樹結構圖

TOP 10

您現在的位置： > 技術沙龍 > 操作系統(tǒng) > Window > 管理和腳本撰寫工具 > 命令行參考 A-Z > C類 > Certutil

相關軟件
>Certutil　創(chuàng)建者：webmaster　更新時間：2005-10-13 21:45

Certutil.exe 是在 Windows Server 2003 家族中安裝為“證書服務”一部分的命令行程序。可使用 Certutil.exe 轉儲并顯示href="HELP=glossary.hlp TOPIC=gls_certification_authority"
name=ix_certification_authority>證書頒發(fā)機構 (CA) 配置信息、配置“證書服務”、備份和恢復 CA 組件，還可驗證證書、密鑰對和證書鏈。

有關如何使用 Certutil.exe 執(zhí)行特定任務的詳細信息，請參閱以下主題：

用于對證書進行編碼和解碼的 Certutil 任務
用于配置證書頒發(fā)機構 (CA) 的 Certutil 任務
用于管理證書頒發(fā)機構 (CA) 的 Certutil 任務
用于管理證書的 Certutil 任務
用于管理 CRL 的 Certutil 任務
用于密鑰存檔和恢復的 Certutil 任務
用于備份和恢復證書的 Certutil 任務
用于對證書進行疑難解答的 Certutil 任務

用于對證書進行編碼和解碼的 Certutil 任務

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書編碼為一個 base64 文件

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">對一個 base64 編碼證書進行解碼

語法

certutil -decode [-f] [-v] InFile OutFile

參數

-decode: 對一個 base64 編碼文件進行解碼。
-f: 覆蓋現有的文件或表項。
-v: 指定詳細的輸出。
InFile: 指定要解碼的 base64 編碼文件。
OutFile: 指定要接收輸出的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">解碼 base64 編碼請求為 DER 編碼請求

語法

certutil -decode [-f] [-v] Base64Request.req DERrequest.der

參數

-decode: 對一個 base64 編碼文件進行解碼。
-f: 覆蓋現有的文件或表項。
-v: 指定詳細的輸出。
Base64Request.req: 指定要解碼的 base64 編碼請求。
DERrequest.der: 指定要創(chuàng)建的 DER 編碼請求（與 Entrust 兼容）。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">解碼 DER 編碼請求為一個 base64 編碼請求

語法

certutil -encode [-f] [-v] DERrequest.der Base64Request.req

參數

-encode: 將證書編碼為一個 base64 文件。
-f: 覆蓋現有的文件或表項。
-v: 指定詳細的輸出。
DERrequest.der: 指定要解碼的 DER 編碼請求（與 Entrust 兼容）。
Base64Request.req: 指定要創(chuàng)建的 base64 編碼請求。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書編碼為一個十六進制文件

語法

certutil -encodehex [-f] [-v] InFile OutFile

參數

-encodehex: 將證書編碼為一個十六進制文件。
-f: 覆蓋現有的文件或表項。
-v: 指定詳細的輸出。
InFile: 指定要將其編碼為一個十六進制文件的證書。
OutFile: 指定要創(chuàng)建的十六進制文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">對一個十六進制編碼文件進行解碼

語法

certutil -decodehex [-f] [-v] InFile OutFile.der

參數

-decodehex: 對一個十六進制編碼文件進行解碼。
-f: 覆蓋現有的文件或表項。
-v: 指定詳細的輸出。
InFile: 指定要解碼的十六進制編碼文件。
OutFile.der: 指定要接收輸出的 DER 編碼文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

配置證書頒發(fā)機構 (CA) 的 Certutil 任務

可使用 certutil 執(zhí)行一些 CA 配置任務。

要查看特定任務的語法，請單擊任務：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 屬性類型信息

語法

certutil -capropinfo [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數

-capropinfo: 顯示 CA 屬性類型信息。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 的配置字符串

語法

certutil -getconfig [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數

-getconfig: 檢索默認配置字符串。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">為“證書服務”Web 服務器創(chuàng)建或刪除一組標準的虛擬根和文件共享

語法

certutil -vroot [-gmt] [-seconds] [-v] [delete]

參數

-vroot: 為“證書服務”Web 服務器創(chuàng)建虛擬根。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
delete: 刪除“證書服務”Web 服務器的虛擬根。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果沒有啟用活動服務器頁 (ASP)，則該命令啟用 ASP。
如果在安裝 IIS 之前已經安裝了 CA Web 注冊頁，則無需創(chuàng)建虛擬根。要在安裝 IIS 后創(chuàng)建虛擬根，請在命令提示符中鍵入：

"certutil -vroot"

該命令無法安裝 Web 注冊頁。但它創(chuàng)建指向 Web 注冊頁的 IIS 虛擬根、CA 證書、href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL) 和注冊控制（即 xenroll.dll 和 scrdenrl.dll）。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 信息

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [InfoName]

參數

-cainfo

顯示 CA 信息。

-f

覆蓋現有的文件或表項。

-gmt

以格林威治標準時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-split

拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>

-v

指定詳細的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

InfoName

指定要顯示的 CA 信息。使用下表中的任一值。

值	描述
file	顯示有關文件版本的信息。
product	顯示產品版本。
exitcount	顯示退出模塊計數。
exit [Index]	顯示退出模塊描述。
policy	顯示策略模塊描述。
name	顯示 CA 名稱。
sanitizedname	顯示清潔過的 CA 名稱。
sharedfolder	顯示共享文件夾。
error1 ErrorCode	顯示本地語言中的錯誤碼消息。對于 ErrorCode，請指定要檢索的錯誤碼。
error2 ErrorCode	顯示本地語言中的錯誤碼消息和錯誤碼。對于 ErrorCode，請指定要檢索的錯誤碼。
type	顯示 CA 類型。
info	顯示 CA 信息。
parent	顯示父 CA。
certcount	顯示 CA 證書計數。
xchgcount	顯示 CA 交換證書計數。
kracount	顯示密鑰恢復代理 (KRA) 證書的數目。
kraused	顯示正在使用的 KRA 證書的數目。
propidmax	顯示最大的 CA PropID。
certstate [Index]	顯示 CA 的證書狀態(tài)。
certstatuscode [Index]	顯示 CA 的證書驗證狀態(tài)。
crlstate [Index]	顯示證書吊銷列表 (CRL)。
krastate [Index]	顯示 KRA 證書。
crossstate+ [Index]	正向交叉證書。
crossstate- [Index]	反向交叉證書。
cert [Index]	顯示 CA 證書。
certchain [Index]	顯示 CA 證書鏈。
certcrlchain [Index]	顯示帶有 CRL 的 CA 證書鏈。
xchg [Index]	顯示 CA 交換證書。
xchgchain [Index]	顯示 CA 交換證書鏈。
xchgcrlchain [Index]	顯示帶有 CRL 的 CA 交換證書鏈。
kra [Index]	顯示 KRA 證書。
cross+ [Index]	正向交叉證書。
cross- [Index]	反向交叉證書。
crl [Index]	顯示一個基 CRL。
deltacrl [Index]	顯示一個增量 CRL。
crlstatus [Index]	顯示 CRL 發(fā)布狀態(tài)。
deltacrlstatus [Index]	顯示增量 CRL 發(fā)布狀態(tài)。
dns	顯示 DNS 名稱。
role	顯示角色分離。
ads	顯示 Advanced Server。
templates	顯示模板。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

示例

要顯示 CA 信息，請鍵入：

certutil -cainfo

要顯示一個 CA 證書狀態(tài)處理，請鍵入：

certutil -cainfo certstate

要顯示 CRL 信息，請鍵入：

certutil -cainfo crlstate

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">確定 CA 是否已續(xù)訂

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [certstate]

參數

-cainfo: 顯示 CA 信息。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
certstate: 返回一個包含證書狀態(tài)處理的 LONG。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
如果 CA 索引大于 0，則已經續(xù)訂 CA 證書。命令輸出顯示索引信息。
如果任一較早 CA 證書過期且通過使用現有密鑰重新生成，則不為該 CA 密鑰發(fā)布 CRL。如果從未為新密鑰續(xù)訂，則將禁止 CRL 生成。如果生成和發(fā)布新 CRL，則您將無法解決該問題，但可使用 CRL 幫助確認條件。要強制生成和發(fā)布 CRL，請鍵入：

certutil -crl
Windows 2000 服務數據包中提供了該條件的修補程序。

示例

要顯示一個 CA 證書狀態(tài)處理，請鍵入：

certutil -cainfo certstate

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">更改從 CA 中頒發(fā)的證書的有效期長度

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] HKLM\system\currentcontrolset\services\certsvc\configuration[{\CAName | \ca}]\ValidityPeriod {"days" | "weeks" | "months" | "years"}

certutil -setreg [-user] [-gmt] [-seconds] [-v] HKLM\system\currentcontrolset\services\certsvc\configuration[{\CAName | \ca}]\ValidityPeriodUnits "UnitValue"

參數

-setreg: 設置或編輯注冊表項的值。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
HKLM\system\currentcontrolset\services\certsvc\configuration\: 指定 ValidityPeriod 和 ValidityPeriodUnits 注冊表項的路徑。
CAName: 指定 CA 的名稱。
ca: 指定本地計算機上的默認 CA。
\ValidityPeriod {"days" | "weeks" | "months" | "years"}: 設置該證書有效的時間段。指定日期、星期、月份或年份。接受引號中的時間段。
\ValidityPeriodUnits "UnitValue": 為 ValidityPeriod 設置數值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當可能會嚴重損壞您的系統(tǒng)。在更改注冊表之前，應備份計算機上任何有價值的數據。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>

示例

可設置企業(yè)限定下屬 CA 具有與父 CA 不同的證書有效期。在頒發(fā)下屬 CA 證書的 CA 計算機上，鍵入以下命令以便設置有效期為三個月：

certutil -setreg ca\ValidityPeriod "months"

certutil -setreg ca\ValidityPeriodUnits "3"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">強制 CA 在以后的基和增量 CRL 中包括過期的證書

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] ca\CRLFlags +CRLF_PUBLISH_EXPIRED_CERT_CRLS

參數

-setreg: 設置或編輯注冊表項的值。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
ca: 指定 CA 注冊表項。
CRLFlags: 指定注冊表值名稱。
CRLF_PUBLISH_EXPIRED_CERT_CRLS: 指定新數字或字符串注冊表值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>
使用該命令可驗證已過期的加蓋時間戳的證書的吊銷狀態(tài)。
如果數字注冊表值以加號 (+) 或短劃線 (-) 開頭，則在現有注冊表值中設置或清除新值中指定的位。
如果字符串注冊表值以加號 (+) 或短劃線 (-) 開頭，且現有值為 REG_MULTI_SZ 值，則字符串值將從現有注冊表值中添加或刪除。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">配置 CA 在默認的兩年限制后頒發(fā)證書

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] ca\ValidityPeriod "years"

certutil -setreg ca\ValidityPeriodUnits "2"

參數

-setreg: 設置或編輯注冊表項的值。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
ca\ValidityPeriod "years": 設置該證書的有效長度為年。
ca\ValidityPeriodUnits "2": 設置“年”期限值為二。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當可能會嚴重損壞您的系統(tǒng)。在更改注冊表之前，應備份計算機上任何有價值的數據。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">增加在 CA 數據庫中的會話限制

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] dbsessioncount 30

參數

-setreg: 設置或編輯注冊表項的值。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
dbsessioncount 30: 指定新會話限制。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當可能會嚴重損壞您的系統(tǒng)。在更改注冊表之前，應備份計算機上任何有價值的數據。

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">禁用或還原 CA 上的可分辨的名稱長度的強制

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] ca\ENFORCEX500NAMELENGTHS {0 | 1}

參數

-setreg: 設置或編輯指定的注冊表值。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
ca\ENFORCEX500NAMELENGTHS: 指定 REG_DWORD\ENFORCEX500NAMELENGTHS 注冊表值的路徑。
{0 | 1}: 指定是否禁用（指定 0）或還原（指定 1）默認的 REG_DWORD\ENFORCEX500NAMELENGTHS 注冊表值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>
在現有對象確定的情況下使用該命令，但該請求被證書服務器拒絕。

示例

要禁用該服務器上的組織單元長度強制，請鍵入：

certutil -setreg ca\enforceX500namelengths 0

要還原默認的 REG_DWORD\ENFORCEX500NAMELENGTHS 注冊表值，請鍵入：

certutil -setreg ca\enforceX500namelengths 1

用于管理“證書頒發(fā)機構 (CA)”的 Certutil 任務

您可使用 certutil 執(zhí)行一些 CA 管理任務。

要查看特定任務的語法，請單擊任務：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示存儲在與公鑰相關的文件中的信息

語法

certutil -dump [-f] [-gmt] [-seconds] [-split] [-v] [-p Password] [File]

參數

-dump: 轉儲配置信息或文件。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-p Password: 指定一個密碼。
File: 指定要顯示的配置文件的文件名。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">當查看 CA 數據庫信息時，限制從 CA 架構中顯示的行

語法

certutil -view [-gmt] [-seconds] [-silent] [-split] [-v] [-config CAMachineName\CAName] [-restrict RestrictionList] [-out ColumnList] [-out] [RequestID]

參數

-view: 轉儲證書頒發(fā)機構數據庫視圖。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-restrict RestrictionList: 限制從該架構中顯示的行。指定一個以逗號分隔的限制列表。
-out ColumnList: 指定一個以逗號分隔的列表。
RequestID: 指定請求標識號。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

示例

要列出來自 Cacomputer1 的名為 Myentrootca 的 CA 頒發(fā)的所有證書的主題電子郵件名，請鍵入：

certutil -config cacomputer1\myentrootca -view -out request.email

要將顯示行限制到帶有請求標識符且大于 10,000 的行，然后僅顯示來自名稱為 Myentrootca 的 CA 的請求處理，請鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid>10,000"

若僅查看最后一行，請鍵入：

Certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $"

若僅查看第二行到最后一行，請鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $ - 1"

要查看到 CA 的所有請求的主題電子郵件名，請鍵入：

certutil -view -out email

要顯示基于用戶模板的證書的數字請求標識符，請鍵入：

certutil -view -restrict "Certificate Template=User" -out requestid

要顯示基于模板對象標識符 1.2.3.4.5.5.6.6.6.6.5.6 的證書的數字請求標識符，請鍵入：

certutil -view -restrict "Certificate Template=1.2.3.4.5.5.6.6.6.6.5.6" -out requestid

要顯示由 CA 頒發(fā)的未吊銷證書的所有系列號和請求標識號，請鍵入：

certutil -view -restrict disposition==20 /out "serialnumber,requestid"

要查看為名為“我的模板”的模板做出請求的用戶的電子郵件，并在頒發(fā)該請求時還能查看，請鍵入：

certutil -config cacomputer1\myentrootca -view -out email -restrict "CertificateTemplate == myTemplate, Disposition == 20"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 信息

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [InfoName [{Index | ErrorCode}]]

參數

-cainfo

顯示 CA 信息。

-f

覆蓋現有的文件或表項。

-gmt

以格林威治標準時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-split

拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>

-v

指定詳細的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

InfoName

從下表中任一值指定要顯示的有關 CA 的信息。

值	描述
file	顯示有關文件版本的信息。
product	顯示產品版本。
exitcount	顯示退出模塊計數。
exit [Index]	顯示退出模塊描述
policy	顯示策略模塊描述。
name	顯示 CA 名稱。
sanitizedname	顯示清潔過的 CA 名稱。
sharedfolder	顯示共享文件夾。
error1 ErrorCode	顯示本地化的錯誤碼消息。
error2 ErrorCode	顯示本地化錯誤碼消息和錯誤碼。
type	顯示 CA 類型。
info	顯示 CA 信息。
parent	顯示父 CA。
certcount	顯示 CA 證書計數。
xchgcount	顯示 CA 交換證書計數。
kracount	顯示 KRA 證書計數。
kraused	顯示 KRA 的證書使用計數。
propidmax	顯示最大的 CA PropID。
certstate [Index]	顯示 CA 的證書狀態(tài)。
certstatuscode [Index]	顯示 CA 的證書驗證狀態(tài)。
crlstate [Index]	顯示一個 CRL。
krastate [Index]	顯示 KRA 證書。
crossstate+ [Index]	正向交叉證書。
crossstate- [Index]	反向交叉證書。
cert [Index]	顯示 CA 證書。
certchain [Index]	顯示 CA 證書鏈。
certcrlchain [Index]	顯示帶有 CRL 的 CA 證書鏈。
xchg [Index]	顯示 CA 交換證書。
xchgchain [Index]	顯示 CA 交換證書鏈。
xchgcrlchain [Index]	顯示帶有 CRL 的 CA 交換證書鏈。
kra [Index]	顯示 KRA 證書。
cross+ [Index]	正向交叉證書。
cross- [Index]	反向交叉證書。
crl [Index]	顯示一個基 CRL。
deltacrl [Index]	顯示一個“增量 CRL”。
crlstatus [Index]	顯示“CRL 發(fā)布狀態(tài)”。
deltacrlstatus [Index]	顯示“增量 CRL 發(fā)布狀態(tài)”。
dns	顯示 DNS 名稱。
role	顯示“角色分隔”。
ads	顯示 Advanced Server。
templates	顯示模板。

Index

驗證來自 InfoName 表的唯一性元素。

ErrorCode

指定從錯誤消息中檢索的錯誤碼。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">確定 CA 是否還未續(xù)訂

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [certstate]

參數

-cainfo: 顯示 CA 信息。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
certstate: 返回一個包含證書狀態(tài)處理的 LONG。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 CA 中檢索一個模板列表

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] templates

參數

-cainfo: 顯示 CA 信息。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
templates: 指定模板 InfoName 參數。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看由本地 CA 支持的模板列表

語法

certutil -catemplates [-user] [-ut] [-mt] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-dc DCName] [Template]

參數

-catemplates: 顯示 CA 模板。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-ut: 顯示用戶模板。
-mt: 顯示計算機模板。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-dc DCName: 將一個特定的域控制器作為目標。
Template: 指定模板。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示標記數據庫文件和數據庫目錄的列表。

語法

certutil -databaselocations [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數

-databaselocations: 顯示數據庫位置。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
在每一行顯示十六進制緩沖區(qū)偏移量和十六進制類型標記。
有關類型標記定義的詳細信息，請參閱 target=_new>Microsoft Platform SDK 網站 (http://www.microsoft.com/) 上的“證書服務”備份 API 文檔和“certbcli.h”。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">拒絕證書請求

語法

certutil -deny [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID

參數

-deny: 拒絕掛起證書請求。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RequestID: 指定請求標識號。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
RequestID 必須是十進制格式或以 0x 開頭的十六進制格式。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書或 CRL 發(fā)布到 Active Directory

語法

certutil -dsPublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] CertFile {ntauthca | rootca | subca | crossca | kra | user | machine}

certutil -dsPublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] CRLFile [DSCDPContainer [DSCDPCN]]

參數

-dsPublish: 將新證書或 CRL 發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現有的文件或表項。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
CertFile: 指定證書。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲。
rootca: 指定要將證書發(fā)布到根 CA 存儲。
subca: 指定要將證書發(fā)布到下屬 CA 存儲。
crossca: 指定要將證書發(fā)布到交叉證明的 CA 存儲。
kra: 指定要將證書發(fā)布到密鑰恢復代理存儲。
user: 指定要將證書發(fā)布到用戶存儲。
machine: 指定要將證書發(fā)布到計算機存儲。
CRLFile: 查看證書吊銷列表。
DSCDPContainer: 指定 Active Directory 證書吊銷列表分布點 (CDP) 容器公用名 (CN)，通常是 CA 計算機名稱。
DSCDPCN: 指定 Active Directory 證書吊銷列表分布點 (CDP) 對象公用名 (CN)，通常基于清潔過的 CA 簡稱和密鑰檢索。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須以計算機管理員身份登錄才能完成該過程。
如果 CA 為智能卡登錄頒發(fā)證書，則將 CA 證書發(fā)布到 NTAuth 是必要的。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書添加到 NTAuth 存儲

語法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] NewCert ntauthca

參數

-dspublish: 將新證書或 CRL 發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現有的文件或表項。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
NewCert: 指定要發(fā)布的證書。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須具有 Enterprise Administrator 的訪問權限才能使用該命令。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">在 non-Microsoft CA 下服從 Microsoft CA

語法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] non-MicrosoftCert rootca

參數

-dspublish: 將新證書發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現有的文件或表項。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
non-MicrosoftCert: 指定 non-Microsoft 證書名稱。
rootca: 指定要將證書發(fā)布到根 CA 存儲。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須以計算機管理員身份登錄才能完成該過程。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將交叉證明發(fā)布到 Active Directory 交叉證明存儲

語法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] CrossCert crossca

參數

-dspublish: 將新證書發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現有的文件或表項。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
CrossCert: 指定要發(fā)布的交叉證書文件。
crossca: 指定將該交叉證書發(fā)布到 Active Directory CA 對象中。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須以計算機管理員身份登錄才能完成該過程。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示必須分別備份的動態(tài)文件的列表

語法

certutil -dynamicfilelist [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數

-dynamicfilelist: 顯示動態(tài)文件列表。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
該服務器上包括證書吊銷列表 (CRL) 的本地副本。
在每一行顯示十六進制緩沖區(qū)偏移量。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 CA 數據庫中刪除不需要的請求

語法

certutil -deleterow [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RowID Date {request | cert | attrib crl}

參數

-deleterow: 刪除 CA 數據庫中的一行。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RowID: 指定要刪除行的請求標識符。
Date: 指定查詢的日期限制。
request: 指定請求表。
cert: 指定證書表。
ext: 指定證書擴展表。
attrib: 指定屬性表。
crl: 指定證書吊銷列表 (CRL) 表。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

當使用該命令刪除多于一行時，您必須同時是“CA 管理員”和“證書管理員”，以便完成該任務。在這種情況下，一定不能將 CA 配置為強制執(zhí)行角色分隔。有關基于角色管理的詳細信息，請參閱“相關主題”。
您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
使用 Date

您可使用 mm/dd/yyyy 00:00 日期格式，這里 00:00 必須是指定為 AM 或 PM 的標準時間。

如果沒有時間就指定 Date，則 Certutil.exe 將刪除指定日期之前頒發(fā)的所有請求，但無法刪除在指定日期中頒發(fā)的請求。

如果通過 Date 刪除行，則 Certutil.exe 無法刪除 CA 證書或 CA 證書鏈行。要刪除 CA 證書和 CA 證書鏈行，您必須通過 RowID 刪除行。

如果之后出現 Date，則 Certutil.exe 失敗，且顯示無效的參數錯誤。使用“-f”覆蓋無效的參數錯誤。
您可使用該命令刪除“拒絕服務”錯誤。

示例

要刪除 1/22/2001 之前最后修改的失敗且掛起的請求，請鍵入：

certutil -deleterow 1/22/2001 request

要刪除 1/22/2001 之前過期的所有證書，請鍵入：

certutil -deleterow 1/22/2001 cert

要刪除 RequestID 37 的證書行、屬性和擴展，請鍵入：

certutil -deleterow 37

要刪除 1/22/2001 之前過期的 CRL，請鍵入：

certutil -deleterow 1/22/2001 crl

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將本地語言中出現的顯示名稱添加到證書模板

語法

certutil -oid [-f] [-gmt] [-seconds] [-v] "TemplateOID" LocalizedFriendlyName [LanguageID]

參數

-oid: 定義證書模板中的顯示名稱。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
"TemplateOID": 指定引號中的證書模板的對象標識符。
LocalizedFriendlyName: 指定要將其添加到該證書模板的顯示名稱。
LanguageID: 設置指定對象的本地語言標識符。LocalizedFriendlyName 在指定語言中出現。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

為使更改生效，請重新啟動計算機。
如果沒有指定 LanguageID，則 Certutil.exe 將使用當前系統(tǒng)默認的 1033。
LanguageID 是十六進制的本地標識符 (LCID) 值的十進制表示形式。有關 LCID 值的詳細信息，請參閱 id=MSUrl title=http://www.microsoft.com/
target=_new>Microsoft 網站上的“Table Appendix F Locale-Specific Code Page”（表附錄 F 區(qū)域設置規(guī)范代碼頁）信息。class=printOnly>(http://www.microsoft.com/)

示例

要在“繁體中文”語言中，其“1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268”是對象標識號 (TemplateOID) 且 CHT 是轉換成現有“V2 模板”的中文顯示名稱 (LocalizedFriendlyName)，創(chuàng)建模板“客戶端登錄”的本地化顯示名稱，請鍵入：

certutil -oid "1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268" "CHT" 1028

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

1028 是十六進制值 0x0404 的十進制表示形式，是“繁體中文”語言的 LCID。

該命令輸出看似:


  certutil -oid "1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268" CHT 1028 1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268 -- 客戶端登錄無顯示名稱 

  添加到 Active Directory 存儲的本地化名稱。

  0: 1028，CHT

  CertUtil: -oid 命令成功完成。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">通過序列號吊銷證書

語法

certutil -revoke [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] SerialNumber [Reason]

參數

-revoke

吊銷該證書。

-gmt

以格林威治標準時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-v

指定詳細的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

SerialNumber

指定要吊銷證書的序列號。

Reason

指定以下任一理由碼:

理由碼值	定義
0	未指定的
1	密鑰泄露
2	CA 泄露
3	隸屬關系改變
4	取代
5	停止操作
6	保持吊銷
8	從 CRL 中刪除
-1	解除吊銷

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
SerialNumber 必須是十六進制格式而且使用偶數。單獨的一個零 (0) 可以置于一個奇數值的首位。不允許以 0x 開頭。
理由碼值 6 是可解除吊銷的唯一值。
理由碼 0 無法提供有關吊銷理由的信息。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">在掛起證書請求中設置屬性

語法

certutil -setattributes [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID AttributeString

參數

-setattributes: 為掛起請求設置屬性。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RequestID: 指定由請求標識符標識的請求。
AttributeString: 指定設置在請求標識符證書的請求屬性字符串。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
RequestID 必須是十進制格式（或帶有前綴 0x 的十六進制格式）。指定的請求必須處于掛起的狀態(tài)。
使用“\n”分隔字符串中的多個值。
AttributeString 請求屬性名稱和值對。用冒號分隔名稱和值對。多個名稱和值對可通過將它們放置在新行分隔開。例如：

"CertificateTemplate:User\nEmail:User@domain.com"

每個“\n”序列轉換為一個換行符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">在證書請求中設置擴展

語法

certutil -setextension [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID ExtensionName Flags {LongValue | DateValue | StringValue | @InFile}

參數

-setextension

為掛起請求設置擴展。

-gmt

以格林威治標準時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-v

指定詳細的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

RequestID

指定掛起請求的數字請求標識符。

ExtensionName

指定擴展的 ObjectID 字符串。

Flags

指定以下任一標志：

值	描述
0	設置該擴展為非關鍵。
1	設置該擴展為關鍵。

@InFileValue

指定以下任一格式接受的字符串，且字符串滿足指定條件：@InFileValue 如果該值以 @ 符號開頭，則其他標記是包含二進制數據或 ASCII 文本十六進制轉儲的文件名。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
RequestID 必須是以 0x 開頭的十進制格式或十六進制格式。
如果有要添加到掛起請求的具有準確的擴展編碼的現有請求或證書，則您可將該請求或證書，還有每個擴展的 ASCII 文本十六進制轉儲，轉儲到一個文件。

示例

下面為非關鍵擴展名的有效示例：

certutil -setextension 123 1.3.6.1.4.1.311.20.2 0 Subcertification authority (CA)

指定的請求必須處于掛起的狀態(tài)。

如果有名為 MyCert.cer 的現有證書，且具有要添加到掛起請求的準確的擴展編碼，則您可使用以下命令轉儲該請求和每個擴展的 ASCII 文本十六進制轉儲：

certutil -v mycert.cer

之后您可復制該 ASCII 文本十六進制擴展 1.2.3.4.5 到一個文本文件，然后將該文件命名為 Foo.txt。

要將 1.2.3.4.5 擴展添加到具有數字請求標識符 37 的掛起請求，請使用以下命令：

certutil -setextension 37 1.2.3.4.5 0 @foo.txt

要頒發(fā)該證書，請鍵入：

certutil -resubmit 37

要檢索頒發(fā)的證書，請鍵入：

certreq -retrieve 37 foo.crt foo.p7b

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">重新提交掛起證書請求

語法

certutil -resubmit [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID

參數

-resubmit: 重新提交掛起請求。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RequestID: 指定請求標識號。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
RequestID 必須是以 0x 開頭的十進制格式或十六進制格式。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">關閉 CA 服務器

語法

certutil -shutdown [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數

-shutdown: 關閉 CA 服務器。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗證密鑰設置

語法

certutil -verifykeys [-gmt] [-silent] [-v] [-config CAMachineName\CAName] [KeyContainerName] [CACertFile]

參數

-verifykeys: 驗證指定 CA 的公開密鑰和私有密鑰。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標志獲得 CryptContext。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
KeyContainerName: 指定要驗證的密鑰的密鑰容器名稱。
CACertFile: 指定包含用于驗證數字簽名的公鑰的 CA 簽名證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果未使用參數，則 certutil -verifykeys 將根據其私鑰驗證每個簽名 CA 證書。
您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
可僅根據本地 CA 或密鑰運行該命令。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份 CA 證書和密鑰

語法

certutil -backupkey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory

參數

-backupkey: 備份“證書服務”證書和私鑰。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
一個 PFX 文件密碼所允許的最大長度為 32 個字符。
可以用 -f 選項覆蓋 BackupDirectory 中的現有文件。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從備份目錄或 PKCS #12 (.pfx) 文件還原 CA 證書和密鑰

語法

certutil -restorekey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory\PFXFile

參數

-restorekey: 從指定的 BackupDirectory 或 PKCS #12 PFXFile 中還原“證書服務”證書和私鑰。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定 PFX 文件的備份位置。
PFXFile: 指定 PKCS #12 PFX 文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
一個 PFX 文件密碼所允許的最大長度為 32 個字符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將擴展添加到 CA 頒發(fā)的證書

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] policy\enablerequestextensionlist [{0 | 1}] ExtensionOID

參數

-setreg: 設置或編輯注冊表信息。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
policy\enablerequestextensionlist+1: 設置啟用策略模塊的請求擴展的列表。
ExtensionOID: 指定該擴展的對象標識符。
0: 將該擴展添加到啟用策略模塊的請求擴展的列表。
1: 從啟用策略模塊的請求擴展的列表中刪除該擴展。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>

用于管理證書的 Certutil 任務

可使用 certutil 執(zhí)行一些證書管理任務。

要查看特定任務的語法，請單擊任務：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗證證書由指定 CA 頒發(fā)

語法

certutil -verify [-f] [-enterprise] [-user] [-gmt] [-seconds] [-silent] [-split] [-v] CertFile [CACertFile]

參數

-verify: 驗證該證書鏈。
-f: 覆蓋現有的文件或表項。
-enterprise: 使用本地計算機企業(yè)注冊表證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
CertFile: 指定該證書。
CACertFile: 指定包含用于驗證數字簽名的公鑰的 CA 簽名證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

CertFile 和 CACertFile 都必須包含單一證書，而不是 href="HELP=glossary.hlp TOPIC=gls_pkcs_7" name=ix_PKCS_7>PKCS #7 證書鏈。
該命令行選項還驗證 CertFile 證書是否處于吊銷狀態(tài)。如果 CertFile 不包含有關如何檢查吊銷的信息,或必要的 URL 或 CRL 不可用，則出現一個錯誤。
如果沒有指定 CACertFile，則通過使用安裝在該計算機上的證書構造 CertFile 的證書鏈，驗證和檢查該鏈中所有證書，以便檢查它們是否被吊銷。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗證證書的有效性

語法

certutil -isvalid [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] {SerialNumber | CertHash}

參數

-isvalid: 確定該證書是否有效。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
SerialNumber: 指定該證書的序列號。
CertHash: 指定該證書的證書哈希。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
SerialNumber 必須是偶數的十六進制數字。單獨的一個零 (0) 可以置于一個奇數值的首位。不允許以 0x 開頭。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">安裝 CA 證書

語法

certutil -installcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [CACertFile]

參數

-installcert: 安裝 CA 證書。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
CACertFile: 指定包含用于驗證數字簽名的公鑰的 CA 簽名證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
name=ix_PKCS_7>PKCS #7 證書鏈是 CACertFile 的首選內容。但如果將用于形成該鏈的所有證書已安裝在本地計算機上，則接受 href="HELP=glossary.hlp TOPIC=gls_x_509v3_certificate">X.509 v3 證書。
該命令還為已產生申請、但尚未收到和安裝其 CA 證書的下級 CA，完成下級 CA 證書的安裝。
此命令還允許安裝請求續(xù)訂的 CA 證書。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">請求續(xù)訂的 CA 證書

語法

certutil -renewcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [reusekeys] RequestFile

參數

-renewcert: 續(xù)訂 CA 證書。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
reusekeys: 指定重復使用現有的密鑰。
RequestFile: 指定要保存該續(xù)訂請求的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
如果聯(lián)機的父 CA 不存在或不會立即頒發(fā)續(xù)訂 CA 證書，請在此證書可用時使用 -installCert 命令完成續(xù)訂證書的安裝。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 HKEY_LOCAL_MACHINE 根存儲中刪除密鑰

語法

certutil -delkey [-user] [-gmt] [-seconds] [-silent] [-v] KeyContainerName [CSPName]

參數

-delkey: 從主機中刪除私鑰。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標志獲得 CryptContext。
-v: 指定詳細的輸出。
KeyContainerName: 指定密鑰的容器名稱。
CSPName: 指定加密服務提供程序 (CSP)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當可能會嚴重損壞您的系統(tǒng)。在更改注冊表之前，應備份計算機上任何有價值的數據。
certutil -delkey 命令將刪除用戶或機器私鑰。刪除私鑰后，可能應用以下任何一個方案：
- 如果以前沒有備份密鑰或將其存檔，則被刪除的密鑰將無法復原。
- 如果被刪除的密鑰被用作證書服務器簽名密鑰，則 CA 將被禁用且無法頒發(fā)新的 CRL，這將導致當現有的 CRL 過期時，所有由 CA 頒發(fā)的證書都將失效?？芍匦伦孕旅荑€和證書來代替其他簽名密鑰。
- 如果被刪除的密鑰用于電子郵件加密，則過去接收到的電子郵件可能無法讀取，除非從類似“密鑰管理服務 (KMS)”的密鑰管理系統(tǒng)才可恢復被刪除的密鑰。
- 如果被刪除的密鑰用于文件加密，則具有適當憑證因而可以創(chuàng)建 Key Recovery Agent 帳戶的管理員可能需要為受影響的用戶單獨干預并解密每個文件。
- 用 - user 從 HKEY_CURRENT_USER 根存儲中刪除密鑰。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將 Netscape 兼容的基于 Web 的吊銷檢查擴展添加到每個頒發(fā)的證書

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] Policy\RevocationType {+ | -} REVEXT_ASPENABLE

參數

-setreg: 設置或編輯注冊表項值。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
Policy\RevocationType: 指定策略模塊和證書吊銷配置。
{+ | -}: 設置 (+) 或重置 (-) REVEXT_ASPENABLE 標志。
REVEXT_ASPENABLE: 將該擴展添加到由 CA 頒發(fā)的證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當可能會嚴重損壞您的系統(tǒng)。在更改注冊表之前，應備份計算機上任何有價值的數據。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索 CA 簽名證書并將其保存到一個文件

語法

certutil -ca.cert [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] OutCACertFile [Index]

參數

-ca.cert: 檢索 CA 簽名證書。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
OutCACertFile: 指定要寫入的 CA 文件。
Index: 指定要檢索的 CA 證書。默認為最新的 CA。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
該證書中包含的公鑰用于驗證 CA 頒發(fā)的證書上的數字簽名。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索 CA 簽名證書和鏈并將其保存到 PKCS #7 文件

語法

certutil -ca.chain [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] OutCACertChainFile [Index]

參數

-ca.chain: 檢索 CA 簽名證書和鏈。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
OutCACertChainFile: 將 CA 簽名證書寫入 href="HELP=glossary.hlp TOPIC=gls_pkcs_7" name=ix_PKCS_7>PKCS #7 文件。
Index: 指定要檢索的 CA 證書。默認為最新的 CA。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書導入服務器數據庫

語法

certutil -importcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] CertFile

參數

-importcert: 將證書文件導入該數據庫。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
CertFile: 指定要導入的證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
如果不小心將證書從數據庫中丟失（可能是由于從數據庫的不完整備份中恢復數據庫），則可用該命令行選項使其成為可吊銷證書。注意，該服務器必須頒發(fā)了證書。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示“本地機器”證書存儲區(qū)中的證書

語法

certutil -store [-f] [-enterprise] [-user] [-gmt] [-seconds] [-silent] [-v] [-dc DCName] CertificateStoreName [CertID [OutFile]]]

參數

-store

顯示指定href="HELP=glossary.hlp TOPIC=gls_certificate_store">證書存儲區(qū)中的證書。

-f

覆蓋現有的文件或表項。

-enterprise

使用本地計算機企業(yè)注冊證書存儲區(qū)。

-user

使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>

-gmt

以格林威治標準時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-silent

使用無聲標志獲得 CryptContext。

-split

拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>

-v

指定詳細的輸出。

-dc DCName

將一個特定的域控制器作為目標。

CertificateStoreName

指定以下任一存儲名稱：

值	描述
ca	在“中級證書頒發(fā)機構”存儲中指定證書。
my	指定頒發(fā)到當前用戶的證書。
root	在“受信任的根證書頒發(fā)機構”存儲中指定證書。
spc	指定軟件發(fā)行商證書。
UserCreatedStore	指定用戶創(chuàng)建的證書存儲區(qū)的名稱。

CertID

指定與令牌匹配的證書或href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL)。

OutFile

指定要寫入顯示的證書信息的文件。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

如果沒有指定 CertificateStoreName，則使用 CA 存儲區(qū)。
使用 -user 選項為當前用戶而不是本地計算機顯示證書存儲區(qū)情況。
CertID 可以是序列號、“安全哈希算法 (SHA-1)”證書、CRL、href="HELP=glossary.hlp TOPIC=gls_ctl">證書信任列表 (CTL) 或href="HELP=glossary.hlp TOPIC=gls_public_key">公鑰哈希、數字證書索引（如 0、1 等）、數字 CRL 索引（如 .0、.1 等）、數字 CTL 索引（如 ..0、..1 等）、證書對象公用名或 CRL 頒發(fā)者公用名。其中一些可能生成多個匹配。

示例

要查看本地計算機 NTAuth 存儲中的證書，請鍵入：

certutil -store -enterprise NTAuth

要查看 cert 索引 37 的本地計算機“Root”存儲中的證書，請鍵入：

certutil -store -enterprise Root 37

要查看名為“My”存儲中序列號 26e0aaaf000000000004 的用戶的證書，請鍵入：

certutil -store -user My 26e0aaaf000000000004

要查看名為 CA 的存儲中索引 .11 的 CRL，請鍵入：

certutil -store CA .11

要查看在輕型目錄訪問協(xié)議 (LDAP) 位置“l(fā)dap:///CN=NTAuthCertificates,CN=Public Key Services,CN=Services,DC=corp,DC=MyCorp,DC=com”上的證書存儲區(qū)，請鍵入：

certutil -store ldap:///CN=NTAuthCertificates,CN=Public Key Services,CN=Services,DC=corp,DC=MyCorp,DC=com

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書或 CRL 添加到本地受信任的根 CA 存儲

語法

certutil -addstore [-f] [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] root InFile

參數

-addstore: 將證書添加到證書存儲區(qū)。
-f: 覆蓋現有的文件或表項。
-enterprise: 使用本地計算機企業(yè)注冊href="HELP=glossary.hlp TOPIC=gls_certificate_store">證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
root: 指定“受信任的根證書頒發(fā)機構”存儲。
InFile: 指定證書或證書吊銷列表 (CRL) 的文件名。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看證書存儲區(qū)

語法

certutil [{-viewstore | -viewdelstore}] [-f] [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] {my | ca | root | spc} ["CertIndex" ]

參數

-viewstore: 查看證書存儲區(qū)中的證書。
-viewdelstore: 從該證書存儲區(qū)中刪除一個證書。
-f: 覆蓋現有的文件或表項。
-enterprise: 使用本地計算機企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
my: 顯示頒發(fā)到本地計算機的證書。
ca: 顯示“中級證書頒發(fā)機構”存儲中的證書。
root: 顯示“受信任的根證書頒發(fā)機構”存儲中的證書。
spc: 顯示軟件發(fā)行商證書。
"CertIndex": 指定與令牌匹配的證書或href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確定證書中后面是 Cert Hash(sha1): 的 CertIndex 證書哈希值，請進行以下任一操作：
- 要轉儲包括舊證書的證書存儲區(qū)，請鍵入：
  
  certutil -store [-user] root
- 要將舊證書保存到一個文件并轉儲該文件，請鍵入：
  
  certutil file.cer
在默認情況下，-viewstore 打開 HKLM“CA”存儲。可通過指定 -viewstore 后的 -user 或 -enterprise 覆蓋默認，以便顯示任意用戶或企業(yè)存儲。
如果您無法關閉用戶接口并且使用 -viewdelstore，則可從該證書存儲區(qū)中刪除選中的證書。
用戶接口不支持將證書保存到文件。可運行以下語法顯示所有證書，選擇需要的證書，然后將其保存到一個文件：

certutil /viewstore /enterprise NTAuth *.file.cer

本地 NTAuth 存儲是 Active Directory NTAuth 存儲中最后“組策略”下載的結果。智能卡登錄使用的存儲使得當對智能卡登錄失敗進行疑難解答時，查看該存儲是有用的。

示例

要打開和查看當前計算機的本地 NTAuth 存儲，請鍵入：

certutil -viewstore -enterprise NTAuth

要刪除證書，請鍵入：

certutil -delstore -enterprise NTAuth "CertIndex"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗證存儲中的所有證書

語法

certutil -verifystore [-enterprise] [-user] [-gmt] [-seconds] [-split] [-v] [-dc DCName] CertificateStoreName [CertID]

參數

-verifystore: 驗證存儲中的證書。
-enterprise: 使用本地計算機企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
CertificateStoreName: 指定證書存儲區(qū)名。
CertID: 指定與令牌匹配的證書或href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

該命令與 -store 相似。
該命令驗證相關私鑰（即如果它們存在），并通過以下方法驗證每份證書：從已安裝的 CA 和根證書建立鏈并驗證鏈中的所有證書，以確保它們仍然有效并且尚未吊銷。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 HKEY_LOCAL_MACHINE 根存儲中刪除證書

語法

certutil -delstore [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] root CertIndex

參數

-delstore: 從指定存儲刪除一個證書。
-enterprise: 使用本地計算機企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
root: 指定根證書存儲區(qū)。
CertIndex: 指定哈希值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確定在證書中后面是 Cert Hash(sha1): 的 CertIndex 證書哈希值，請進行以下任一操作：
- 要轉儲包括舊證書的證書存儲區(qū)，請鍵入：
  
  certutil -store [-user] root
- 要將舊證書保存到一個文件并轉儲該文件，請鍵入：
  
  certutil file.cer

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 HKEY_CURRENT_USER 根存儲中刪除一個證書

語法

certutil -delstore [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] root -user CertIndex

參數

-delstore: 從指定存儲刪除一個證書。
-enterprise: 使用本地計算機企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個指定的域控制器作為目標。
root: 指定根證書存儲區(qū)。
-user: 指定 HKEY_CURRENT_USER 證書存儲區(qū)。
CertIndex: 指定該哈希值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確定該證書中后面是 Cert Hash(sha1): 的 CertIndex 證書哈希值，請進行以下任一操作：
- 要轉儲包括舊證書的證書存儲區(qū)，請鍵入：
  
  certutil -store [-user] root
- 要將舊證書保存到一個文件并轉儲該文件，請鍵入：
  
  certutil file.cer
Certutil -delstore 僅在刪除證書和 CRL 時有效。必須使用 -delkey 刪除密鑰。

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告
- certutil -delkey 命令將刪除用戶或機器私鑰。刪除完畢后，可能應用下列任何一種方案：
  - 如果以前沒有備份密鑰或將其存檔，則被刪除的密鑰將無法復原。
  - 如果被刪除的密鑰用于證書服務器簽名密鑰，則 CA 將被禁用且無法頒發(fā)新的 CRL，這將導致當現有的 CRL 過期時，所有由 CA 頒發(fā)的證書都將失效。可重新注冊新密鑰和證書來代替其他簽名密鑰。
  - 如果被刪除的密鑰用于電子郵件加密，則過去接收到的電子郵件可能無法讀取，除非從類似“密鑰管理服務 (KMS)”的密鑰管理系統(tǒng)才可以恢復被刪除的密鑰。
  - 如果被刪除的密鑰用于文件加密，則具有適當憑證因而可以創(chuàng)建 Key Recovery Agent 帳戶的管理員可能需要為受影響的用戶單獨干預并解密每個文件。
  - 用 - user 從 HKEY_CURRENT_USER 根存儲中刪除密鑰。

示例

要刪除根存儲的第五個證書，請鍵入：

certutil -delstore root 5

用于管理 CRL 的 Certutil 任務

可以使用 certutil 來查看、生成以及配置證書頒發(fā)機構的證書吊銷列表 (CRL) 信息。

要查看特定任務的語法，請單擊任務：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索 CRL

語法

certutil -getcrl [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] OutFile [Index] [delta]

參數

-getcrl: 檢索證書吊銷列表 (CRL)。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
OutFile: 指定要接收輸出的文件。
Index: 指定索引標識號。
delta: 檢索增量 CRL。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要執(zhí)行該過程，您必須是本地計算機上 Administrators 組的成員，或者已被授予適當的權限。如果沒有適當的權限，可以使用 -cainfo 來檢索 CRL。
您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

示例

要檢索最近發(fā)布的基 CRL，MyMostRecentCRL.crl，請鍵入：

certutil -getcrl MyMostRecentCRL.crl

要檢索第三個 CRL，MyThirdCRL.crl，請鍵入：

certutil -getcrl MyThirdCRL.crl 3

要檢索最近發(fā)布的增量 CRL，MyMostRecentDelta.crl，請鍵入：

certutil -getcrl MyMostRecentDelta.crl delta

要檢索第五個增量 CRL，MyFifthDelta.crl，請鍵入：

certutil -getcrl MyFifthDelta.crl 5 delta

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">發(fā)布當前 CRL

語法

certutil -crl [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [DD:HH] [delta]

參數

-crl: 發(fā)布新證書吊銷列表 (CRL)。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
DD:HH: 指定以天和小時為單位的 CRL 生存期。
delta: 僅發(fā)布增量 CRL。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
CRL 被寫入由 OutFileResult 指定的文件中，否則，如果使用減號，就會寫入到默認的 Web 位置。
到期時間設為從發(fā)布時間起一天零一小時，以方便安排每天的發(fā)布時間表。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書或 CRL 發(fā)布到 Active Directory

語法

certutil -dsPublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] [{CertFile | CRL}] [{ntauthca | rootca | subca | crossca | kra | user | machine}]

參數

-dsPublish: 將新證書發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現有的文件或表項。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
CertFile: 指定要使用的證書。
CRL: 指定要使用的證書吊銷列表。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲區(qū)。
rootca: 指定要將證書發(fā)布到根 CA 存儲。
subca: 指定要將證書發(fā)布到從屬 CA 存儲區(qū)。
crossca: 指定要將證書發(fā)布到交叉驗證 CA 存儲區(qū)。
kra: 指定要將證書發(fā)布到密鑰恢復代理存儲區(qū)。
用戶: 指定要將證書發(fā)布到用戶存儲區(qū)。
machine: 指定要將證書發(fā)布到計算機存儲區(qū)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果 CA 為智能卡登錄頒發(fā)證書，必須將證書發(fā)布到 NTAuth 存儲區(qū)。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書添加到 NTAuth 存儲

語法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] NewCert ntauthca

參數

-dspublish: 將新證書或證書吊銷列表 (CRL) 發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現有的文件或表項。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-dc DCName: 將一個特定的域控制器作為目標。
NewCert: 指定要發(fā)布的證書。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲區(qū)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須具有 Enterprise Administrator 的訪問權限才能使用該命令。

用于密鑰存檔和恢復的 Certutil 任務

可以使用 certutil 來檢索和恢復存檔的密鑰。

要查看特定任務的語法，請單擊任務：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索存檔的私鑰恢復點

語法

certutil -getkey [-f] [-gmt] [-seconds] [-v] SearchToken [RecoveryBlobOutFile]

參數

-getkey: 檢索存檔的私鑰。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
SearchToken: 指定要恢復的密鑰和證書。
RecoveryBlobOutFile: 指定包含一個證書鏈和一個相應私鑰的輸出文件。該私鑰仍然加密成一個或多個密鑰恢復代理 (KRA) 證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

SearchToken 可以是證書公用名、證書序列號、證書安全哈希算法 (SHA-1) 哈希、申請人名稱（即，域\用戶）或者用戶主體名稱 (UPN)（即，域@用戶）。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">恢復存檔的私鑰

語法

certutil -recoverkey [-f] [-user] [-gmt] [-seconds] [-split] [-v] [-p Password] RecoveryBlobInFile [PFXOutFile] [RecipientIndex]]

參數

-recoverkey: 恢復存檔的私鑰。
-f: 覆蓋現有的文件或表項。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-p Password: 指定一個密碼。
RecoveryBlobInFile: 指定包含從 CA 檢索到的恢復點的輸入文件。
PFXOutFile: 指定用于保存恢復密鑰及其相關的 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 證書的文件。
Password: 加密 PFXOutFile 并提供密碼。
RecipientIndex: 指定密鑰恢復代理 (KRA) 證書的索引，用于解密私鑰點。如果不指定該參數，certutil 將嘗試所有的 KRA 證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

用于備份和恢復證書的 Certutil 任務

為了提供服務，證書頒發(fā)機構應該定期備份，并且在必要時，能夠恢復?？梢允褂?certutil 來執(zhí)行這些任務。

要查看特定任務的語法，請單擊任務：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份證書服務

語法

certutil -backup [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory [incremental] [keeplog]

參數

-backup: 備份證書服務。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定備份目錄。
incremental: 執(zhí)行增量備份而非完全備份。
keeplog: 保留數據庫日志文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長度是 32 個字符。
如果未指定 keeplog，則 certutil -backup 會將這些數據庫日志文件合并到一個單獨的日志文件中，只有成功完成 -backup 后，才保留此日志文件。
如果未指定 incremental，certutil -backup 將執(zhí)行完全備份。
可以用 -f 選項覆蓋 BackupDirectory 中的現有文件。

示例

要為名為 EnterpriseCA 的 CA 備份密鑰和證書，請鍵入：

certutil –p p@ssw23 f:\Backup2\EnterpriseCA

certutil -p p@ssw23 f:\Backup2\EnterpriseCA incremental

certutil -p p@ssw23 f:\Backup2\EnterpriseCA keeplog

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份 CA 數據庫

語法

certutil -backupdb [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] BackupDirectory [[incremental] [keeplog]]

參數

-backupdb: 備份證書服務數據庫。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
BackupDirectory: 指定備份目錄。
incremental: 執(zhí)行增量備份而非完全備份。
keeplog: 保留數據庫日志文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
可以在本地或遠程運行該命令。服務器和 CA 必須正在運行。通常，管理員使用該命令執(zhí)行間歇的完全備份，其間是頻繁的增量備份。每個備份都必須建成一個獨立的目錄樹。要正確恢復數據庫，需要從最新的完全備份至今的所有備份。
如果未指定 keeplog，則 certutil -backup 會將這些數據庫日志文件合并到一個單獨的日志文件中，只有成功完成 -backup 后，才保留此日志文件。
如果未指定 incremental，certutil -backup 將執(zhí)行完全備份。
可以用 -f 選項覆蓋 BackupDirectory 中的現有文件。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份 CA 證書和密鑰

語法

certutil -backupkey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory

參數

-backupkey: 備份“證書服務”證書和私鑰。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長度是 32 個字符。
可以用 -f 選項覆蓋 BackupDirectory 中的現有文件。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">恢復 CA 數據庫、證書以及密鑰

語法

certutil -restore [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory

參數

-restore: 從指定的 BackupDirectory 中恢復 CA 數據庫、證書以及密鑰。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定用于恢復 CA 數據庫、證書以及密鑰的備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長度是 32 個字符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">恢復 CA 數據庫

語法

certutil -restoredb [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] BackupDirectory

參數

-restoredb: 從指定的 BackupDirectory 恢復 CA 數據庫。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
BackupDirectory: 指定用于恢復 CA 數據庫的備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
此時，CA 服務器不能正在運行?？梢栽诒镜鼗蜻h程運行該命令。
要恢復一個完全備份和多個增量備份，必須先恢復完全備份，然后以任意順序恢復后續(xù)的所有增量備份。要用完全恢復后的文件覆蓋現有的服務器數據庫文件，可以使用 -f 選項。在所有的備份恢復完之前，不要啟動服務器。
當啟動 CA 服務器時，同時也啟動了數據庫恢復。如果成功啟動 CA 服務器（如同應用程序事件日志記錄的那樣），這說明恢復完全成功。如果運行 -restore 以后，服務器啟動失敗，您會收到一個錯誤代碼。有關如果 -restore 失敗的詳細信息，也可以查看 RESTOREINPROGRESS 注冊表項。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從備份目錄或 PKCS #12 (.pfx) 文件恢復 CA 證書和密鑰

語法

certutil -restorekey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory|PFXFile

參數

-restorekey: 從指定的 BackupDirectory 或 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 PFXFile 恢復證書服務證書和私鑰。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定 PKCS #12 PFX 文件的備份位置。
PFXFile: 指定 PKCS #12 PFX 文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長度是 32 個字符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">轉儲 CA 數據庫架構，如列的名稱、類型和最大大小

語法

certutil -schema [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [{ext | attib | crl}]

參數

-schema: 轉儲 CA 數據庫href="HELP=glossary.hlp TOPIC=gls_schema">架構。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
ext: 顯示 Ext 表的架構。
attib: 顯示 Attib 表的架構。
crl: 顯示證書吊銷列表 (CRL) 的架構。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

示例

要查看 CA 數據庫的架構，請鍵入：

certutil -schema

用于對證書進行疑難解答的 Certutil 任務

Certutil 是解決證書頒發(fā)機構疑難問題的有力工具。可以使用 certutil 進行疑難解答。

要查看特定任務的語法，請單擊任務：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示存儲在與公鑰相關的文件中的信息

語法

certutil -dump [-f] [-gmt] [-seconds] [-split] [-v] [-p Password] [FileName]

參數

-dump: 轉儲配置信息或文件。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-p Password: 指定一個密碼。
FileName: 指定要顯示的配置文件的文件名。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看 CA 數據庫信息以及限制顯示的 CA 架構信息

語法

certutil -view [-gmt] [-seconds] [-silent] [-split] [-v] [-config CAMachineName\CAName] [-restrict RestrictionList] [-out ColumnList] [RequestID]

參數

-view: 轉儲證書頒發(fā)機構數據庫視圖。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-restrict RestrictionList: 限制文件的行，該文件由 RestrictionList 指定，是一個包含逗號分隔列表的文本文件。
-out ColumnList: 指定文件的列，該文件由 ColumnList 指定，是一個包含逗號分隔列表的文本文件。
RequestID: 指定請求標識號。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
如果使用時不帶參數，certutil 將顯示 CA 配置字符串列表。

示例

要列出由位于 Cacomputer1 且名稱為 Myentrootca 的 CA 發(fā)布的所有證書的電子郵件的主題名稱，請鍵入：

certutil -config cacomputer1\myentrootca -view -out request.email

要將顯示行限制到帶有請求標識符且大于 10,000 的行，然后僅顯示來自名稱為 Myentrootca 的 CA 的請求處理，請鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid>10,000"

若僅查看最后一行，請鍵入：

Certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $"

若僅查看第二行到最后一行，請鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $ - 1"

要查看所有對某個 CA 發(fā)出請求的電子郵件的主題名稱，請鍵入：

certutil -view -out email

要顯示基于用戶模板的證書的數字請求標識符，請鍵入：

certutil -view -restrict "Certificate Template=User" -out requestid

要顯示基于模板對象標識符 1.2.3.4.5.5.6.6.6.6.5.6 的證書的數字請求標識符，請鍵入：

certutil -view -restrict "Certificate Template=1.2.3.4.5.5.6.6.6.6.5.6" -out requestid

要顯示由 CA 頒發(fā)的未吊銷證書的所有系列號和請求標識符號碼，請鍵入：

certutil -view -restrict disposition==20 /out "serialnumber,requestid"

要查看對模板 MyTemplate 發(fā)出請求的用戶的電子郵件以及發(fā)出該請求的時間，請鍵入：

certutil -config cacomputer1\myentrootca -view -out email -restrict "CertificateTemplate == myTemplate, Disposition == 20"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">轉儲數據庫中證書的序列號

語法

參數

-view: 轉儲證書頒發(fā)機構數據庫視圖。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-restrict RestrictionList: 限制文件的行，該文件由 RestrictionList 指定，是一個包含逗號分隔列表的文本文件。
-out ColumnList: 指定文件的列，該文件由 ColumnList 指定，是一個包含逗號分隔列表的文本文件。
disposition==20: 指定 DB_DISP_ISSUED。
disposition==21: 指定 DB_DISP_REVOKED。
"serialnumber,requestid": 指定要顯示所有序列號和請求標識符號碼。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

示例

要顯示由 CA 頒發(fā)的未吊銷證書的所有系列號和請求標識符號碼，請鍵入：

certutil -view -restrict disposition==20 /out "serialnumber,requestid"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 注冊表設置

語法

certutil -getreg [-user] [-gmt] [-seconds] [-v] [{ca | restore | policy | exit |template}] [\ProgID] \RegistryValueName

參數

-getreg: 顯示注冊表信息。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
ca: 指定 CA 注冊表項。
restore: 指定 RESTORE 注冊表項。
policy: 指定 POLICYMODULE 注冊表項。
exit: 指定 EXITMODE 注冊表項。
template: 指定 TEMPLATE 注冊表項。
\ProgID: 指定策略或退出模塊的注冊表子項名稱。
\RegistryValueName: 指定注冊表項中的特定值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

Restore 僅在恢復模式下可用。
如果未指定 ProgID，certutil -getreg 將使用默認的策略模塊 CertificateAuthority_MicrosoftDefault.Policy。

示例

要顯示有關處于活動狀態(tài)的 CA 的信息，請鍵入：

certutil -getreg Active

要顯示 CA 的通用名稱，請鍵入：

certutil -getreg ca\CommonName

要顯示有關策略模塊采取何種部署操作的信息，請鍵入：

certutil -getreg Policy\RequestDisposition

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">設置 CA 注冊表，當請求到達時，執(zhí)行特定操作

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] policy\requestdisposition [{0 | 1 | 2 | 3}]

參數

-setreg

設置或編輯注冊表項的值。

-user

使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>

-gmt

以格林威治標準時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-v

指定詳細的輸出。

policy\requestdisposition

指定策略模塊和部署請求 ID。

{0 | 1 | 2 | 3}

為掛起的請求添加一個由下表所描述的值指定的操作。

值	描述
0	將傳入的請求設置為掛起狀態(tài)。
1	發(fā)布傳入的請求。
2	拒絕傳入的請求。
3	根據傳入請求的部署請求屬性進行操作。

-?

顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當可能會嚴重損壞您的系統(tǒng)。在更改注冊表之前，應備份計算機上任何有價值的數據。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">設置 CA 注冊表

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] [{ca | restore | policy | exit | template} [\ProgID]\RegistryValueName

參數

-setreg: 設置或編輯注冊表信息。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
ca: 指定 CA 注冊表項。
restore: 指定 RESTORE 注冊表項。
policy: 指定 POLICYMODULE 注冊表項。
exit: 指定 EXITMODE 注冊表項。
\ProgID: 指定策略或退出模塊的注冊表子項名稱。
\RegistryValueName: 指定注冊表項中的特定值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當可能會嚴重損壞您的系統(tǒng)。在更改注冊表之前，應備份計算機上任何有價值的數據。

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>
Restore 僅在恢復模式下運行 certutil 時才可用。
如果未指定 ProgID，certutil -getreg 將使用默認的策略模塊 CertificateAuthority_MicrosoftDefault.Policy。
可以使用 -setreg 來修改 DWORD 注冊表的特定標記。

示例

要設置請求部署為 1，請鍵入：

certutil /setreg policy\requestdisposition 1

要設置 DWORD 注冊表的 policy\RevocationType 中的第九位，請鍵入：

certutil -setreg policy\revocationtype +0x100

要重新設置 DWORD 注冊表的 policy\RevocationType 中的第九位，請鍵入：

certutil -setreg Policy\RevocationType -0x100

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">刪除注冊表值

語法

certutil -delreg [-user] [-gmt] [-seconds] [-v] [{ca | restore | policy | exit | template} [\ProgID] \RegistryValueName

參數

-delreg: 刪除注冊表值。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
ca: 指定 CA 注冊表項。
restore: 指定 RESTORE 注冊表項。
policy: 指定 POLICYMODULE 注冊表項。
exit: 指定 EXITMODE 注冊表項。
template: 指定 TEMPLATE 注冊表項。
\ProgID: 指定策略或退出模塊的注冊表子項名稱。
\RegistryValueName: 指定任意 CA 的注冊表值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機構。有關重新啟動“證書服務”的詳細信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務。class=anything id=certsrvbounce>
Restore 僅在備份和恢復模式下可用。
如果未指定 ProgID，certutil -getreg 將使用默認的策略模塊 CertificateAuthority_MicrosoftDefault.Policy。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">用本地語言顯示錯誤代碼的錯誤信息文本

語法

certutil -error ErrorCode

參數

-error: 用本地語言顯示錯誤信息文本，該語言由 Locale 注冊表項指定。
ErrorCode: 指定要用本地語言查看的錯誤代碼。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

ErrorCode 可以是有符號或無符號的十進制格式，也可以是帶有前綴 0x 的十六進制格式。
可以使用該命令將從“證書頒發(fā)機構”管理單元獲得的錯誤解碼。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗證服務器正在運行（ICertRequest 接口）

語法

certutil -ping [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數

-ping: Ping 證書服務的 ICertRequest 接口。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗證服務器正在在運行（ICertAdmin 接口）

語法

certutil -pingadmin [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數

-pingadmin: Ping 證書服務的 ICertAdmin 接口。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>
要確定是否成功完成該命令，請確保該用戶對服務器有管理訪問權限。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">通過文件生成并顯示加密哈希

語法

certutil -hashfile [-gmt] [-seconds] [-v] InFile

參數

-hashfile: 通過文件生成并顯示加密哈希。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
InFile: 指定要顯示哈希的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">轉儲 CA 數據庫架構

語法

certutil -schema [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [{Ext | Attib | CRL}]

參數

-config ConfigString: 使用配置字符串（即，ConfigString）指定的 CA 執(zhí)行該操作。如果不指定此選項，則由默認 CA 處理該請求。
-schema: 轉儲 CA 數據庫架構。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
Ext: 顯示 Ext 表的架構。
Attib: 顯示 Attib 表的架構。
CRL: 顯示證書吊銷列表 (CRL) 的架構。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機構”對話框將會出現，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認的 CA 處理操作。id=certtoolremark2>

示例

要查看 CA 數據庫的架構，請鍵入：

certutil -schema

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示當前用戶可用的所有密鑰容器名稱。

語法

certutil -key [-user] [-gmt] [-seconds] [-silent] [-v] [CSPName] [*]

參數

-key: 顯示本地計算機的密鑰容器。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標志獲得 CryptContext。
-v: 指定詳細的輸出。
CSPName: 指定要顯示的密鑰容器的加密服務提供程序 (CSP)。
*: 指定所有 CSP 的密鑰容器。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

RSA 是 Windows Server 2003 家族默認的 CSP。要指定替代的 CSP 提供程序，可以使用 CSPName 命令行選項。有關 RSA 的詳細信息，請參閱 target=_new>RSA Labs 網站。href="MS-ITS:C:\WINDOWS\Help\uadef.chm::/copyright.htm">網站地址可能變動，您可能無法連接到在這里提到的網站。class=anything id=para5>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">為委托的 CA 的交叉證書提供 PKCS#10 請求文件

語法

certutil -split [-gmt] [-seconds] [-v] CMC.req

參數

-split: 分析證書請求文件中的每個二進制（ASN.1 編碼）對象，然后將每個對象保存為單個二進制大對象 (blob) 文件。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
CMC.req: 指定要分析的加密消息語法 (CMS) 請求（該協(xié)議也稱為 CMC）文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

有關使用 certreq –policy 命令，從根證書創(chuàng)建 CMS 請求的詳細信息，請參閱“相關主題”中的 Certreq。在 Certreq 中，請參閱“從現有的 CA 證書或請求構造交叉證書或合格的部屬請求”任務。
如果可能，從現有的證書構造請求時，應該在安裝了輸入證書密鑰的計算機上運行 certreq –policy 命令。如果該私鑰不可用（通常發(fā)生在交叉驗證非 Microsoft CA 時），則 href="HELP=glossary.hlp TOPIC=gls_pkcs_10" name=ix_PKCS_10>PKCS #10 文件和外部的 CMS 都沒有簽名。大多數非 Microsoft CA 不接受未簽名的 PKCS#10。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">重新關聯(lián)私鑰及其證書

語法

certutil -repairstore [{-csp CSPName [-f]}] [-enterprise] [-user] [-gmt] [-seconds] [-split] [-v] [{ca | my| root | spc}] CertIndex

參數

-repairstore: 修復 ca 存儲區(qū)中密鑰提供程序的信息。
-csp: 僅使用指定的加密服務提供程序 (CSP) 來定位和修復密鑰。
CSPName: 指定要使用的 CSP 的名稱。
-f: 與 -csp 一起，在必要時用來定位密鑰以使用指定的 CSP 強制搜索密鑰。
-enterprise: 使用本地計算機企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
ca: 在“中級證書頒發(fā)機構”存儲中指定證書。
my: 指定頒發(fā)給本地計算機的證書。
root: 在“受信任的根證書頒發(fā)機構”存儲中指定證書。
spc: 指定軟件發(fā)行商證書。
CertIndex: 指定安全哈希算法 (SHA-1) 證書哈希、序列號或證書索引標識符。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果證書位于 HKEY_LOCAL_MACHINE 證書存儲區(qū)，請不要使用 -user。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗證 AIA 和 CDP 擴展中的 URL 的合法性和正確性

語法

certutil -url [-f] [-gmt] [-seconds] [-split] [-v] CertFile.crt

參數

-url: 驗證證書或證書吊銷列表 (CRL) 的 URL。
-f: 覆蓋現有的文件或表項。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
CertFile.crt: 指定證書文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確保 URL 是合法的并指向相應的 CRL，或在頒發(fā) CA 證書時，可以使用該命令來檢查頒發(fā)機構信息訪問 (AIA) 和 CRL 分布點 (CDP) 擴展，然后反參照這些擴展里的 URL。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢查智能卡上的證書

語法

certutil -scinfo [-gmt] [-seconds] [-silent] [-split] [-v] [ReaderName]

參數

-scinfo: 顯示智能卡信息。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細的輸出。
ReaderName: 指定智能卡閱讀器的名稱。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看本地安裝的模板

語法

certutil -template [-user] [-ut] [-mt] [-gmt] [-seconds] [-v] TemplateName

參數

-template: 顯示指定的模板。
-user: 使用 HKEY_CURRENT_USER 項或證書存儲。id=currentuserkey>
-ut: 顯示用戶模板。
-mt: 顯示計算機模板。
-gmt: 以格林威治標準時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細的輸出。
TemplateName: 指定要查看的模板的名稱。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">確定密鑰對使用的 CSP

語法

certutil PFXfile.pfx

參數

PFXfile.pfx: 指定一個擴展名為 .pfx 的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

導入該 .pfx 文件后，可以使用下面的語法顯示 HKEY_CURRENT_USER 的“My”存儲區(qū)。

certutil /user /store my [CertIndex]

該命令以 Provider=xxx 的形式顯示每個證書密鑰的加密服務提供程序 (CSP)。
可以將 CertIndex 替換為小數、以零為基的證書存儲區(qū)索引號、通用名稱、安全哈希算法 (SHA-1) 或公鑰 SHA-1。

格式化圖例

格式	含義
斜體	用戶必須提供的信息
粗體	用戶必須準確鍵入的要顯示的元素
省略號 (...)	在命令行中可多次重復的參數
中括號 ([])	可選項
大括號 ({})；選項用豎線 (\|) 分隔。例如：{even\|odd}	用戶必須從選項集合中選擇一個
`Courier 字體`	代碼或程序輸出

前一則: Certreq
后一則: Change

本頁查看次數:

欧美一级国产AAA大片,台湾老熟女在线视频,日本亚洲一区二区三区,亚洲精品国产精品乱码不卡,成人亚洲A片V一区二区三区蜜月,久久精品国产成人公司亚洲国产精品久久久久秋霞,日本熟妇人妻中出

用于對證書進行編碼和解碼的 Certutil 任務

語法

參數

語法

參數

語法

參數

語法

參數

語法

參數

語法

參數

配置證書頒發(fā)機構 (CA) 的 Certutil 任務

語法

參數

注釋

語法

參數

注釋

語法

參數

注釋

語法

參數

注釋

示例

語法

參數

注釋

示例

語法

參數

示例

語法

參數

注釋

語法

參數

語法

參數

注釋

語法

參數

注釋

示例

用于管理“證書頒發(fā)機構 (CA)”的 Certutil 任務

語法

參數

語法

參數

注釋

示例

語法

參數

注釋

語法

參數

語法

參數

注釋

語法

參數

注釋

語法

參數

注釋

語法

參數

注釋

語法

參數

注釋

語法

參數

注釋

語法

參數

注釋