼 DER 編碼請(qǐng)求為一個(gè) base64 編碼請(qǐng)求

語(yǔ)法

certutil -encode [-f] [-v] DERrequest.der Base64Request.req

參數(shù)

-encode: 將證書編碼為一個(gè) base64 文件。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
DERrequest.der: 指定要解碼的 DER 編碼請(qǐng)求（與 Entrust 兼容）。
Base64Request.req: 指定要?jiǎng)?chuàng)建的 base64 編碼請(qǐng)求。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書編碼為一個(gè)十六進(jìn)制文件

語(yǔ)法

certutil -encodehex [-f] [-v] InFile OutFile

參數(shù)

-encodehex: 將證書編碼為一個(gè)十六進(jìn)制文件。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
InFile: 指定要將其編碼為一個(gè)十六進(jìn)制文件的證書。
OutFile: 指定要?jiǎng)?chuàng)建的十六進(jìn)制文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">對(duì)一個(gè)十六進(jìn)制編碼文件進(jìn)行解碼

語(yǔ)法

certutil -decodehex [-f] [-v] InFile OutFile.der

參數(shù)

-decodehex: 對(duì)一個(gè)十六進(jìn)制編碼文件進(jìn)行解碼。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
InFile: 指定要解碼的十六進(jìn)制編碼文件。
OutFile.der: 指定要接收輸出的 DER 編碼文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

配置證書頒發(fā)機(jī)構(gòu) (CA) 的 Certutil 任務(wù)

可使用 certutil 執(zhí)行一些 CA 配置任務(wù)。

要查看特定任務(wù)的語(yǔ)法，請(qǐng)單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 屬性類型信息

語(yǔ)法

certutil -capropinfo [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-capropinfo: 顯示 CA 屬性類型信息。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 的配置字符串

語(yǔ)法

certutil -getconfig [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-getconfig: 檢索默認(rèn)配置字符串。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">為“證書服務(wù)”Web 服務(wù)器創(chuàng)建或刪除一組標(biāo)準(zhǔn)的虛擬根和文件共享

語(yǔ)法

certutil -vroot [-gmt] [-seconds] [-v] [delete]

參數(shù)

-vroot: 為“證書服務(wù)”Web 服務(wù)器創(chuàng)建虛擬根。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
delete: 刪除“證書服務(wù)”Web 服務(wù)器的虛擬根。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果沒(méi)有啟用活動(dòng)服務(wù)器頁(yè) (ASP)，則該命令啟用 ASP。
如果在安裝 IIS 之前已經(jīng)安裝了 CA Web 注冊(cè)頁(yè)，則無(wú)需創(chuàng)建虛擬根。要在安裝 IIS 后創(chuàng)建虛擬根，請(qǐng)?jiān)诿钐崾痉墟I入：

"certutil -vroot"

該命令無(wú)法安裝 Web 注冊(cè)頁(yè)。但它創(chuàng)建指向 Web 注冊(cè)頁(yè)的 IIS 虛擬根、CA 證書、href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL) 和注冊(cè)控制（即 xenroll.dll 和 scrdenrl.dll）。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 信息

語(yǔ)法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [InfoName]

參數(shù)

-cainfo

顯示 CA 信息。

-f

覆蓋現(xiàn)有的文件或表項(xiàng)。

-gmt

以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。

-seconds

顯示時(shí)間時(shí)顯示秒和毫秒。

-split

拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>

-v

指定詳細(xì)的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

InfoName

指定要顯示的 CA 信息。使用下表中的任一值。

值	描述
file	顯示有關(guān)文件版本的信息。
product	顯示產(chǎn)品版本。
exitcount	顯示退出模塊計(jì)數(shù)。
exit [Index]	顯示退出模塊描述。
policy	顯示策略模塊描述。
name	顯示 CA 名稱。
sanitizedname	顯示清潔過(guò)的 CA 名稱。
sharedfolder	顯示共享文件夾。
error1 ErrorCode	顯示本地語(yǔ)言中的錯(cuò)誤碼消息。對(duì)于 ErrorCode，請(qǐng)指定要檢索的錯(cuò)誤碼。
error2 ErrorCode	顯示本地語(yǔ)言中的錯(cuò)誤碼消息和錯(cuò)誤碼。對(duì)于 ErrorCode，請(qǐng)指定要檢索的錯(cuò)誤碼。
type	顯示 CA 類型。
info	顯示 CA 信息。
parent	顯示父 CA。
certcount	顯示 CA 證書計(jì)數(shù)。
xchgcount	顯示 CA 交換證書計(jì)數(shù)。
kracount	顯示密鑰恢復(fù)代理 (KRA) 證書的數(shù)目。
kraused	顯示正在使用的 KRA 證書的數(shù)目。
propidmax	顯示最大的 CA PropID。
certstate [Index]	顯示 CA 的證書狀態(tài)。
certstatuscode [Index]	顯示 CA 的證書驗(yàn)證狀態(tài)。
crlstate [Index]	顯示證書吊銷列表 (CRL)。
krastate [Index]	顯示 KRA 證書。
crossstate+ [Index]	正向交叉證書。
crossstate- [Index]	反向交叉證書。
cert [Index]	顯示 CA 證書。
certchain [Index]	顯示 CA 證書鏈。
certcrlchain [Index]	顯示帶有 CRL 的 CA 證書鏈。
xchg [Index]	顯示 CA 交換證書。
xchgchain [Index]	顯示 CA 交換證書鏈。
xchgcrlchain [Index]	顯示帶有 CRL 的 CA 交換證書鏈。
kra [Index]	顯示 KRA 證書。
cross+ [Index]	正向交叉證書。
cross- [Index]	反向交叉證書。
crl [Index]	顯示一個(gè)基 CRL。
deltacrl [Index]	顯示一個(gè)增量 CRL。
crlstatus [Index]	顯示 CRL 發(fā)布狀態(tài)。
deltacrlstatus [Index]	顯示增量 CRL 發(fā)布狀態(tài)。
dns	顯示 DNS 名稱。
role	顯示角色分離。
ads	顯示 Advanced Server。
templates	顯示模板。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要顯示 CA 信息，請(qǐng)鍵入：

certutil -cainfo

要顯示一個(gè) CA 證書狀態(tài)處理，請(qǐng)鍵入：

certutil -cainfo certstate

要顯示 CRL 信息，請(qǐng)鍵入：

certutil -cainfo crlstate

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">確定 CA 是否已續(xù)訂

語(yǔ)法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [certstate]

參數(shù)

-cainfo: 顯示 CA 信息。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
certstate: 返回一個(gè)包含證書狀態(tài)處理的 LONG。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
如果 CA 索引大于 0，則已經(jīng)續(xù)訂 CA 證書。命令輸出顯示索引信息。
如果任一較早 CA 證書過(guò)期且通過(guò)使用現(xiàn)有密鑰重新生成，則不為該 CA 密鑰發(fā)布 CRL。如果從未為新密鑰續(xù)訂，則將禁止 CRL 生成。如果生成和發(fā)布新 CRL，則您將無(wú)法解決該問(wèn)題，但可使用 CRL 幫助確認(rèn)條件。要強(qiáng)制生成和發(fā)布 CRL，請(qǐng)鍵入：

certutil -crl
Windows 2000 服務(wù)數(shù)據(jù)包中提供了該條件的修補(bǔ)程序。

示例

要顯示一個(gè) CA 證書狀態(tài)處理，請(qǐng)鍵入：

certutil -cainfo certstate

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">更改從 CA 中頒發(fā)的證書的有效期長(zhǎng)度

語(yǔ)法

certutil -setreg [-user] [-gmt] [-seconds] [-v] HKLM\system\currentcontrolset\services\certsvc\configuration[{\CAName | \ca}]\ValidityPeriod {"days" | "weeks" | "months" | "years"}

certutil -setreg [-user] [-gmt] [-seconds] [-v] HKLM\system\currentcontrolset\services\certsvc\configuration[{\CAName | \ca}]\ValidityPeriodUnits "UnitValue"

參數(shù)

-setreg: 設(shè)置或編輯注冊(cè)表項(xiàng)的值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
HKLM\system\currentcontrolset\services\certsvc\configuration\: 指定 ValidityPeriod 和 ValidityPeriodUnits 注冊(cè)表項(xiàng)的路徑。
CAName: 指定 CA 的名稱。
ca: 指定本地計(jì)算機(jī)上的默認(rèn) CA。
\ValidityPeriod {"days" | "weeks" | "months" | "years"}: 設(shè)置該證書有效的時(shí)間段。指定日期、星期、月份或年份。接受引號(hào)中的時(shí)間段。
\ValidityPeriodUnits "UnitValue": 為 ValidityPeriod 設(shè)置數(shù)值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊(cè)表不當(dāng)可能會(huì)嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊(cè)表之前，應(yīng)備份計(jì)算機(jī)上任何有價(jià)值的數(shù)據(jù)。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>

示例

可設(shè)置企業(yè)限定下屬 CA 具有與父 CA 不同的證書有效期。在頒發(fā)下屬 CA 證書的 CA 計(jì)算機(jī)上，鍵入以下命令以便設(shè)置有效期為三個(gè)月：

certutil -setreg ca\ValidityPeriod "months"

certutil -setreg ca\ValidityPeriodUnits "3"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">強(qiáng)制 CA 在以后的基和增量 CRL 中包括過(guò)期的證書

語(yǔ)法

certutil -setreg [-user] [-gmt] [-seconds] [-v] ca\CRLFlags +CRLF_PUBLISH_EXPIRED_CERT_CRLS

參數(shù)

-setreg: 設(shè)置或編輯注冊(cè)表項(xiàng)的值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca: 指定 CA 注冊(cè)表項(xiàng)。
CRLFlags: 指定注冊(cè)表值名稱。
CRLF_PUBLISH_EXPIRED_CERT_CRLS: 指定新數(shù)字或字符串注冊(cè)表值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>
使用該命令可驗(yàn)證已過(guò)期的加蓋時(shí)間戳的證書的吊銷狀態(tài)。
如果數(shù)字注冊(cè)表值以加號(hào) (+) 或短劃線 (-) 開頭，則在現(xiàn)有注冊(cè)表值中設(shè)置或清除新值中指定的位。
如果字符串注冊(cè)表值以加號(hào) (+) 或短劃線 (-) 開頭，且現(xiàn)有值為 REG_MULTI_SZ 值，則字符串值將從現(xiàn)有注冊(cè)表值中添加或刪除。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">配置 CA 在默認(rèn)的兩年限制后頒發(fā)證書

語(yǔ)法

certutil -setreg [-user] [-gmt] [-seconds] [-v] ca\ValidityPeriod "years"

certutil -setreg ca\ValidityPeriodUnits "2"

參數(shù)

-setreg: 設(shè)置或編輯注冊(cè)表項(xiàng)的值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca\ValidityPeriod "years": 設(shè)置該證書的有效長(zhǎng)度為年。
ca\ValidityPeriodUnits "2": 設(shè)置“年”期限值為二。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊(cè)表不當(dāng)可能會(huì)嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊(cè)表之前，應(yīng)備份計(jì)算機(jī)上任何有價(jià)值的數(shù)據(jù)。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">增加在 CA 數(shù)據(jù)庫(kù)中的會(huì)話限制

語(yǔ)法

certutil -setreg [-user] [-gmt] [-seconds] [-v] dbsessioncount 30

參數(shù)

-setreg: 設(shè)置或編輯注冊(cè)表項(xiàng)的值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
dbsessioncount 30: 指定新會(huì)話限制。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊(cè)表不當(dāng)可能會(huì)嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊(cè)表之前，應(yīng)備份計(jì)算機(jī)上任何有價(jià)值的數(shù)據(jù)。

注釋

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">禁用或還原 CA 上的可分辨的名稱長(zhǎng)度的強(qiáng)制

語(yǔ)法

certutil -setreg [-user] [-gmt] [-seconds] [-v] ca\ENFORCEX500NAMELENGTHS {0 | 1}

參數(shù)

-setreg: 設(shè)置或編輯指定的注冊(cè)表值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca\ENFORCEX500NAMELENGTHS: 指定 REG_DWORD\ENFORCEX500NAMELENGTHS 注冊(cè)表值的路徑。
{0 | 1}: 指定是否禁用（指定 0）或還原（指定 1）默認(rèn)的 REG_DWORD\ENFORCEX500NAMELENGTHS 注冊(cè)表值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>
在現(xiàn)有對(duì)象確定的情況下使用該命令，但該請(qǐng)求被證書服務(wù)器拒絕。

示例

要禁用該服務(wù)器上的組織單元長(zhǎng)度強(qiáng)制，請(qǐng)鍵入：

certutil -setreg ca\enforceX500namelengths 0

要還原默認(rèn)的 REG_DWORD\ENFORCEX500NAMELENGTHS 注冊(cè)表值，請(qǐng)鍵入：

certutil -setreg ca\enforceX500namelengths 1

用于管理“證書頒發(fā)機(jī)構(gòu) (CA)”的 Certutil 任務(wù)

您可使用 certutil 執(zhí)行一些 CA 管理任務(wù)。

要查看特定任務(wù)的語(yǔ)法，請(qǐng)單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示存儲(chǔ)在與公鑰相關(guān)的文件中的信息

語(yǔ)法

certutil -dump [-f] [-gmt] [-seconds] [-split] [-v] [-p Password] [File]

參數(shù)

-dump: 轉(zhuǎn)儲(chǔ)配置信息或文件。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-p Password: 指定一個(gè)密碼。
File: 指定要顯示的配置文件的文件名。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">當(dāng)查看 CA 數(shù)據(jù)庫(kù)信息時(shí)，限制從 CA 架構(gòu)中顯示的行

語(yǔ)法

certutil -view [-gmt] [-seconds] [-silent] [-split] [-v] [-config CAMachineName\CAName] [-restrict RestrictionList] [-out ColumnList] [-out] [RequestID]

參數(shù)

-view: 轉(zhuǎn)儲(chǔ)證書頒發(fā)機(jī)構(gòu)數(shù)據(jù)庫(kù)視圖。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-silent: 使用無(wú)聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-restrict RestrictionList: 限制從該架構(gòu)中顯示的行。指定一個(gè)以逗號(hào)分隔的限制列表。
-out ColumnList: 指定一個(gè)以逗號(hào)分隔的列表。
RequestID: 指定請(qǐng)求標(biāo)識(shí)號(hào)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要列出來(lái)自 Cacomputer1 的名為 Myentrootca 的 CA 頒發(fā)的所有證書的主題電子郵件名，請(qǐng)鍵入：

certutil -config cacomputer1\myentrootca -view -out request.email

要將顯示行限制到帶有請(qǐng)求標(biāo)識(shí)符且大于 10,000 的行，然后僅顯示來(lái)自名稱為 Myentrootca 的 CA 的請(qǐng)求處理，請(qǐng)鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid>10,000"

若僅查看最后一行，請(qǐng)鍵入：

Certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $"

若僅查看第二行到最后一行，請(qǐng)鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $ - 1"

要查看到 CA 的所有請(qǐng)求的主題電子郵件名，請(qǐng)鍵入：

certutil -view -out email

要顯示基于用戶模板的證書的數(shù)字請(qǐng)求標(biāo)識(shí)符，請(qǐng)鍵入：

certutil -view -restrict "Certificate Template=User" -out requestid

要顯示基于模板對(duì)象標(biāo)識(shí)符 1.2.3.4.5.5.6.6.6.6.5.6 的證書的數(shù)字請(qǐng)求標(biāo)識(shí)符，請(qǐng)鍵入：

certutil -view -restrict "Certificate Template=1.2.3.4.5.5.6.6.6.6.5.6" -out requestid

要顯示由 CA 頒發(fā)的未吊銷證書的所有系列號(hào)和請(qǐng)求標(biāo)識(shí)號(hào)，請(qǐng)鍵入：

certutil -view -restrict disposition==20 /out "serialnumber,requestid"

要查看為名為“我的模板”的模板做出請(qǐng)求的用戶的電子郵件，并在頒發(fā)該請(qǐng)求時(shí)還能查看，請(qǐng)鍵入：

certutil -config cacomputer1\myentrootca -view -out email -restrict "CertificateTemplate == myTemplate, Disposition == 20"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 信息

語(yǔ)法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [InfoName [{Index | ErrorCode}]]

參數(shù)

-cainfo

顯示 CA 信息。

-f

覆蓋現(xiàn)有的文件或表項(xiàng)。

-gmt

以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。

-seconds

顯示時(shí)間時(shí)顯示秒和毫秒。

-split

拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>

-v

指定詳細(xì)的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

InfoName

從下表中任一值指定要顯示的有關(guān) CA 的信息。

值	描述
file	顯示有關(guān)文件版本的信息。
product	顯示產(chǎn)品版本。
exitcount	顯示退出模塊計(jì)數(shù)。
exit [Index]	顯示退出模塊描述
policy	顯示策略模塊描述。
name	顯示 CA 名稱。
sanitizedname	顯示清潔過(guò)的 CA 名稱。
sharedfolder	顯示共享文件夾。
error1 ErrorCode	顯示本地化的錯(cuò)誤碼消息。
error2 ErrorCode	顯示本地化錯(cuò)誤碼消息和錯(cuò)誤碼。
type	顯示 CA 類型。
info	顯示 CA 信息。
parent	顯示父 CA。
certcount	顯示 CA 證書計(jì)數(shù)。
xchgcount	顯示 CA 交換證書計(jì)數(shù)。
kracount	顯示 KRA 證書計(jì)數(shù)。
kraused	顯示 KRA 的證書使用計(jì)數(shù)。
propidmax	顯示最大的 CA PropID。
certstate [Index]	顯示 CA 的證書狀態(tài)。
certstatuscode [Index]	顯示 CA 的證書驗(yàn)證狀態(tài)。
crlstate [Index]	顯示一個(gè) CRL。
krastate [Index]	顯示 KRA 證書。
crossstate+ [Index]	正向交叉證書。
crossstate- [Index]	反向交叉證書。
cert [Index]	顯示 CA 證書。
certchain [Index]	顯示 CA 證書鏈。
certcrlchain [Index]	顯示帶有 CRL 的 CA 證書鏈。
xchg [Index]	顯示 CA 交換證書。
xchgchain [Index]	顯示 CA 交換證書鏈。
xchgcrlchain [Index]	顯示帶有 CRL 的 CA 交換證書鏈。
kra [Index]	顯示 KRA 證書。
cross+ [Index]	正向交叉證書。
cross- [Index]	反向交叉證書。
crl [Index]	顯示一個(gè)基 CRL。
deltacrl [Index]	顯示一個(gè)“增量 CRL”。
crlstatus [Index]	顯示“CRL 發(fā)布狀態(tài)”。
deltacrlstatus [Index]	顯示“增量 CRL 發(fā)布狀態(tài)”。
dns	顯示 DNS 名稱。
role	顯示“角色分隔”。
ads	顯示 Advanced Server。
templates	顯示模板。

Index

驗(yàn)證來(lái)自 InfoName 表的唯一性元素。

ErrorCode

指定從錯(cuò)誤消息中檢索的錯(cuò)誤碼。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">確定 CA 是否還未續(xù)訂

語(yǔ)法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [certstate]

參數(shù)

-cainfo: 顯示 CA 信息。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
certstate: 返回一個(gè)包含證書狀態(tài)處理的 LONG。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 CA 中檢索一個(gè)模板列表

語(yǔ)法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] templates

參數(shù)

-cainfo: 顯示 CA 信息。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
templates: 指定模板 InfoName 參數(shù)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看由本地 CA 支持的模板列表

語(yǔ)法

certutil -catemplates [-user] [-ut] [-mt] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-dc DCName] [Template]

參數(shù)

-catemplates: 顯示 CA 模板。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-ut: 顯示用戶模板。
-mt: 顯示計(jì)算機(jī)模板。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
Template: 指定模板。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示標(biāo)記數(shù)據(jù)庫(kù)文件和數(shù)據(jù)庫(kù)目錄的列表。

語(yǔ)法

certutil -databaselocations [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-databaselocations: 顯示數(shù)據(jù)庫(kù)位置。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在每一行顯示十六進(jìn)制緩沖區(qū)偏移量和十六進(jìn)制類型標(biāo)記。
有關(guān)類型標(biāo)記定義的詳細(xì)信息，請(qǐng)參閱 target=_new>Microsoft Platform SDK 網(wǎng)站 (http://www.microsoft.com/) 上的“證書服務(wù)”備份 API 文檔和“certbcli.h”。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">拒絕證書請(qǐng)求

語(yǔ)法

certutil -deny [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID

參數(shù)

-deny: 拒絕掛起證書請(qǐng)求。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RequestID: 指定請(qǐng)求標(biāo)識(shí)號(hào)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
RequestID 必須是十進(jìn)制格式或以 0x 開頭的十六進(jìn)制格式。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書或 CRL 發(fā)布到 Active Directory

語(yǔ)法

certutil -dsPublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] CertFile {ntauthca | rootca | subca | crossca | kra | user | machine}

certutil -dsPublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] CRLFile [DSCDPContainer [DSCDPCN]]

參數(shù)

-dsPublish: 將新證書或 CRL 發(fā)布到 Active Directory 中的 CA 對(duì)象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
CertFile: 指定證書。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲(chǔ)。
rootca: 指定要將證書發(fā)布到根 CA 存儲(chǔ)。
subca: 指定要將證書發(fā)布到下屬 CA 存儲(chǔ)。
crossca: 指定要將證書發(fā)布到交叉證明的 CA 存儲(chǔ)。
kra: 指定要將證書發(fā)布到密鑰恢復(fù)代理存儲(chǔ)。
user: 指定要將證書發(fā)布到用戶存儲(chǔ)。
machine: 指定要將證書發(fā)布到計(jì)算機(jī)存儲(chǔ)。
CRLFile: 查看證書吊銷列表。
DSCDPContainer: 指定 Active Directory 證書吊銷列表分布點(diǎn) (CDP) 容器公用名 (CN)，通常是 CA 計(jì)算機(jī)名稱。
DSCDPCN: 指定 Active Directory 證書吊銷列表分布點(diǎn) (CDP) 對(duì)象公用名 (CN)，通?；谇鍧嵾^(guò)的 CA 簡(jiǎn)稱和密鑰檢索。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須以計(jì)算機(jī)管理員身份登錄才能完成該過(guò)程。
如果 CA 為智能卡登錄頒發(fā)證書，則將 CA 證書發(fā)布到 NTAuth 是必要的。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書添加到 NTAuth 存儲(chǔ)

語(yǔ)法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] NewCert ntauthca

參數(shù)

-dspublish: 將新證書或 CRL 發(fā)布到 Active Directory 中的 CA 對(duì)象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
NewCert: 指定要發(fā)布的證書。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲(chǔ)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須具有 Enterprise Administrator 的訪問(wèn)權(quán)限才能使用該命令。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">在 non-Microsoft CA 下服從 Microsoft CA

語(yǔ)法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] non-MicrosoftCert rootca

參數(shù)

-dspublish: 將新證書發(fā)布到 Active Directory 中的 CA 對(duì)象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
non-MicrosoftCert: 指定 non-Microsoft 證書名稱。
rootca: 指定要將證書發(fā)布到根 CA 存儲(chǔ)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須以計(jì)算機(jī)管理員身份登錄才能完成該過(guò)程。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將交叉證明發(fā)布到 Active Directory 交叉證明存儲(chǔ)

語(yǔ)法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] CrossCert crossca

參數(shù)

-dspublish: 將新證書發(fā)布到 Active Directory 中的 CA 對(duì)象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
CrossCert: 指定要發(fā)布的交叉證書文件。
crossca: 指定將該交叉證書發(fā)布到 Active Directory CA 對(duì)象中。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須以計(jì)算機(jī)管理員身份登錄才能完成該過(guò)程。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示必須分別備份的動(dòng)態(tài)文件的列表

語(yǔ)法

certutil -dynamicfilelist [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-dynamicfilelist: 顯示動(dòng)態(tài)文件列表。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
該服務(wù)器上包括證書吊銷列表 (CRL) 的本地副本。
在每一行顯示十六進(jìn)制緩沖區(qū)偏移量。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 CA 數(shù)據(jù)庫(kù)中刪除不需要的請(qǐng)求

語(yǔ)法

certutil -deleterow [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RowID Date {request | cert | attrib crl}

參數(shù)

-deleterow: 刪除 CA 數(shù)據(jù)庫(kù)中的一行。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RowID: 指定要?jiǎng)h除行的請(qǐng)求標(biāo)識(shí)符。
Date: 指定查詢的日期限制。
request: 指定請(qǐng)求表。
cert: 指定證書表。
ext: 指定證書擴(kuò)展表。
attrib: 指定屬性表。
crl: 指定證書吊銷列表 (CRL) 表。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

當(dāng)使用該命令刪除多于一行時(shí)，您必須同時(shí)是“CA 管理員”和“證書管理員”，以便完成該任務(wù)。在這種情況下，一定不能將 CA 配置為強(qiáng)制執(zhí)行角色分隔。有關(guān)基于角色管理的詳細(xì)信息，請(qǐng)參閱“相關(guān)主題”。
您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
使用 Date

您可使用 mm/dd/yyyy 00:00 日期格式，這里 00:00 必須是指定為 AM 或 PM 的標(biāo)準(zhǔn)時(shí)間。

如果沒(méi)有時(shí)間就指定 Date，則 Certutil.exe 將刪除指定日期之前頒發(fā)的所有請(qǐng)求，但無(wú)法刪除在指定日期中頒發(fā)的請(qǐng)求。

如果通過(guò) Date 刪除行，則 Certutil.exe 無(wú)法刪除 CA 證書或 CA 證書鏈行。要?jiǎng)h除 CA 證書和 CA 證書鏈行，您必須通過(guò) RowID 刪除行。

如果之后出現(xiàn) Date，則 Certutil.exe 失敗，且顯示無(wú)效的參數(shù)錯(cuò)誤。使用“-f”覆蓋無(wú)效的參數(shù)錯(cuò)誤。
您可使用該命令刪除“拒絕服務(wù)”錯(cuò)誤。

示例

要?jiǎng)h除 1/22/2001 之前最后修改的失敗且掛起的請(qǐng)求，請(qǐng)鍵入：

certutil -deleterow 1/22/2001 request

要?jiǎng)h除 1/22/2001 之前過(guò)期的所有證書，請(qǐng)鍵入：

certutil -deleterow 1/22/2001 cert

要?jiǎng)h除 RequestID 37 的證書行、屬性和擴(kuò)展，請(qǐng)鍵入：

certutil -deleterow 37

要?jiǎng)h除 1/22/2001 之前過(guò)期的 CRL，請(qǐng)鍵入：

certutil -deleterow 1/22/2001 crl

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將本地語(yǔ)言中出現(xiàn)的顯示名稱添加到證書模板

語(yǔ)法

certutil -oid [-f] [-gmt] [-seconds] [-v] "TemplateOID" LocalizedFriendlyName [LanguageID]

參數(shù)

-oid: 定義證書模板中的顯示名稱。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
"TemplateOID": 指定引號(hào)中的證書模板的對(duì)象標(biāo)識(shí)符。
LocalizedFriendlyName: 指定要將其添加到該證書模板的顯示名稱。
LanguageID: 設(shè)置指定對(duì)象的本地語(yǔ)言標(biāo)識(shí)符。LocalizedFriendlyName 在指定語(yǔ)言中出現(xiàn)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

為使更改生效，請(qǐng)重新啟動(dòng)計(jì)算機(jī)。
如果沒(méi)有指定 LanguageID，則 Certutil.exe 將使用當(dāng)前系統(tǒng)默認(rèn)的 1033。
LanguageID 是十六進(jìn)制的本地標(biāo)識(shí)符 (LCID) 值的十進(jìn)制表示形式。有關(guān) LCID 值的詳細(xì)信息，請(qǐng)參閱 id=MSUrl title=http://www.microsoft.com/
target=_new>Microsoft 網(wǎng)站上的“Table Appendix F Locale-Specific Code Page”（表附錄 F 區(qū)域設(shè)置規(guī)范代碼頁(yè)）信息。class=printOnly>(http://www.microsoft.com/)

示例

要在“繁體中文”語(yǔ)言中，其“1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268”是對(duì)象標(biāo)識(shí)號(hào) (TemplateOID) 且 CHT 是轉(zhuǎn)換成現(xiàn)有“V2 模板”的中文顯示名稱 (LocalizedFriendlyName)，創(chuàng)建模板“客戶端登錄”的本地化顯示名稱，請(qǐng)鍵入：

certutil -oid "1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268" "CHT" 1028

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

1028 是十六進(jìn)制值 0x0404 的十進(jìn)制表示形式，是“繁體中文”語(yǔ)言的 LCID。

該命令輸出看似:


  certutil -oid "1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268" CHT 1028 1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268 -- 客戶端登錄無(wú)顯示名稱 

  添加到 Active Directory 存儲(chǔ)的本地化名稱。

  0: 1028，CHT

  CertUtil: -oid 命令成功完成。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">通過(guò)序列號(hào)吊銷證書

語(yǔ)法

certutil -revoke [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] SerialNumber [Reason]

參數(shù)

-revoke

吊銷該證書。

-gmt

以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。

-seconds

顯示時(shí)間時(shí)顯示秒和毫秒。

-v

指定詳細(xì)的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

SerialNumber

指定要吊銷證書的序列號(hào)。

Reason

指定以下任一理由碼:

理由碼值	定義
0	未指定的
1	密鑰泄露
2	CA 泄露
3	隸屬關(guān)系改變
4	取代
5	停止操作
6	保持吊銷
8	從 CRL 中刪除
-1	解除吊銷

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
SerialNumber 必須是十六進(jìn)制格式而且使用偶數(shù)。單獨(dú)的一個(gè)零 (0) 可以置于一個(gè)奇數(shù)值的首位。不允許以 0x 開頭。
理由碼值 6 是可解除吊銷的唯一值。
理由碼 0 無(wú)法提供有關(guān)吊銷理由的信息。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">在掛起證書請(qǐng)求中設(shè)置屬性

語(yǔ)法

certutil -setattributes [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID AttributeString

參數(shù)

-setattributes: 為掛起請(qǐng)求設(shè)置屬性。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RequestID: 指定由請(qǐng)求標(biāo)識(shí)符標(biāo)識(shí)的請(qǐng)求。
AttributeString: 指定設(shè)置在請(qǐng)求標(biāo)識(shí)符證書的請(qǐng)求屬性字符串。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
RequestID 必須是十進(jìn)制格式（或帶有前綴 0x 的十六進(jìn)制格式）。指定的請(qǐng)求必須處于掛起的狀態(tài)。
使用“\n”分隔字符串中的多個(gè)值。
AttributeString 請(qǐng)求屬性名稱和值對(duì)。用冒號(hào)分隔名稱和值對(duì)。多個(gè)名稱和值對(duì)可通過(guò)將它們放置在新行分隔開。例如：

"CertificateTemplate:User\nEmail:User@domain.com"

每個(gè)“\n”序列轉(zhuǎn)換為一個(gè)換行符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">在證書請(qǐng)求中設(shè)置擴(kuò)展

語(yǔ)法

certutil -setextension [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID ExtensionName Flags {LongValue | DateValue | StringValue | @InFile}

參數(shù)

-setextension

為掛起請(qǐng)求設(shè)置擴(kuò)展。

-gmt

以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。

-seconds

顯示時(shí)間時(shí)顯示秒和毫秒。

-v

指定詳細(xì)的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

RequestID

指定掛起請(qǐng)求的數(shù)字請(qǐng)求標(biāo)識(shí)符。

ExtensionName

指定擴(kuò)展的 ObjectID 字符串。

Flags

指定以下任一標(biāo)志：

值	描述
0	設(shè)置該擴(kuò)展為非關(guān)鍵。
1	設(shè)置該擴(kuò)展為關(guān)鍵。

@InFileValue

指定以下任一格式接受的字符串，且字符串滿足指定條件：@InFileValue 如果該值以 @ 符號(hào)開頭，則其他標(biāo)記是包含二進(jìn)制數(shù)據(jù)或 ASCII 文本十六進(jìn)制轉(zhuǎn)儲(chǔ)的文件名。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
RequestID 必須是以 0x 開頭的十進(jìn)制格式或十六進(jìn)制格式。
如果有要添加到掛起請(qǐng)求的具有準(zhǔn)確的擴(kuò)展編碼的現(xiàn)有請(qǐng)求或證書，則您可將該請(qǐng)求或證書，還有每個(gè)擴(kuò)展的 ASCII 文本十六進(jìn)制轉(zhuǎn)儲(chǔ)，轉(zhuǎn)儲(chǔ)到一個(gè)文件。

示例

下面為非關(guān)鍵擴(kuò)展名的有效示例：

certutil -setextension 123 1.3.6.1.4.1.311.20.2 0 Subcertification authority (CA)

指定的請(qǐng)求必須處于掛起的狀態(tài)。

如果有名為 MyCert.cer 的現(xiàn)有證書，且具有要添加到掛起請(qǐng)求的準(zhǔn)確的擴(kuò)展編碼，則您可使用以下命令轉(zhuǎn)儲(chǔ)該請(qǐng)求和每個(gè)擴(kuò)展的 ASCII 文本十六進(jìn)制轉(zhuǎn)儲(chǔ)：

certutil -v mycert.cer

之后您可復(fù)制該 ASCII 文本十六進(jìn)制擴(kuò)展 1.2.3.4.5 到一個(gè)文本文件，然后將該文件命名為 Foo.txt。

要將 1.2.3.4.5 擴(kuò)展添加到具有數(shù)字請(qǐng)求標(biāo)識(shí)符 37 的掛起請(qǐng)求，請(qǐng)使用以下命令：

certutil -setextension 37 1.2.3.4.5 0 @foo.txt

要頒發(fā)該證書，請(qǐng)鍵入：

certutil -resubmit 37

要檢索頒發(fā)的證書，請(qǐng)鍵入：

certreq -retrieve 37 foo.crt foo.p7b

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">重新提交掛起證書請(qǐng)求

語(yǔ)法

certutil -resubmit [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID

參數(shù)

-resubmit: 重新提交掛起請(qǐng)求。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RequestID: 指定請(qǐng)求標(biāo)識(shí)號(hào)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
RequestID 必須是以 0x 開頭的十進(jìn)制格式或十六進(jìn)制格式。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">關(guān)閉 CA 服務(wù)器

語(yǔ)法

certutil -shutdown [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-shutdown: 關(guān)閉 CA 服務(wù)器。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證密鑰設(shè)置

語(yǔ)法

certutil -verifykeys [-gmt] [-silent] [-v] [-config CAMachineName\CAName] [KeyContainerName] [CACertFile]

參數(shù)

-verifykeys: 驗(yàn)證指定 CA 的公開密鑰和私有密鑰。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-silent: 使用無(wú)聲標(biāo)志獲得 CryptContext。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
KeyContainerName: 指定要驗(yàn)證的密鑰的密鑰容器名稱。
CACertFile: 指定包含用于驗(yàn)證數(shù)字簽名的公鑰的 CA 簽名證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果未使用參數(shù)，則 certutil -verifykeys 將根據(jù)其私鑰驗(yàn)證每個(gè)簽名 CA 證書。
您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
可僅根據(jù)本地 CA 或密鑰運(yùn)行該命令。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份 CA 證書和密鑰

語(yǔ)法

certutil -backupkey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory

參數(shù)

-backupkey: 備份“證書服務(wù)”證書和私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個(gè)密碼。
BackupDirectory: 指定備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
一個(gè) PFX 文件密碼所允許的最大長(zhǎng)度為 32 個(gè)字符。
可以用 -f 選項(xiàng)覆蓋 BackupDirectory 中的現(xiàn)有文件。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從備份目錄或 PKCS #12 (.pfx) 文件還原 CA 證書和密鑰

語(yǔ)法

certutil -restorekey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory\PFXFile

參數(shù)

-restorekey: 從指定的 BackupDirectory 或 PKCS #12 PFXFile 中還原“證書服務(wù)”證書和私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個(gè)密碼。
BackupDirectory: 指定 PFX 文件的備份位置。
PFXFile: 指定 PKCS #12 PFX 文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
一個(gè) PFX 文件密碼所允許的最大長(zhǎng)度為 32 個(gè)字符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將擴(kuò)展添加到 CA 頒發(fā)的證書

語(yǔ)法

certutil -setreg [-user] [-gmt] [-seconds] [-v] policy\enablerequestextensionlist [{0 | 1}] ExtensionOID

參數(shù)

-setreg: 設(shè)置或編輯注冊(cè)表信息。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
policy\enablerequestextensionlist+1: 設(shè)置啟用策略模塊的請(qǐng)求擴(kuò)展的列表。
ExtensionOID: 指定該擴(kuò)展的對(duì)象標(biāo)識(shí)符。
0: 將該擴(kuò)展添加到啟用策略模塊的請(qǐng)求擴(kuò)展的列表。
1: 從啟用策略模塊的請(qǐng)求擴(kuò)展的列表中刪除該擴(kuò)展。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>

用于管理證書的 Certutil 任務(wù)

可使用 certutil 執(zhí)行一些證書管理任務(wù)。

要查看特定任務(wù)的語(yǔ)法，請(qǐng)單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證證書由指定 CA 頒發(fā)

語(yǔ)法

certutil -verify [-f] [-enterprise] [-user] [-gmt] [-seconds] [-silent] [-split] [-v] CertFile [CACertFile]

參數(shù)

-verify: 驗(yàn)證該證書鏈。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊(cè)表證書存儲(chǔ)區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-silent: 使用無(wú)聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
CertFile: 指定該證書。
CACertFile: 指定包含用于驗(yàn)證數(shù)字簽名的公鑰的 CA 簽名證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

CertFile 和 CACertFile 都必須包含單一證書，而不是 href="HELP=glossary.hlp TOPIC=gls_pkcs_7" name=ix_PKCS_7>PKCS #7 證書鏈。
該命令行選項(xiàng)還驗(yàn)證 CertFile 證書是否處于吊銷狀態(tài)。如果 CertFile 不包含有關(guān)如何檢查吊銷的信息,或必要的 URL 或 CRL 不可用，則出現(xiàn)一個(gè)錯(cuò)誤。
如果沒(méi)有指定 CACertFile，則通過(guò)使用安裝在該計(jì)算機(jī)上的證書構(gòu)造 CertFile 的證書鏈，驗(yàn)證和檢查該鏈中所有證書，以便檢查它們是否被吊銷。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證證書的有效性

語(yǔ)法

certutil -isvalid [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] {SerialNumber | CertHash}

參數(shù)

-isvalid: 確定該證書是否有效。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
SerialNumber: 指定該證書的序列號(hào)。
CertHash: 指定該證書的證書哈希。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
SerialNumber 必須是偶數(shù)的十六進(jìn)制數(shù)字。單獨(dú)的一個(gè)零 (0) 可以置于一個(gè)奇數(shù)值的首位。不允許以 0x 開頭。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">安裝 CA 證書

語(yǔ)法

certutil -installcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [CACertFile]

參數(shù)

-installcert: 安裝 CA 證書。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
CACertFile: 指定包含用于驗(yàn)證數(shù)字簽名的公鑰的 CA 簽名證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
name=ix_PKCS_7>PKCS #7 證書鏈?zhǔn)?CACertFile 的首選內(nèi)容。但如果將用于形成該鏈的所有證書已安裝在本地計(jì)算機(jī)上，則接受 href="HELP=glossary.hlp TOPIC=gls_x_509v3_certificate">X.509 v3 證書。
該命令還為已產(chǎn)生申請(qǐng)、但尚未收到和安裝其 CA 證書的下級(jí) CA，完成下級(jí) CA 證書的安裝。
此命令還允許安裝請(qǐng)求續(xù)訂的 CA 證書。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">請(qǐng)求續(xù)訂的 CA 證書

語(yǔ)法

certutil -renewcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [reusekeys] RequestFile

參數(shù)

-renewcert: 續(xù)訂 CA 證書。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
reusekeys: 指定重復(fù)使用現(xiàn)有的密鑰。
RequestFile: 指定要保存該續(xù)訂請(qǐng)求的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
如果聯(lián)機(jī)的父 CA 不存在或不會(huì)立即頒發(fā)續(xù)訂 CA 證書，請(qǐng)?jiān)诖俗C書可用時(shí)使用 -installCert 命令完成續(xù)訂證書的安裝。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 HKEY_LOCAL_MACHINE 根存儲(chǔ)中刪除密鑰

語(yǔ)法

certutil -delkey [-user] [-gmt] [-seconds] [-silent] [-v] KeyContainerName [CSPName]

參數(shù)

-delkey: 從主機(jī)中刪除私鑰。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-silent: 使用無(wú)聲標(biāo)志獲得 CryptContext。
-v: 指定詳細(xì)的輸出。
KeyContainerName: 指定密鑰的容器名稱。
CSPName: 指定加密服務(wù)提供程序 (CSP)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊(cè)表不當(dāng)可能會(huì)嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊(cè)表之前，應(yīng)備份計(jì)算機(jī)上任何有價(jià)值的數(shù)據(jù)。
certutil -delkey 命令將刪除用戶或機(jī)器私鑰。刪除私鑰后，可能應(yīng)用以下任何一個(gè)方案：
- 如果以前沒(méi)有備份密鑰或?qū)⑵浯鏅n，則被刪除的密鑰將無(wú)法復(fù)原。
- 如果被刪除的密鑰被用作證書服務(wù)器簽名密鑰，則 CA 將被禁用且無(wú)法頒發(fā)新的 CRL，這將導(dǎo)致當(dāng)現(xiàn)有的 CRL 過(guò)期時(shí)，所有由 CA 頒發(fā)的證書都將失效?？芍匦伦?cè)新密鑰和證書來(lái)代替其他簽名密鑰。
- 如果被刪除的密鑰用于電子郵件加密，則過(guò)去接收到的電子郵件可能無(wú)法讀取，除非從類似“密鑰管理服務(wù) (KMS)”的密鑰管理系統(tǒng)才可恢復(fù)被刪除的密鑰。
- 如果被刪除的密鑰用于文件加密，則具有適當(dāng)憑證因而可以創(chuàng)建 Key Recovery Agent 帳戶的管理員可能需要為受影響的用戶單獨(dú)干預(yù)并解密每個(gè)文件。
- 用 - user 從 HKEY_CURRENT_USER 根存儲(chǔ)中刪除密鑰。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將 Netscape 兼容的基于 Web 的吊銷檢查擴(kuò)展添加到每個(gè)頒發(fā)的證書

語(yǔ)法

certutil -setreg [-user] [-gmt] [-seconds] [-v] Policy\RevocationType {+ | -} REVEXT_ASPENABLE

參數(shù)

-setreg: 設(shè)置或編輯注冊(cè)表項(xiàng)值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
Policy\RevocationType: 指定策略模塊和證書吊銷配置。
{+ | -}: 設(shè)置 (+) 或重置 (-) REVEXT_ASPENABLE 標(biāo)志。
REVEXT_ASPENABLE: 將該擴(kuò)展添加到由 CA 頒發(fā)的證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊(cè)表不當(dāng)可能會(huì)嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊(cè)表之前，應(yīng)備份計(jì)算機(jī)上任何有價(jià)值的數(shù)據(jù)。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索 CA 簽名證書并將其保存到一個(gè)文件

語(yǔ)法

certutil -ca.cert [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] OutCACertFile [Index]

參數(shù)

-ca.cert: 檢索 CA 簽名證書。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
OutCACertFile: 指定要寫入的 CA 文件。
Index: 指定要檢索的 CA 證書。默認(rèn)為最新的 CA。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
該證書中包含的公鑰用于驗(yàn)證 CA 頒發(fā)的證書上的數(shù)字簽名。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索 CA 簽名證書和鏈并將其保存到 PKCS #7 文件

語(yǔ)法

certutil -ca.chain [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] OutCACertChainFile [Index]

參數(shù)

-ca.chain: 檢索 CA 簽名證書和鏈。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
OutCACertChainFile: 將 CA 簽名證書寫入 href="HELP=glossary.hlp TOPIC=gls_pkcs_7" name=ix_PKCS_7>PKCS #7 文件。
Index: 指定要檢索的 CA 證書。默認(rèn)為最新的 CA。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書導(dǎo)入服務(wù)器數(shù)據(jù)庫(kù)

語(yǔ)法

certutil -importcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] CertFile

參數(shù)

-importcert: 將證書文件導(dǎo)入該數(shù)據(jù)庫(kù)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
CertFile: 指定要導(dǎo)入的證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
如果不小心將證書從數(shù)據(jù)庫(kù)中丟失（可能是由于從數(shù)據(jù)庫(kù)的不完整備份中恢復(fù)數(shù)據(jù)庫(kù)），則可用該命令行選項(xiàng)使其成為可吊銷證書。注意，該服務(wù)器必須頒發(fā)了證書。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示“本地機(jī)器”證書存儲(chǔ)區(qū)中的證書

語(yǔ)法

certutil -store [-f] [-enterprise] [-user] [-gmt] [-seconds] [-silent] [-v] [-dc DCName] CertificateStoreName [CertID [OutFile]]]

參數(shù)

-store

顯示指定href="HELP=glossary.hlp TOPIC=gls_certificate_store">證書存儲(chǔ)區(qū)中的證書。

-f

覆蓋現(xiàn)有的文件或表項(xiàng)。

-enterprise

使用本地計(jì)算機(jī)企業(yè)注冊(cè)證書存儲(chǔ)區(qū)。

-user

使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>

-gmt

以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。

-seconds

顯示時(shí)間時(shí)顯示秒和毫秒。

-silent

使用無(wú)聲標(biāo)志獲得 CryptContext。

-split

拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>

-v

指定詳細(xì)的輸出。

-dc DCName

將一個(gè)特定的域控制器作為目標(biāo)。

CertificateStoreName

指定以下任一存儲(chǔ)名稱：

值	描述
ca	在“中級(jí)證書頒發(fā)機(jī)構(gòu)”存儲(chǔ)中指定證書。
my	指定頒發(fā)到當(dāng)前用戶的證書。
root	在“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲(chǔ)中指定證書。
spc	指定軟件發(fā)行商證書。
UserCreatedStore	指定用戶創(chuàng)建的證書存儲(chǔ)區(qū)的名稱。

CertID

指定與令牌匹配的證書或href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL)。

OutFile

指定要寫入顯示的證書信息的文件。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

如果沒(méi)有指定 CertificateStoreName，則使用 CA 存儲(chǔ)區(qū)。
使用 -user 選項(xiàng)為當(dāng)前用戶而不是本地計(jì)算機(jī)顯示證書存儲(chǔ)區(qū)情況。
CertID 可以是序列號(hào)、“安全哈希算法 (SHA-1)”證書、CRL、href="HELP=glossary.hlp TOPIC=gls_ctl">證書信任列表 (CTL) 或href="HELP=glossary.hlp TOPIC=gls_public_key">公鑰哈希、數(shù)字證書索引（如 0、1 等）、數(shù)字 CRL 索引（如 .0、.1 等）、數(shù)字 CTL 索引（如 ..0、..1 等）、證書對(duì)象公用名或 CRL 頒發(fā)者公用名。其中一些可能生成多個(gè)匹配。

示例

要查看本地計(jì)算機(jī) NTAuth 存儲(chǔ)中的證書，請(qǐng)鍵入：

certutil -store -enterprise NTAuth

要查看 cert 索引 37 的本地計(jì)算機(jī)“Root”存儲(chǔ)中的證書，請(qǐng)鍵入：

certutil -store -enterprise Root 37

要查看名為“My”存儲(chǔ)中序列號(hào) 26e0aaaf000000000004 的用戶的證書，請(qǐng)鍵入：

certutil -store -user My 26e0aaaf000000000004

要查看名為 CA 的存儲(chǔ)中索引 .11 的 CRL，請(qǐng)鍵入：

certutil -store CA .11

要查看在輕型目錄訪問(wèn)協(xié)議 (LDAP) 位置“l(fā)dap:///CN=NTAuthCertificates,CN=Public Key Services,CN=Services,DC=corp,DC=MyCorp,DC=com”上的證書存儲(chǔ)區(qū)，請(qǐng)鍵入：

certutil -store ldap:///CN=NTAuthCertificates,CN=Public Key Services,CN=Services,DC=corp,DC=MyCorp,DC=com

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書或 CRL 添加到本地受信任的根 CA 存儲(chǔ)

語(yǔ)法

certutil -addstore [-f] [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] root InFile

參數(shù)

-addstore: 將證書添加到證書存儲(chǔ)區(qū)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊(cè)href="HELP=glossary.hlp TOPIC=gls_certificate_store">證書存儲(chǔ)區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
root: 指定“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲(chǔ)。
InFile: 指定證書或證書吊銷列表 (CRL) 的文件名。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看證書存儲(chǔ)區(qū)

語(yǔ)法

certutil [{-viewstore | -viewdelstore}] [-f] [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] {my | ca | root | spc} ["CertIndex" ]

參數(shù)

-viewstore: 查看證書存儲(chǔ)區(qū)中的證書。
-viewdelstore: 從該證書存儲(chǔ)區(qū)中刪除一個(gè)證書。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊(cè)證書存儲(chǔ)區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
my: 顯示頒發(fā)到本地計(jì)算機(jī)的證書。
ca: 顯示“中級(jí)證書頒發(fā)機(jī)構(gòu)”存儲(chǔ)中的證書。
root: 顯示“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲(chǔ)中的證書。
spc: 顯示軟件發(fā)行商證書。
"CertIndex": 指定與令牌匹配的證書或href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確定證書中后面是 Cert Hash(sha1): 的 CertIndex 證書哈希值，請(qǐng)進(jìn)行以下任一操作：
- 要轉(zhuǎn)儲(chǔ)包括舊證書的證書存儲(chǔ)區(qū)，請(qǐng)鍵入：
  
  certutil -store [-user] root
- 要將舊證書保存到一個(gè)文件并轉(zhuǎn)儲(chǔ)該文件，請(qǐng)鍵入：
  
  certutil file.cer
在默認(rèn)情況下，-viewstore 打開 HKLM“CA”存儲(chǔ)?？赏ㄟ^(guò)指定 -viewstore 后的 -user 或 -enterprise 覆蓋默認(rèn)，以便顯示任意用戶或企業(yè)存儲(chǔ)。
如果您無(wú)法關(guān)閉用戶接口并且使用 -viewdelstore，則可從該證書存儲(chǔ)區(qū)中刪除選中的證書。
用戶接口不支持將證書保存到文件?？蛇\(yùn)行以下語(yǔ)法顯示所有證書，選擇需要的證書，然后將其保存到一個(gè)文件：

certutil /viewstore /enterprise NTAuth *.file.cer

本地 NTAuth 存儲(chǔ)是 Active Directory NTAuth 存儲(chǔ)中最后“組策略”下載的結(jié)果。智能卡登錄使用的存儲(chǔ)使得當(dāng)對(duì)智能卡登錄失敗進(jìn)行疑難解答時(shí)，查看該存儲(chǔ)是有用的。

示例

要打開和查看當(dāng)前計(jì)算機(jī)的本地 NTAuth 存儲(chǔ)，請(qǐng)鍵入：

certutil -viewstore -enterprise NTAuth

要?jiǎng)h除證書，請(qǐng)鍵入：

certutil -delstore -enterprise NTAuth "CertIndex"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證存儲(chǔ)中的所有證書

語(yǔ)法

certutil -verifystore [-enterprise] [-user] [-gmt] [-seconds] [-split] [-v] [-dc DCName] CertificateStoreName [CertID]

參數(shù)

-verifystore: 驗(yàn)證存儲(chǔ)中的證書。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊(cè)證書存儲(chǔ)區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
CertificateStoreName: 指定證書存儲(chǔ)區(qū)名。
CertID: 指定與令牌匹配的證書或href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

該命令與 -store 相似。
該命令驗(yàn)證相關(guān)私鑰（即如果它們存在），并通過(guò)以下方法驗(yàn)證每份證書：從已安裝的 CA 和根證書建立鏈并驗(yàn)證鏈中的所有證書，以確保它們?nèi)匀挥行Р⑶疑形吹蹁N。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 HKEY_LOCAL_MACHINE 根存儲(chǔ)中刪除證書

語(yǔ)法

certutil -delstore [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] root CertIndex

參數(shù)

-delstore: 從指定存儲(chǔ)刪除一個(gè)證書。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊(cè)證書存儲(chǔ)區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
root: 指定根證書存儲(chǔ)區(qū)。
CertIndex: 指定哈希值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確定在證書中后面是 Cert Hash(sha1): 的 CertIndex 證書哈希值，請(qǐng)進(jìn)行以下任一操作：
- 要轉(zhuǎn)儲(chǔ)包括舊證書的證書存儲(chǔ)區(qū)，請(qǐng)鍵入：
  
  certutil -store [-user] root
- 要將舊證書保存到一個(gè)文件并轉(zhuǎn)儲(chǔ)該文件，請(qǐng)鍵入：
  
  certutil file.cer

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 HKEY_CURRENT_USER 根存儲(chǔ)中刪除一個(gè)證書

語(yǔ)法

certutil -delstore [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] root -user CertIndex

參數(shù)

-delstore: 從指定存儲(chǔ)刪除一個(gè)證書。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊(cè)證書存儲(chǔ)區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)指定的域控制器作為目標(biāo)。
root: 指定根證書存儲(chǔ)區(qū)。
-user: 指定 HKEY_CURRENT_USER 證書存儲(chǔ)區(qū)。
CertIndex: 指定該哈希值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確定該證書中后面是 Cert Hash(sha1): 的 CertIndex 證書哈希值，請(qǐng)進(jìn)行以下任一操作：
- 要轉(zhuǎn)儲(chǔ)包括舊證書的證書存儲(chǔ)區(qū)，請(qǐng)鍵入：
  
  certutil -store [-user] root
- 要將舊證書保存到一個(gè)文件并轉(zhuǎn)儲(chǔ)該文件，請(qǐng)鍵入：
  
  certutil file.cer
Certutil -delstore 僅在刪除證書和 CRL 時(shí)有效。必須使用 -delkey 刪除密鑰。

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告
- certutil -delkey 命令將刪除用戶或機(jī)器私鑰。刪除完畢后，可能應(yīng)用下列任何一種方案：
  - 如果以前沒(méi)有備份密鑰或?qū)⑵浯鏅n，則被刪除的密鑰將無(wú)法復(fù)原。
  - 如果被刪除的密鑰用于證書服務(wù)器簽名密鑰，則 CA 將被禁用且無(wú)法頒發(fā)新的 CRL，這將導(dǎo)致當(dāng)現(xiàn)有的 CRL 過(guò)期時(shí)，所有由 CA 頒發(fā)的證書都將失效。可重新注冊(cè)新密鑰和證書來(lái)代替其他簽名密鑰。
  - 如果被刪除的密鑰用于電子郵件加密，則過(guò)去接收到的電子郵件可能無(wú)法讀取，除非從類似“密鑰管理服務(wù) (KMS)”的密鑰管理系統(tǒng)才可以恢復(fù)被刪除的密鑰。
  - 如果被刪除的密鑰用于文件加密，則具有適當(dāng)憑證因而可以創(chuàng)建 Key Recovery Agent 帳戶的管理員可能需要為受影響的用戶單獨(dú)干預(yù)并解密每個(gè)文件。
  - 用 - user 從 HKEY_CURRENT_USER 根存儲(chǔ)中刪除密鑰。

示例

要?jiǎng)h除根存儲(chǔ)的第五個(gè)證書，請(qǐng)鍵入：

certutil -delstore root 5

用于管理 CRL 的 Certutil 任務(wù)

可以使用 certutil 來(lái)查看、生成以及配置證書頒發(fā)機(jī)構(gòu)的證書吊銷列表 (CRL) 信息。

要查看特定任務(wù)的語(yǔ)法，請(qǐng)單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索 CRL

語(yǔ)法

certutil -getcrl [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] OutFile [Index] [delta]

參數(shù)

-getcrl: 檢索證書吊銷列表 (CRL)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
OutFile: 指定要接收輸出的文件。
Index: 指定索引標(biāo)識(shí)號(hào)。
delta: 檢索增量 CRL。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要執(zhí)行該過(guò)程，您必須是本地計(jì)算機(jī)上 Administrators 組的成員，或者已被授予適當(dāng)?shù)臋?quán)限。如果沒(méi)有適當(dāng)?shù)臋?quán)限，可以使用 -cainfo 來(lái)檢索 CRL。
您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要檢索最近發(fā)布的基 CRL，MyMostRecentCRL.crl，請(qǐng)鍵入：

certutil -getcrl MyMostRecentCRL.crl

要檢索第三個(gè) CRL，MyThirdCRL.crl，請(qǐng)鍵入：

certutil -getcrl MyThirdCRL.crl 3

要檢索最近發(fā)布的增量 CRL，MyMostRecentDelta.crl，請(qǐng)鍵入：

certutil -getcrl MyMostRecentDelta.crl delta

要檢索第五個(gè)增量 CRL，MyFifthDelta.crl，請(qǐng)鍵入：

certutil -getcrl MyFifthDelta.crl 5 delta

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">發(fā)布當(dāng)前 CRL

語(yǔ)法

certutil -crl [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [DD:HH] [delta]

參數(shù)

-crl: 發(fā)布新證書吊銷列表 (CRL)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
DD:HH: 指定以天和小時(shí)為單位的 CRL 生存期。
delta: 僅發(fā)布增量 CRL。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
CRL 被寫入由 OutFileResult 指定的文件中，否則，如果使用減號(hào)，就會(huì)寫入到默認(rèn)的 Web 位置。
到期時(shí)間設(shè)為從發(fā)布時(shí)間起一天零一小時(shí)，以方便安排每天的發(fā)布時(shí)間表。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書或 CRL 發(fā)布到 Active Directory

語(yǔ)法

certutil -dsPublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] [{CertFile | CRL}] [{ntauthca | rootca | subca | crossca | kra | user | machine}]

參數(shù)

-dsPublish: 將新證書發(fā)布到 Active Directory 中的 CA 對(duì)象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
CertFile: 指定要使用的證書。
CRL: 指定要使用的證書吊銷列表。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲(chǔ)區(qū)。
rootca: 指定要將證書發(fā)布到根 CA 存儲(chǔ)。
subca: 指定要將證書發(fā)布到從屬 CA 存儲(chǔ)區(qū)。
crossca: 指定要將證書發(fā)布到交叉驗(yàn)證 CA 存儲(chǔ)區(qū)。
kra: 指定要將證書發(fā)布到密鑰恢復(fù)代理存儲(chǔ)區(qū)。
用戶: 指定要將證書發(fā)布到用戶存儲(chǔ)區(qū)。
machine: 指定要將證書發(fā)布到計(jì)算機(jī)存儲(chǔ)區(qū)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果 CA 為智能卡登錄頒發(fā)證書，必須將證書發(fā)布到 NTAuth 存儲(chǔ)區(qū)。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書添加到 NTAuth 存儲(chǔ)

語(yǔ)法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] NewCert ntauthca

參數(shù)

-dspublish: 將新證書或證書吊銷列表 (CRL) 發(fā)布到 Active Directory 中的 CA 對(duì)象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個(gè)特定的域控制器作為目標(biāo)。
NewCert: 指定要發(fā)布的證書。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲(chǔ)區(qū)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須具有 Enterprise Administrator 的訪問(wèn)權(quán)限才能使用該命令。

用于密鑰存檔和恢復(fù)的 Certutil 任務(wù)

可以使用 certutil 來(lái)檢索和恢復(fù)存檔的密鑰。

要查看特定任務(wù)的語(yǔ)法，請(qǐng)單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索存檔的私鑰恢復(fù)點(diǎn)

語(yǔ)法

certutil -getkey [-f] [-gmt] [-seconds] [-v] SearchToken [RecoveryBlobOutFile]

參數(shù)

-getkey: 檢索存檔的私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
SearchToken: 指定要恢復(fù)的密鑰和證書。
RecoveryBlobOutFile: 指定包含一個(gè)證書鏈和一個(gè)相應(yīng)私鑰的輸出文件。該私鑰仍然加密成一個(gè)或多個(gè)密鑰恢復(fù)代理 (KRA) 證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

SearchToken 可以是證書公用名、證書序列號(hào)、證書安全哈希算法 (SHA-1) 哈希、申請(qǐng)人名稱（即，域\用戶）或者用戶主體名稱 (UPN)（即，域@用戶）。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">恢復(fù)存檔的私鑰

語(yǔ)法

certutil -recoverkey [-f] [-user] [-gmt] [-seconds] [-split] [-v] [-p Password] RecoveryBlobInFile [PFXOutFile] [RecipientIndex]]

參數(shù)

-recoverkey: 恢復(fù)存檔的私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-p Password: 指定一個(gè)密碼。
RecoveryBlobInFile: 指定包含從 CA 檢索到的恢復(fù)點(diǎn)的輸入文件。
PFXOutFile: 指定用于保存恢復(fù)密鑰及其相關(guān)的 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 證書的文件。
Password: 加密 PFXOutFile 并提供密碼。
RecipientIndex: 指定密鑰恢復(fù)代理 (KRA) 證書的索引，用于解密私鑰點(diǎn)。如果不指定該參數(shù)，certutil 將嘗試所有的 KRA 證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

用于備份和恢復(fù)證書的 Certutil 任務(wù)

為了提供服務(wù)，證書頒發(fā)機(jī)構(gòu)應(yīng)該定期備份，并且在必要時(shí)，能夠恢復(fù)?？梢允褂?certutil 來(lái)執(zhí)行這些任務(wù)。

要查看特定任務(wù)的語(yǔ)法，請(qǐng)單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份證書服務(wù)

語(yǔ)法

certutil -backup [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory [incremental] [keeplog]

參數(shù)

-backup: 備份證書服務(wù)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個(gè)密碼。
BackupDirectory: 指定備份目錄。
incremental: 執(zhí)行增量備份而非完全備份。
keeplog: 保留數(shù)據(jù)庫(kù)日志文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長(zhǎng)度是 32 個(gè)字符。
如果未指定 keeplog，則 certutil -backup 會(huì)將這些數(shù)據(jù)庫(kù)日志文件合并到一個(gè)單獨(dú)的日志文件中，只有成功完成 -backup 后，才保留此日志文件。
如果未指定 incremental，certutil -backup 將執(zhí)行完全備份。
可以用 -f 選項(xiàng)覆蓋 BackupDirectory 中的現(xiàn)有文件。

示例

要為名為 EnterpriseCA 的 CA 備份密鑰和證書，請(qǐng)鍵入：

certutil –p p@ssw23 f:\Backup2\EnterpriseCA

certutil -p p@ssw23 f:\Backup2\EnterpriseCA incremental

certutil -p p@ssw23 f:\Backup2\EnterpriseCA keeplog

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份 CA 數(shù)據(jù)庫(kù)

語(yǔ)法

certutil -backupdb [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] BackupDirectory [[incremental] [keeplog]]

參數(shù)

-backupdb: 備份證書服務(wù)數(shù)據(jù)庫(kù)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
BackupDirectory: 指定備份目錄。
incremental: 執(zhí)行增量備份而非完全備份。
keeplog: 保留數(shù)據(jù)庫(kù)日志文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
可以在本地或遠(yuǎn)程運(yùn)行該命令。服務(wù)器和 CA 必須正在運(yùn)行。通常，管理員使用該命令執(zhí)行間歇的完全備份，其間是頻繁的增量備份。每個(gè)備份都必須建成一個(gè)獨(dú)立的目錄樹。要正確恢復(fù)數(shù)據(jù)庫(kù)，需要從最新的完全備份至今的所有備份。
如果未指定 keeplog，則 certutil -backup 會(huì)將這些數(shù)據(jù)庫(kù)日志文件合并到一個(gè)單獨(dú)的日志文件中，只有成功完成 -backup 后，才保留此日志文件。
如果未指定 incremental，certutil -backup 將執(zhí)行完全備份。
可以用 -f 選項(xiàng)覆蓋 BackupDirectory 中的現(xiàn)有文件。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份 CA 證書和密鑰

語(yǔ)法

certutil -backupkey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory

參數(shù)

-backupkey: 備份“證書服務(wù)”證書和私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個(gè)密碼。
BackupDirectory: 指定備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長(zhǎng)度是 32 個(gè)字符。
可以用 -f 選項(xiàng)覆蓋 BackupDirectory 中的現(xiàn)有文件。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">恢復(fù) CA 數(shù)據(jù)庫(kù)、證書以及密鑰

語(yǔ)法

certutil -restore [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory

參數(shù)

-restore: 從指定的 BackupDirectory 中恢復(fù) CA 數(shù)據(jù)庫(kù)、證書以及密鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個(gè)密碼。
BackupDirectory: 指定用于恢復(fù) CA 數(shù)據(jù)庫(kù)、證書以及密鑰的備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長(zhǎng)度是 32 個(gè)字符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">恢復(fù) CA 數(shù)據(jù)庫(kù)

語(yǔ)法

certutil -restoredb [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] BackupDirectory

參數(shù)

-restoredb: 從指定的 BackupDirectory 恢復(fù) CA 數(shù)據(jù)庫(kù)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
BackupDirectory: 指定用于恢復(fù) CA 數(shù)據(jù)庫(kù)的備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
此時(shí)，CA 服務(wù)器不能正在運(yùn)行。可以在本地或遠(yuǎn)程運(yùn)行該命令。
要恢復(fù)一個(gè)完全備份和多個(gè)增量備份，必須先恢復(fù)完全備份，然后以任意順序恢復(fù)后續(xù)的所有增量備份。要用完全恢復(fù)后的文件覆蓋現(xiàn)有的服務(wù)器數(shù)據(jù)庫(kù)文件，可以使用 -f 選項(xiàng)。在所有的備份恢復(fù)完之前，不要啟動(dòng)服務(wù)器。
當(dāng)啟動(dòng) CA 服務(wù)器時(shí)，同時(shí)也啟動(dòng)了數(shù)據(jù)庫(kù)恢復(fù)。如果成功啟動(dòng) CA 服務(wù)器（如同應(yīng)用程序事件日志記錄的那樣），這說(shuō)明恢復(fù)完全成功。如果運(yùn)行 -restore 以后，服務(wù)器啟動(dòng)失敗，您會(huì)收到一個(gè)錯(cuò)誤代碼。有關(guān)如果 -restore 失敗的詳細(xì)信息，也可以查看 RESTOREINPROGRESS 注冊(cè)表項(xiàng)。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從備份目錄或 PKCS #12 (.pfx) 文件恢復(fù) CA 證書和密鑰

語(yǔ)法

certutil -restorekey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory|PFXFile

參數(shù)

-restorekey: 從指定的 BackupDirectory 或 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 PFXFile 恢復(fù)證書服務(wù)證書和私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個(gè)密碼。
BackupDirectory: 指定 PKCS #12 PFX 文件的備份位置。
PFXFile: 指定 PKCS #12 PFX 文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長(zhǎng)度是 32 個(gè)字符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">轉(zhuǎn)儲(chǔ) CA 數(shù)據(jù)庫(kù)架構(gòu)，如列的名稱、類型和最大大小

語(yǔ)法

certutil -schema [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [{ext | attib | crl}]

參數(shù)

-schema: 轉(zhuǎn)儲(chǔ) CA 數(shù)據(jù)庫(kù)href="HELP=glossary.hlp TOPIC=gls_schema">架構(gòu)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
ext: 顯示 Ext 表的架構(gòu)。
attib: 顯示 Attib 表的架構(gòu)。
crl: 顯示證書吊銷列表 (CRL) 的架構(gòu)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要查看 CA 數(shù)據(jù)庫(kù)的架構(gòu)，請(qǐng)鍵入：

certutil -schema

用于對(duì)證書進(jìn)行疑難解答的 Certutil 任務(wù)

Certutil 是解決證書頒發(fā)機(jī)構(gòu)疑難問(wèn)題的有力工具?？梢允褂?certutil 進(jìn)行疑難解答。

要查看特定任務(wù)的語(yǔ)法，請(qǐng)單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示存儲(chǔ)在與公鑰相關(guān)的文件中的信息

語(yǔ)法

certutil -dump [-f] [-gmt] [-seconds] [-split] [-v] [-p Password] [FileName]

參數(shù)

-dump: 轉(zhuǎn)儲(chǔ)配置信息或文件。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-p Password: 指定一個(gè)密碼。
FileName: 指定要顯示的配置文件的文件名。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看 CA 數(shù)據(jù)庫(kù)信息以及限制顯示的 CA 架構(gòu)信息

語(yǔ)法

certutil -view [-gmt] [-seconds] [-silent] [-split] [-v] [-config CAMachineName\CAName] [-restrict RestrictionList] [-out ColumnList] [RequestID]

參數(shù)

-view: 轉(zhuǎn)儲(chǔ)證書頒發(fā)機(jī)構(gòu)數(shù)據(jù)庫(kù)視圖。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-silent: 使用無(wú)聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-restrict RestrictionList: 限制文件的行，該文件由 RestrictionList 指定，是一個(gè)包含逗號(hào)分隔列表的文本文件。
-out ColumnList: 指定文件的列，該文件由 ColumnList 指定，是一個(gè)包含逗號(hào)分隔列表的文本文件。
RequestID: 指定請(qǐng)求標(biāo)識(shí)號(hào)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
如果使用時(shí)不帶參數(shù)，certutil 將顯示 CA 配置字符串列表。

示例

要列出由位于 Cacomputer1 且名稱為 Myentrootca 的 CA 發(fā)布的所有證書的電子郵件的主題名稱，請(qǐng)鍵入：

certutil -config cacomputer1\myentrootca -view -out request.email

要將顯示行限制到帶有請(qǐng)求標(biāo)識(shí)符且大于 10,000 的行，然后僅顯示來(lái)自名稱為 Myentrootca 的 CA 的請(qǐng)求處理，請(qǐng)鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid>10,000"

若僅查看最后一行，請(qǐng)鍵入：

Certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $"

若僅查看第二行到最后一行，請(qǐng)鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $ - 1"

要查看所有對(duì)某個(gè) CA 發(fā)出請(qǐng)求的電子郵件的主題名稱，請(qǐng)鍵入：

certutil -view -out email

要顯示基于用戶模板的證書的數(shù)字請(qǐng)求標(biāo)識(shí)符，請(qǐng)鍵入：

certutil -view -restrict "Certificate Template=User" -out requestid

要顯示基于模板對(duì)象標(biāo)識(shí)符 1.2.3.4.5.5.6.6.6.6.5.6 的證書的數(shù)字請(qǐng)求標(biāo)識(shí)符，請(qǐng)鍵入：

certutil -view -restrict "Certificate Template=1.2.3.4.5.5.6.6.6.6.5.6" -out requestid

要顯示由 CA 頒發(fā)的未吊銷證書的所有系列號(hào)和請(qǐng)求標(biāo)識(shí)符號(hào)碼，請(qǐng)鍵入：

certutil -view -restrict disposition==20 /out "serialnumber,requestid"

要查看對(duì)模板 MyTemplate 發(fā)出請(qǐng)求的用戶的電子郵件以及發(fā)出該請(qǐng)求的時(shí)間，請(qǐng)鍵入：

certutil -config cacomputer1\myentrootca -view -out email -restrict "CertificateTemplate == myTemplate, Disposition == 20"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">轉(zhuǎn)儲(chǔ)數(shù)據(jù)庫(kù)中證書的序列號(hào)

語(yǔ)法

參數(shù)

-view: 轉(zhuǎn)儲(chǔ)證書頒發(fā)機(jī)構(gòu)數(shù)據(jù)庫(kù)視圖。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-silent: 使用無(wú)聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-restrict RestrictionList: 限制文件的行，該文件由 RestrictionList 指定，是一個(gè)包含逗號(hào)分隔列表的文本文件。
-out ColumnList: 指定文件的列，該文件由 ColumnList 指定，是一個(gè)包含逗號(hào)分隔列表的文本文件。
disposition==20: 指定 DB_DISP_ISSUED。
disposition==21: 指定 DB_DISP_REVOKED。
"serialnumber,requestid": 指定要顯示所有序列號(hào)和請(qǐng)求標(biāo)識(shí)符號(hào)碼。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要顯示由 CA 頒發(fā)的未吊銷證書的所有系列號(hào)和請(qǐng)求標(biāo)識(shí)符號(hào)碼，請(qǐng)鍵入：

certutil -view -restrict disposition==20 /out "serialnumber,requestid"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 注冊(cè)表設(shè)置

語(yǔ)法

certutil -getreg [-user] [-gmt] [-seconds] [-v] [{ca | restore | policy | exit |template}] [\ProgID] \RegistryValueName

參數(shù)

-getreg: 顯示注冊(cè)表信息。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca: 指定 CA 注冊(cè)表項(xiàng)。
restore: 指定 RESTORE 注冊(cè)表項(xiàng)。
policy: 指定 POLICYMODULE 注冊(cè)表項(xiàng)。
exit: 指定 EXITMODE 注冊(cè)表項(xiàng)。
template: 指定 TEMPLATE 注冊(cè)表項(xiàng)。
\ProgID: 指定策略或退出模塊的注冊(cè)表子項(xiàng)名稱。
\RegistryValueName: 指定注冊(cè)表項(xiàng)中的特定值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

Restore 僅在恢復(fù)模式下可用。
如果未指定 ProgID，certutil -getreg 將使用默認(rèn)的策略模塊 CertificateAuthority_MicrosoftDefault.Policy。

示例

要顯示有關(guān)處于活動(dòng)狀態(tài)的 CA 的信息，請(qǐng)鍵入：

certutil -getreg Active

要顯示 CA 的通用名稱，請(qǐng)鍵入：

certutil -getreg ca\CommonName

要顯示有關(guān)策略模塊采取何種部署操作的信息，請(qǐng)鍵入：

certutil -getreg Policy\RequestDisposition

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">設(shè)置 CA 注冊(cè)表，當(dāng)請(qǐng)求到達(dá)時(shí)，執(zhí)行特定操作

語(yǔ)法

certutil -setreg [-user] [-gmt] [-seconds] [-v] policy\requestdisposition [{0 | 1 | 2 | 3}]

參數(shù)

-setreg

設(shè)置或編輯注冊(cè)表項(xiàng)的值。

-user

使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>

-gmt

以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。

-seconds

顯示時(shí)間時(shí)顯示秒和毫秒。

-v

指定詳細(xì)的輸出。

policy\requestdisposition

指定策略模塊和部署請(qǐng)求 ID。

{0 | 1 | 2 | 3}

為掛起的請(qǐng)求添加一個(gè)由下表所描述的值指定的操作。

值	描述
0	將傳入的請(qǐng)求設(shè)置為掛起狀態(tài)。
1	發(fā)布傳入的請(qǐng)求。
2	拒絕傳入的請(qǐng)求。
3	根據(jù)傳入請(qǐng)求的部署請(qǐng)求屬性進(jìn)行操作。

-?

顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊(cè)表不當(dāng)可能會(huì)嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊(cè)表之前，應(yīng)備份計(jì)算機(jī)上任何有價(jià)值的數(shù)據(jù)。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">設(shè)置 CA 注冊(cè)表

語(yǔ)法

certutil -setreg [-user] [-gmt] [-seconds] [-v] [{ca | restore | policy | exit | template} [\ProgID]\RegistryValueName

參數(shù)

-setreg: 設(shè)置或編輯注冊(cè)表信息。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca: 指定 CA 注冊(cè)表項(xiàng)。
restore: 指定 RESTORE 注冊(cè)表項(xiàng)。
policy: 指定 POLICYMODULE 注冊(cè)表項(xiàng)。
exit: 指定 EXITMODE 注冊(cè)表項(xiàng)。
\ProgID: 指定策略或退出模塊的注冊(cè)表子項(xiàng)名稱。
\RegistryValueName: 指定注冊(cè)表項(xiàng)中的特定值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊(cè)表不當(dāng)可能會(huì)嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊(cè)表之前，應(yīng)備份計(jì)算機(jī)上任何有價(jià)值的數(shù)據(jù)。

注釋

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>
Restore 僅在恢復(fù)模式下運(yùn)行 certutil 時(shí)才可用。
如果未指定 ProgID，certutil -getreg 將使用默認(rèn)的策略模塊 CertificateAuthority_MicrosoftDefault.Policy。
可以使用 -setreg 來(lái)修改 DWORD 注冊(cè)表的特定標(biāo)記。

示例

要設(shè)置請(qǐng)求部署為 1，請(qǐng)鍵入：

certutil /setreg policy\requestdisposition 1

要設(shè)置 DWORD 注冊(cè)表的 policy\RevocationType 中的第九位，請(qǐng)鍵入：

certutil -setreg policy\revocationtype +0x100

要重新設(shè)置 DWORD 注冊(cè)表的 policy\RevocationType 中的第九位，請(qǐng)鍵入：

certutil -setreg Policy\RevocationType -0x100

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">刪除注冊(cè)表值

語(yǔ)法

certutil -delreg [-user] [-gmt] [-seconds] [-v] [{ca | restore | policy | exit | template} [\ProgID] \RegistryValueName

參數(shù)

-delreg: 刪除注冊(cè)表值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca: 指定 CA 注冊(cè)表項(xiàng)。
restore: 指定 RESTORE 注冊(cè)表項(xiàng)。
policy: 指定 POLICYMODULE 注冊(cè)表項(xiàng)。
exit: 指定 EXITMODE 注冊(cè)表項(xiàng)。
template: 指定 TEMPLATE 注冊(cè)表項(xiàng)。
\ProgID: 指定策略或退出模塊的注冊(cè)表子項(xiàng)名稱。
\RegistryValueName: 指定任意 CA 的注冊(cè)表值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

若要使更改生效，您必須重新啟動(dòng)證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動(dòng)“證書服務(wù)”的詳細(xì)信息，請(qǐng)參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動(dòng)、停止、暫停、繼續(xù)或重新啟動(dòng)服務(wù)。class=anything id=certsrvbounce>
Restore 僅在備份和恢復(fù)模式下可用。
如果未指定 ProgID，certutil -getreg 將使用默認(rèn)的策略模塊 CertificateAuthority_MicrosoftDefault.Policy。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">用本地語(yǔ)言顯示錯(cuò)誤代碼的錯(cuò)誤信息文本

語(yǔ)法

certutil -error ErrorCode

參數(shù)

-error: 用本地語(yǔ)言顯示錯(cuò)誤信息文本，該語(yǔ)言由 Locale 注冊(cè)表項(xiàng)指定。
ErrorCode: 指定要用本地語(yǔ)言查看的錯(cuò)誤代碼。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

ErrorCode 可以是有符號(hào)或無(wú)符號(hào)的十進(jìn)制格式，也可以是帶有前綴 0x 的十六進(jìn)制格式。
可以使用該命令將從“證書頒發(fā)機(jī)構(gòu)”管理單元獲得的錯(cuò)誤解碼。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證服務(wù)器正在運(yùn)行（ICertRequest 接口）

語(yǔ)法

certutil -ping [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-ping: Ping 證書服務(wù)的 ICertRequest 接口。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證服務(wù)器正在在運(yùn)行（ICertAdmin 接口）

語(yǔ)法

certutil -pingadmin [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-pingadmin: Ping 證書服務(wù)的 ICertAdmin 接口。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
要確定是否成功完成該命令，請(qǐng)確保該用戶對(duì)服務(wù)器有管理訪問(wèn)權(quán)限。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">通過(guò)文件生成并顯示加密哈希

語(yǔ)法

certutil -hashfile [-gmt] [-seconds] [-v] InFile

參數(shù)

-hashfile: 通過(guò)文件生成并顯示加密哈希。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
InFile: 指定要顯示哈希的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">轉(zhuǎn)儲(chǔ) CA 數(shù)據(jù)庫(kù)架構(gòu)

語(yǔ)法

certutil -schema [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [{Ext | Attib | CRL}]

參數(shù)

-config ConfigString: 使用配置字符串（即，ConfigString）指定的 CA 執(zhí)行該操作。如果不指定此選項(xiàng)，則由默認(rèn) CA 處理該請(qǐng)求。
-schema: 轉(zhuǎn)儲(chǔ) CA 數(shù)據(jù)庫(kù)架構(gòu)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
Ext: 顯示 Ext 表的架構(gòu)。
Attib: 顯示 Attib 表的架構(gòu)。
CRL: 顯示證書吊銷列表 (CRL) 的架構(gòu)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對(duì)話框?qū)?huì)出現(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要查看 CA 數(shù)據(jù)庫(kù)的架構(gòu)，請(qǐng)鍵入：

certutil -schema

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示當(dāng)前用戶可用的所有密鑰容器名稱。

語(yǔ)法

certutil -key [-user] [-gmt] [-seconds] [-silent] [-v] [CSPName] [*]

參數(shù)

-key: 顯示本地計(jì)算機(jī)的密鑰容器。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-silent: 使用無(wú)聲標(biāo)志獲得 CryptContext。
-v: 指定詳細(xì)的輸出。
CSPName: 指定要顯示的密鑰容器的加密服務(wù)提供程序 (CSP)。
*: 指定所有 CSP 的密鑰容器。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

RSA 是 Windows Server 2003 家族默認(rèn)的 CSP。要指定替代的 CSP 提供程序，可以使用 CSPName 命令行選項(xiàng)。有關(guān) RSA 的詳細(xì)信息，請(qǐng)參閱 target=_new>RSA Labs 網(wǎng)站。href="MS-ITS:C:\WINDOWS\Help\uadef.chm::/copyright.htm">網(wǎng)站地址可能變動(dòng)，您可能無(wú)法連接到在這里提到的網(wǎng)站。class=anything id=para5>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">為委托的 CA 的交叉證書提供 PKCS#10 請(qǐng)求文件

語(yǔ)法

certutil -split [-gmt] [-seconds] [-v] CMC.req

參數(shù)

-split: 分析證書請(qǐng)求文件中的每個(gè)二進(jìn)制（ASN.1 編碼）對(duì)象，然后將每個(gè)對(duì)象保存為單個(gè)二進(jìn)制大對(duì)象 (blob) 文件。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
CMC.req: 指定要分析的加密消息語(yǔ)法 (CMS) 請(qǐng)求（該協(xié)議也稱為 CMC）文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

有關(guān)使用 certreq –policy 命令，從根證書創(chuàng)建 CMS 請(qǐng)求的詳細(xì)信息，請(qǐng)參閱“相關(guān)主題”中的 Certreq。在 Certreq 中，請(qǐng)參閱“從現(xiàn)有的 CA 證書或請(qǐng)求構(gòu)造交叉證書或合格的部屬請(qǐng)求”任務(wù)。
如果可能，從現(xiàn)有的證書構(gòu)造請(qǐng)求時(shí)，應(yīng)該在安裝了輸入證書密鑰的計(jì)算機(jī)上運(yùn)行 certreq –policy 命令。如果該私鑰不可用（通常發(fā)生在交叉驗(yàn)證非 Microsoft CA 時(shí)），則 href="HELP=glossary.hlp TOPIC=gls_pkcs_10" name=ix_PKCS_10>PKCS #10 文件和外部的 CMS 都沒(méi)有簽名。大多數(shù)非 Microsoft CA 不接受未簽名的 PKCS#10。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">重新關(guān)聯(lián)私鑰及其證書

語(yǔ)法

certutil -repairstore [{-csp CSPName [-f]}] [-enterprise] [-user] [-gmt] [-seconds] [-split] [-v] [{ca | my| root | spc}] CertIndex

參數(shù)

-repairstore: 修復(fù) ca 存儲(chǔ)區(qū)中密鑰提供程序的信息。
-csp: 僅使用指定的加密服務(wù)提供程序 (CSP) 來(lái)定位和修復(fù)密鑰。
CSPName: 指定要使用的 CSP 的名稱。
-f: 與 -csp 一起，在必要時(shí)用來(lái)定位密鑰以使用指定的 CSP 強(qiáng)制搜索密鑰。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊(cè)證書存儲(chǔ)區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
ca: 在“中級(jí)證書頒發(fā)機(jī)構(gòu)”存儲(chǔ)中指定證書。
my: 指定頒發(fā)給本地計(jì)算機(jī)的證書。
root: 在“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲(chǔ)中指定證書。
spc: 指定軟件發(fā)行商證書。
CertIndex: 指定安全哈希算法 (SHA-1) 證書哈希、序列號(hào)或證書索引標(biāo)識(shí)符。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果證書位于 HKEY_LOCAL_MACHINE 證書存儲(chǔ)區(qū)，請(qǐng)不要使用 -user。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證 AIA 和 CDP 擴(kuò)展中的 URL 的合法性和正確性

語(yǔ)法

certutil -url [-f] [-gmt] [-seconds] [-split] [-v] CertFile.crt

參數(shù)

-url: 驗(yàn)證證書或證書吊銷列表 (CRL) 的 URL。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
CertFile.crt: 指定證書文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確保 URL 是合法的并指向相應(yīng)的 CRL，或在頒發(fā) CA 證書時(shí)，可以使用該命令來(lái)檢查頒發(fā)機(jī)構(gòu)信息訪問(wèn) (AIA) 和 CRL 分布點(diǎn) (CDP) 擴(kuò)展，然后反參照這些擴(kuò)展里的 URL。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢查智能卡上的證書

語(yǔ)法

certutil -scinfo [-gmt] [-seconds] [-silent] [-split] [-v] [ReaderName]

參數(shù)

-scinfo: 顯示智能卡信息。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-silent: 使用無(wú)聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語(yǔ)法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
ReaderName: 指定智能卡閱讀器的名稱。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看本地安裝的模板

語(yǔ)法

certutil -template [-user] [-ut] [-mt] [-gmt] [-seconds] [-v] TemplateName

參數(shù)

-template: 顯示指定的模板。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲(chǔ)。id=currentuserkey>
-ut: 顯示用戶模板。
-mt: 顯示計(jì)算機(jī)模板。
-gmt: 以格林威治標(biāo)準(zhǔn)時(shí)間方式顯示時(shí)間。
-seconds: 顯示時(shí)間時(shí)顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
TemplateName: 指定要查看的模板的名稱。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">確定密鑰對(duì)使用的 CSP

語(yǔ)法

certutil PFXfile.pfx

參數(shù)

PFXfile.pfx: 指定一個(gè)擴(kuò)展名為 .pfx 的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

導(dǎo)入該 .pfx 文件后，可以使用下面的語(yǔ)法顯示 HKEY_CURRENT_USER 的“My”存儲(chǔ)區(qū)。

certutil /user /store my [CertIndex]

該命令以 Provider=xxx 的形式顯示每個(gè)證書密鑰的加密服務(wù)提供程序 (CSP)。
可以將 CertIndex 替換為小數(shù)、以零為基的證書存儲(chǔ)區(qū)索引號(hào)、通用名稱、安全哈希算法 (SHA-1) 或公鑰 SHA-1。

格式化圖例

格式	含義
斜體	用戶必須提供的信息
粗體	用戶必須準(zhǔn)確鍵入的要顯示的元素
省略號(hào) (...)	在命令行中可多次重復(fù)的參數(shù)
中括號(hào) ([])	可選項(xiàng)
大括號(hào) ({})；選項(xiàng)用豎線 (\|) 分隔。例如：{even\|odd}	用戶必須從選項(xiàng)集合中選擇一個(gè)
`Courier 字體`	代碼或程序輸出

相關(guān)文章

前一則: Certreq
后一則: Change

本頁(yè)查看次數(shù):

精品国产亚洲一区二区三区,男女作爱在线观看免费网站,欧美的又大又长做禁片A片,97国产精品人妻无码久久久

用于對(duì)證書進(jìn)行編碼和解碼的 Certutil 任務(wù)

語(yǔ)法

參數(shù)

語(yǔ)法

參數(shù)

語(yǔ)法

參數(shù)

語(yǔ)法

參數(shù)

語(yǔ)法

參數(shù)

語(yǔ)法

參數(shù)

配置證書頒發(fā)機(jī)構(gòu) (CA) 的 Certutil 任務(wù)

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋

示例

語(yǔ)法

參數(shù)

注釋

示例

語(yǔ)法

參數(shù)

示例

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋

示例

用于管理“證書頒發(fā)機(jī)構(gòu) (CA)”的 Certutil 任務(wù)

語(yǔ)法

參數(shù)

語(yǔ)法

參數(shù)

注釋

示例

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋

語(yǔ)法

參數(shù)

注釋