樹結(jié)構(gòu)圖

TOP 10

您現(xiàn)在的位置： > 技術(shù)沙龍 > 操作系統(tǒng) > Window > 管理和腳本撰寫工具 > 命令行參考 A-Z > C類 > Certutil

相關(guān)軟件
>Certutil　創(chuàng)建者：webmaster　更新時間：2005-10-13 21:45

Certutil.exe 是在 Windows Server 2003 家族中安裝為“證書服務(wù)”一部分的命令行程序。可使用 Certutil.exe 轉(zhuǎn)儲并顯示href="HELP=glossary.hlp TOPIC=gls_certification_authority"
name=ix_certification_authority>證書頒發(fā)機(jī)構(gòu) (CA) 配置信息、配置“證書服務(wù)”、備份和恢復(fù) CA 組件，還可驗(yàn)證證書、密鑰對和證書鏈。

有關(guān)如何使用 Certutil.exe 執(zhí)行特定任務(wù)的詳細(xì)信息，請參閱以下主題：

用于對證書進(jìn)行編碼和解碼的 Certutil 任務(wù)
用于配置證書頒發(fā)機(jī)構(gòu) (CA) 的 Certutil 任務(wù)
用于管理證書頒發(fā)機(jī)構(gòu) (CA) 的 Certutil 任務(wù)
用于管理證書的 Certutil 任務(wù)
用于管理 CRL 的 Certutil 任務(wù)
用于密鑰存檔和恢復(fù)的 Certutil 任務(wù)
用于備份和恢復(fù)證書的 Certutil 任務(wù)
用于對證書進(jìn)行疑難解答的 Certutil 任務(wù)

用于對證書進(jìn)行編碼和解碼的 Certutil 任務(wù)

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書編碼為一個 base64 文件

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">對一個 base64 編碼證書進(jìn)行解碼

語法

certutil -decode [-f] [-v] InFile OutFile

參數(shù)

-decode: 對一個 base64 編碼文件進(jìn)行解碼。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
InFile: 指定要解碼的 base64 編碼文件。
OutFile: 指定要接收輸出的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">解碼 base64 編碼請求為 DER 編碼請求

語法

certutil -decode [-f] [-v] Base64Request.req DERrequest.der

參數(shù)

-decode: 對一個 base64 編碼文件進(jìn)行解碼。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
Base64Request.req: 指定要解碼的 base64 編碼請求。
DERrequest.der: 指定要創(chuàng)建的 DER 編碼請求（與 Entrust 兼容）。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">解碼 DER 編碼請求為一個 base64 編碼請求

語法

certutil -encode [-f] [-v] DERrequest.der Base64Request.req

參數(shù)

-encode: 將證書編碼為一個 base64 文件。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
DERrequest.der: 指定要解碼的 DER 編碼請求（與 Entrust 兼容）。
Base64Request.req: 指定要創(chuàng)建的 base64 編碼請求。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書編碼為一個十六進(jìn)制文件

語法

certutil -encodehex [-f] [-v] InFile OutFile

參數(shù)

-encodehex: 將證書編碼為一個十六進(jìn)制文件。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
InFile: 指定要將其編碼為一個十六進(jìn)制文件的證書。
OutFile: 指定要創(chuàng)建的十六進(jìn)制文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">對一個十六進(jìn)制編碼文件進(jìn)行解碼

語法

certutil -decodehex [-f] [-v] InFile OutFile.der

參數(shù)

-decodehex: 對一個十六進(jìn)制編碼文件進(jìn)行解碼。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-v: 指定詳細(xì)的輸出。
InFile: 指定要解碼的十六進(jìn)制編碼文件。
OutFile.der: 指定要接收輸出的 DER 編碼文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

配置證書頒發(fā)機(jī)構(gòu) (CA) 的 Certutil 任務(wù)

可使用 certutil 執(zhí)行一些 CA 配置任務(wù)。

要查看特定任務(wù)的語法，請單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 屬性類型信息

語法

certutil -capropinfo [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-capropinfo: 顯示 CA 屬性類型信息。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 的配置字符串

語法

certutil -getconfig [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-getconfig: 檢索默認(rèn)配置字符串。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">為“證書服務(wù)”Web 服務(wù)器創(chuàng)建或刪除一組標(biāo)準(zhǔn)的虛擬根和文件共享

語法

certutil -vroot [-gmt] [-seconds] [-v] [delete]

參數(shù)

-vroot: 為“證書服務(wù)”Web 服務(wù)器創(chuàng)建虛擬根。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
delete: 刪除“證書服務(wù)”Web 服務(wù)器的虛擬根。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果沒有啟用活動服務(wù)器頁 (ASP)，則該命令啟用 ASP。
如果在安裝 IIS 之前已經(jīng)安裝了 CA Web 注冊頁，則無需創(chuàng)建虛擬根。要在安裝 IIS 后創(chuàng)建虛擬根，請?jiān)诿钐崾痉墟I入：

"certutil -vroot"

該命令無法安裝 Web 注冊頁。但它創(chuàng)建指向 Web 注冊頁的 IIS 虛擬根、CA 證書、href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL) 和注冊控制（即 xenroll.dll 和 scrdenrl.dll）。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 信息

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [InfoName]

參數(shù)

-cainfo

顯示 CA 信息。

-f

覆蓋現(xiàn)有的文件或表項(xiàng)。

-gmt

以格林威治標(biāo)準(zhǔn)時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-split

拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>

-v

指定詳細(xì)的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

InfoName

指定要顯示的 CA 信息。使用下表中的任一值。

值	描述
file	顯示有關(guān)文件版本的信息。
product	顯示產(chǎn)品版本。
exitcount	顯示退出模塊計(jì)數(shù)。
exit [Index]	顯示退出模塊描述。
policy	顯示策略模塊描述。
name	顯示 CA 名稱。
sanitizedname	顯示清潔過的 CA 名稱。
sharedfolder	顯示共享文件夾。
error1 ErrorCode	顯示本地語言中的錯誤碼消息。對于 ErrorCode，請指定要檢索的錯誤碼。
error2 ErrorCode	顯示本地語言中的錯誤碼消息和錯誤碼。對于 ErrorCode，請指定要檢索的錯誤碼。
type	顯示 CA 類型。
info	顯示 CA 信息。
parent	顯示父 CA。
certcount	顯示 CA 證書計(jì)數(shù)。
xchgcount	顯示 CA 交換證書計(jì)數(shù)。
kracount	顯示密鑰恢復(fù)代理 (KRA) 證書的數(shù)目。
kraused	顯示正在使用的 KRA 證書的數(shù)目。
propidmax	顯示最大的 CA PropID。
certstate [Index]	顯示 CA 的證書狀態(tài)。
certstatuscode [Index]	顯示 CA 的證書驗(yàn)證狀態(tài)。
crlstate [Index]	顯示證書吊銷列表 (CRL)。
krastate [Index]	顯示 KRA 證書。
crossstate+ [Index]	正向交叉證書。
crossstate- [Index]	反向交叉證書。
cert [Index]	顯示 CA 證書。
certchain [Index]	顯示 CA 證書鏈。
certcrlchain [Index]	顯示帶有 CRL 的 CA 證書鏈。
xchg [Index]	顯示 CA 交換證書。
xchgchain [Index]	顯示 CA 交換證書鏈。
xchgcrlchain [Index]	顯示帶有 CRL 的 CA 交換證書鏈。
kra [Index]	顯示 KRA 證書。
cross+ [Index]	正向交叉證書。
cross- [Index]	反向交叉證書。
crl [Index]	顯示一個基 CRL。
deltacrl [Index]	顯示一個增量 CRL。
crlstatus [Index]	顯示 CRL 發(fā)布狀態(tài)。
deltacrlstatus [Index]	顯示增量 CRL 發(fā)布狀態(tài)。
dns	顯示 DNS 名稱。
role	顯示角色分離。
ads	顯示 Advanced Server。
templates	顯示模板。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要顯示 CA 信息，請鍵入：

certutil -cainfo

要顯示一個 CA 證書狀態(tài)處理，請鍵入：

certutil -cainfo certstate

要顯示 CRL 信息，請鍵入：

certutil -cainfo crlstate

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">確定 CA 是否已續(xù)訂

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [certstate]

參數(shù)

-cainfo: 顯示 CA 信息。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
certstate: 返回一個包含證書狀態(tài)處理的 LONG。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
如果 CA 索引大于 0，則已經(jīng)續(xù)訂 CA 證書。命令輸出顯示索引信息。
如果任一較早 CA 證書過期且通過使用現(xiàn)有密鑰重新生成，則不為該 CA 密鑰發(fā)布 CRL。如果從未為新密鑰續(xù)訂，則將禁止 CRL 生成。如果生成和發(fā)布新 CRL，則您將無法解決該問題，但可使用 CRL 幫助確認(rèn)條件。要強(qiáng)制生成和發(fā)布 CRL，請鍵入：

certutil -crl
Windows 2000 服務(wù)數(shù)據(jù)包中提供了該條件的修補(bǔ)程序。

示例

要顯示一個 CA 證書狀態(tài)處理，請鍵入：

certutil -cainfo certstate

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">更改從 CA 中頒發(fā)的證書的有效期長度

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] HKLM\system\currentcontrolset\services\certsvc\configuration[{\CAName | \ca}]\ValidityPeriod {"days" | "weeks" | "months" | "years"}

certutil -setreg [-user] [-gmt] [-seconds] [-v] HKLM\system\currentcontrolset\services\certsvc\configuration[{\CAName | \ca}]\ValidityPeriodUnits "UnitValue"

參數(shù)

-setreg: 設(shè)置或編輯注冊表項(xiàng)的值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
HKLM\system\currentcontrolset\services\certsvc\configuration\: 指定 ValidityPeriod 和 ValidityPeriodUnits 注冊表項(xiàng)的路徑。
CAName: 指定 CA 的名稱。
ca: 指定本地計(jì)算機(jī)上的默認(rèn) CA。
\ValidityPeriod {"days" | "weeks" | "months" | "years"}: 設(shè)置該證書有效的時間段。指定日期、星期、月份或年份。接受引號中的時間段。
\ValidityPeriodUnits "UnitValue": 為 ValidityPeriod 設(shè)置數(shù)值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當(dāng)可能會嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊表之前，應(yīng)備份計(jì)算機(jī)上任何有價值的數(shù)據(jù)。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>

示例

可設(shè)置企業(yè)限定下屬 CA 具有與父 CA 不同的證書有效期。在頒發(fā)下屬 CA 證書的 CA 計(jì)算機(jī)上，鍵入以下命令以便設(shè)置有效期為三個月：

certutil -setreg ca\ValidityPeriod "months"

certutil -setreg ca\ValidityPeriodUnits "3"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">強(qiáng)制 CA 在以后的基和增量 CRL 中包括過期的證書

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] ca\CRLFlags +CRLF_PUBLISH_EXPIRED_CERT_CRLS

參數(shù)

-setreg: 設(shè)置或編輯注冊表項(xiàng)的值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca: 指定 CA 注冊表項(xiàng)。
CRLFlags: 指定注冊表值名稱。
CRLF_PUBLISH_EXPIRED_CERT_CRLS: 指定新數(shù)字或字符串注冊表值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>
使用該命令可驗(yàn)證已過期的加蓋時間戳的證書的吊銷狀態(tài)。
如果數(shù)字注冊表值以加號 (+) 或短劃線 (-) 開頭，則在現(xiàn)有注冊表值中設(shè)置或清除新值中指定的位。
如果字符串注冊表值以加號 (+) 或短劃線 (-) 開頭，且現(xiàn)有值為 REG_MULTI_SZ 值，則字符串值將從現(xiàn)有注冊表值中添加或刪除。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">配置 CA 在默認(rèn)的兩年限制后頒發(fā)證書

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] ca\ValidityPeriod "years"

certutil -setreg ca\ValidityPeriodUnits "2"

參數(shù)

-setreg: 設(shè)置或編輯注冊表項(xiàng)的值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca\ValidityPeriod "years": 設(shè)置該證書的有效長度為年。
ca\ValidityPeriodUnits "2": 設(shè)置“年”期限值為二。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當(dāng)可能會嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊表之前，應(yīng)備份計(jì)算機(jī)上任何有價值的數(shù)據(jù)。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">增加在 CA 數(shù)據(jù)庫中的會話限制

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] dbsessioncount 30

參數(shù)

-setreg: 設(shè)置或編輯注冊表項(xiàng)的值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
dbsessioncount 30: 指定新會話限制。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當(dāng)可能會嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊表之前，應(yīng)備份計(jì)算機(jī)上任何有價值的數(shù)據(jù)。

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">禁用或還原 CA 上的可分辨的名稱長度的強(qiáng)制

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] ca\ENFORCEX500NAMELENGTHS {0 | 1}

參數(shù)

-setreg: 設(shè)置或編輯指定的注冊表值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca\ENFORCEX500NAMELENGTHS: 指定 REG_DWORD\ENFORCEX500NAMELENGTHS 注冊表值的路徑。
{0 | 1}: 指定是否禁用（指定 0）或還原（指定 1）默認(rèn)的 REG_DWORD\ENFORCEX500NAMELENGTHS 注冊表值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>
在現(xiàn)有對象確定的情況下使用該命令，但該請求被證書服務(wù)器拒絕。

示例

要禁用該服務(wù)器上的組織單元長度強(qiáng)制，請鍵入：

certutil -setreg ca\enforceX500namelengths 0

要還原默認(rèn)的 REG_DWORD\ENFORCEX500NAMELENGTHS 注冊表值，請鍵入：

certutil -setreg ca\enforceX500namelengths 1

用于管理“證書頒發(fā)機(jī)構(gòu) (CA)”的 Certutil 任務(wù)

您可使用 certutil 執(zhí)行一些 CA 管理任務(wù)。

要查看特定任務(wù)的語法，請單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示存儲在與公鑰相關(guān)的文件中的信息

語法

certutil -dump [-f] [-gmt] [-seconds] [-split] [-v] [-p Password] [File]

參數(shù)

-dump: 轉(zhuǎn)儲配置信息或文件。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-p Password: 指定一個密碼。
File: 指定要顯示的配置文件的文件名。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">當(dāng)查看 CA 數(shù)據(jù)庫信息時，限制從 CA 架構(gòu)中顯示的行

語法

certutil -view [-gmt] [-seconds] [-silent] [-split] [-v] [-config CAMachineName\CAName] [-restrict RestrictionList] [-out ColumnList] [-out] [RequestID]

參數(shù)

-view: 轉(zhuǎn)儲證書頒發(fā)機(jī)構(gòu)數(shù)據(jù)庫視圖。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-restrict RestrictionList: 限制從該架構(gòu)中顯示的行。指定一個以逗號分隔的限制列表。
-out ColumnList: 指定一個以逗號分隔的列表。
RequestID: 指定請求標(biāo)識號。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要列出來自 Cacomputer1 的名為 Myentrootca 的 CA 頒發(fā)的所有證書的主題電子郵件名，請鍵入：

certutil -config cacomputer1\myentrootca -view -out request.email

要將顯示行限制到帶有請求標(biāo)識符且大于 10,000 的行，然后僅顯示來自名稱為 Myentrootca 的 CA 的請求處理，請鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid>10,000"

若僅查看最后一行，請鍵入：

Certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $"

若僅查看第二行到最后一行，請鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $ - 1"

要查看到 CA 的所有請求的主題電子郵件名，請鍵入：

certutil -view -out email

要顯示基于用戶模板的證書的數(shù)字請求標(biāo)識符，請鍵入：

certutil -view -restrict "Certificate Template=User" -out requestid

要顯示基于模板對象標(biāo)識符 1.2.3.4.5.5.6.6.6.6.5.6 的證書的數(shù)字請求標(biāo)識符，請鍵入：

certutil -view -restrict "Certificate Template=1.2.3.4.5.5.6.6.6.6.5.6" -out requestid

要顯示由 CA 頒發(fā)的未吊銷證書的所有系列號和請求標(biāo)識號，請鍵入：

certutil -view -restrict disposition==20 /out "serialnumber,requestid"

要查看為名為“我的模板”的模板做出請求的用戶的電子郵件，并在頒發(fā)該請求時還能查看，請鍵入：

certutil -config cacomputer1\myentrootca -view -out email -restrict "CertificateTemplate == myTemplate, Disposition == 20"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 信息

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [InfoName [{Index | ErrorCode}]]

參數(shù)

-cainfo

顯示 CA 信息。

-f

覆蓋現(xiàn)有的文件或表項(xiàng)。

-gmt

以格林威治標(biāo)準(zhǔn)時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-split

拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>

-v

指定詳細(xì)的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

InfoName

從下表中任一值指定要顯示的有關(guān) CA 的信息。

值	描述
file	顯示有關(guān)文件版本的信息。
product	顯示產(chǎn)品版本。
exitcount	顯示退出模塊計(jì)數(shù)。
exit [Index]	顯示退出模塊描述
policy	顯示策略模塊描述。
name	顯示 CA 名稱。
sanitizedname	顯示清潔過的 CA 名稱。
sharedfolder	顯示共享文件夾。
error1 ErrorCode	顯示本地化的錯誤碼消息。
error2 ErrorCode	顯示本地化錯誤碼消息和錯誤碼。
type	顯示 CA 類型。
info	顯示 CA 信息。
parent	顯示父 CA。
certcount	顯示 CA 證書計(jì)數(shù)。
xchgcount	顯示 CA 交換證書計(jì)數(shù)。
kracount	顯示 KRA 證書計(jì)數(shù)。
kraused	顯示 KRA 的證書使用計(jì)數(shù)。
propidmax	顯示最大的 CA PropID。
certstate [Index]	顯示 CA 的證書狀態(tài)。
certstatuscode [Index]	顯示 CA 的證書驗(yàn)證狀態(tài)。
crlstate [Index]	顯示一個 CRL。
krastate [Index]	顯示 KRA 證書。
crossstate+ [Index]	正向交叉證書。
crossstate- [Index]	反向交叉證書。
cert [Index]	顯示 CA 證書。
certchain [Index]	顯示 CA 證書鏈。
certcrlchain [Index]	顯示帶有 CRL 的 CA 證書鏈。
xchg [Index]	顯示 CA 交換證書。
xchgchain [Index]	顯示 CA 交換證書鏈。
xchgcrlchain [Index]	顯示帶有 CRL 的 CA 交換證書鏈。
kra [Index]	顯示 KRA 證書。
cross+ [Index]	正向交叉證書。
cross- [Index]	反向交叉證書。
crl [Index]	顯示一個基 CRL。
deltacrl [Index]	顯示一個“增量 CRL”。
crlstatus [Index]	顯示“CRL 發(fā)布狀態(tài)”。
deltacrlstatus [Index]	顯示“增量 CRL 發(fā)布狀態(tài)”。
dns	顯示 DNS 名稱。
role	顯示“角色分隔”。
ads	顯示 Advanced Server。
templates	顯示模板。

Index

驗(yàn)證來自 InfoName 表的唯一性元素。

ErrorCode

指定從錯誤消息中檢索的錯誤碼。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">確定 CA 是否還未續(xù)訂

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [certstate]

參數(shù)

-cainfo: 顯示 CA 信息。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
certstate: 返回一個包含證書狀態(tài)處理的 LONG。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 CA 中檢索一個模板列表

語法

certutil -cainfo [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] templates

參數(shù)

-cainfo: 顯示 CA 信息。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
templates: 指定模板 InfoName 參數(shù)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看由本地 CA 支持的模板列表

語法

certutil -catemplates [-user] [-ut] [-mt] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-dc DCName] [Template]

參數(shù)

-catemplates: 顯示 CA 模板。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-ut: 顯示用戶模板。
-mt: 顯示計(jì)算機(jī)模板。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
Template: 指定模板。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示標(biāo)記數(shù)據(jù)庫文件和數(shù)據(jù)庫目錄的列表。

語法

certutil -databaselocations [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-databaselocations: 顯示數(shù)據(jù)庫位置。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在每一行顯示十六進(jìn)制緩沖區(qū)偏移量和十六進(jìn)制類型標(biāo)記。
有關(guān)類型標(biāo)記定義的詳細(xì)信息，請參閱 target=_new>Microsoft Platform SDK 網(wǎng)站 (http://www.microsoft.com/) 上的“證書服務(wù)”備份 API 文檔和“certbcli.h”。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">拒絕證書請求

語法

certutil -deny [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID

參數(shù)

-deny: 拒絕掛起證書請求。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RequestID: 指定請求標(biāo)識號。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
RequestID 必須是十進(jìn)制格式或以 0x 開頭的十六進(jìn)制格式。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書或 CRL 發(fā)布到 Active Directory

語法

certutil -dsPublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] CertFile {ntauthca | rootca | subca | crossca | kra | user | machine}

certutil -dsPublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] CRLFile [DSCDPContainer [DSCDPCN]]

參數(shù)

-dsPublish: 將新證書或 CRL 發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
CertFile: 指定證書。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲。
rootca: 指定要將證書發(fā)布到根 CA 存儲。
subca: 指定要將證書發(fā)布到下屬 CA 存儲。
crossca: 指定要將證書發(fā)布到交叉證明的 CA 存儲。
kra: 指定要將證書發(fā)布到密鑰恢復(fù)代理存儲。
user: 指定要將證書發(fā)布到用戶存儲。
machine: 指定要將證書發(fā)布到計(jì)算機(jī)存儲。
CRLFile: 查看證書吊銷列表。
DSCDPContainer: 指定 Active Directory 證書吊銷列表分布點(diǎn) (CDP) 容器公用名 (CN)，通常是 CA 計(jì)算機(jī)名稱。
DSCDPCN: 指定 Active Directory 證書吊銷列表分布點(diǎn) (CDP) 對象公用名 (CN)，通?；谇鍧嵾^的 CA 簡稱和密鑰檢索。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須以計(jì)算機(jī)管理員身份登錄才能完成該過程。
如果 CA 為智能卡登錄頒發(fā)證書，則將 CA 證書發(fā)布到 NTAuth 是必要的。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書添加到 NTAuth 存儲

語法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] NewCert ntauthca

參數(shù)

-dspublish: 將新證書或 CRL 發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
NewCert: 指定要發(fā)布的證書。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須具有 Enterprise Administrator 的訪問權(quán)限才能使用該命令。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">在 non-Microsoft CA 下服從 Microsoft CA

語法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] non-MicrosoftCert rootca

參數(shù)

-dspublish: 將新證書發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
non-MicrosoftCert: 指定 non-Microsoft 證書名稱。
rootca: 指定要將證書發(fā)布到根 CA 存儲。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須以計(jì)算機(jī)管理員身份登錄才能完成該過程。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將交叉證明發(fā)布到 Active Directory 交叉證明存儲

語法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] CrossCert crossca

參數(shù)

-dspublish: 將新證書發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
CrossCert: 指定要發(fā)布的交叉證書文件。
crossca: 指定將該交叉證書發(fā)布到 Active Directory CA 對象中。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須以計(jì)算機(jī)管理員身份登錄才能完成該過程。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示必須分別備份的動態(tài)文件的列表

語法

certutil -dynamicfilelist [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-dynamicfilelist: 顯示動態(tài)文件列表。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
該服務(wù)器上包括證書吊銷列表 (CRL) 的本地副本。
在每一行顯示十六進(jìn)制緩沖區(qū)偏移量。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 CA 數(shù)據(jù)庫中刪除不需要的請求

語法

certutil -deleterow [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RowID Date {request | cert | attrib crl}

參數(shù)

-deleterow: 刪除 CA 數(shù)據(jù)庫中的一行。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RowID: 指定要刪除行的請求標(biāo)識符。
Date: 指定查詢的日期限制。
request: 指定請求表。
cert: 指定證書表。
ext: 指定證書擴(kuò)展表。
attrib: 指定屬性表。
crl: 指定證書吊銷列表 (CRL) 表。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

當(dāng)使用該命令刪除多于一行時，您必須同時是“CA 管理員”和“證書管理員”，以便完成該任務(wù)。在這種情況下，一定不能將 CA 配置為強(qiáng)制執(zhí)行角色分隔。有關(guān)基于角色管理的詳細(xì)信息，請參閱“相關(guān)主題”。
您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
使用 Date

您可使用 mm/dd/yyyy 00:00 日期格式，這里 00:00 必須是指定為 AM 或 PM 的標(biāo)準(zhǔn)時間。

如果沒有時間就指定 Date，則 Certutil.exe 將刪除指定日期之前頒發(fā)的所有請求，但無法刪除在指定日期中頒發(fā)的請求。

如果通過 Date 刪除行，則 Certutil.exe 無法刪除 CA 證書或 CA 證書鏈行。要刪除 CA 證書和 CA 證書鏈行，您必須通過 RowID 刪除行。

如果之后出現(xiàn) Date，則 Certutil.exe 失敗，且顯示無效的參數(shù)錯誤。使用“-f”覆蓋無效的參數(shù)錯誤。
您可使用該命令刪除“拒絕服務(wù)”錯誤。

示例

要刪除 1/22/2001 之前最后修改的失敗且掛起的請求，請鍵入：

certutil -deleterow 1/22/2001 request

要刪除 1/22/2001 之前過期的所有證書，請鍵入：

certutil -deleterow 1/22/2001 cert

要刪除 RequestID 37 的證書行、屬性和擴(kuò)展，請鍵入：

certutil -deleterow 37

要刪除 1/22/2001 之前過期的 CRL，請鍵入：

certutil -deleterow 1/22/2001 crl

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將本地語言中出現(xiàn)的顯示名稱添加到證書模板

語法

certutil -oid [-f] [-gmt] [-seconds] [-v] "TemplateOID" LocalizedFriendlyName [LanguageID]

參數(shù)

-oid: 定義證書模板中的顯示名稱。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
"TemplateOID": 指定引號中的證書模板的對象標(biāo)識符。
LocalizedFriendlyName: 指定要將其添加到該證書模板的顯示名稱。
LanguageID: 設(shè)置指定對象的本地語言標(biāo)識符。LocalizedFriendlyName 在指定語言中出現(xiàn)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

為使更改生效，請重新啟動計(jì)算機(jī)。
如果沒有指定 LanguageID，則 Certutil.exe 將使用當(dāng)前系統(tǒng)默認(rèn)的 1033。
LanguageID 是十六進(jìn)制的本地標(biāo)識符 (LCID) 值的十進(jìn)制表示形式。有關(guān) LCID 值的詳細(xì)信息，請參閱 id=MSUrl title=http://www.microsoft.com/
target=_new>Microsoft 網(wǎng)站上的“Table Appendix F Locale-Specific Code Page”（表附錄 F 區(qū)域設(shè)置規(guī)范代碼頁）信息。class=printOnly>(http://www.microsoft.com/)

示例

要在“繁體中文”語言中，其“1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268”是對象標(biāo)識號 (TemplateOID) 且 CHT 是轉(zhuǎn)換成現(xiàn)有“V2 模板”的中文顯示名稱 (LocalizedFriendlyName)，創(chuàng)建模板“客戶端登錄”的本地化顯示名稱，請鍵入：

certutil -oid "1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268" "CHT" 1028

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

1028 是十六進(jìn)制值 0x0404 的十進(jìn)制表示形式，是“繁體中文”語言的 LCID。

該命令輸出看似:


  certutil -oid "1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268" CHT 1028 1.3.6.1.4.1.311.21.8.1557419691.1089984386.1082389667.3771302274.3689527714.2342735268 -- 客戶端登錄無顯示名稱 

  添加到 Active Directory 存儲的本地化名稱。

  0: 1028，CHT

  CertUtil: -oid 命令成功完成。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">通過序列號吊銷證書

語法

certutil -revoke [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] SerialNumber [Reason]

參數(shù)

-revoke

吊銷該證書。

-gmt

以格林威治標(biāo)準(zhǔn)時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-v

指定詳細(xì)的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

SerialNumber

指定要吊銷證書的序列號。

Reason

指定以下任一理由碼:

理由碼值	定義
0	未指定的
1	密鑰泄露
2	CA 泄露
3	隸屬關(guān)系改變
4	取代
5	停止操作
6	保持吊銷
8	從 CRL 中刪除
-1	解除吊銷

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
SerialNumber 必須是十六進(jìn)制格式而且使用偶數(shù)。單獨(dú)的一個零 (0) 可以置于一個奇數(shù)值的首位。不允許以 0x 開頭。
理由碼值 6 是可解除吊銷的唯一值。
理由碼 0 無法提供有關(guān)吊銷理由的信息。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">在掛起證書請求中設(shè)置屬性

語法

certutil -setattributes [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID AttributeString

參數(shù)

-setattributes: 為掛起請求設(shè)置屬性。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RequestID: 指定由請求標(biāo)識符標(biāo)識的請求。
AttributeString: 指定設(shè)置在請求標(biāo)識符證書的請求屬性字符串。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
RequestID 必須是十進(jìn)制格式（或帶有前綴 0x 的十六進(jìn)制格式）。指定的請求必須處于掛起的狀態(tài)。
使用“\n”分隔字符串中的多個值。
AttributeString 請求屬性名稱和值對。用冒號分隔名稱和值對。多個名稱和值對可通過將它們放置在新行分隔開。例如：

"CertificateTemplate:User\nEmail:User@domain.com"

每個“\n”序列轉(zhuǎn)換為一個換行符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">在證書請求中設(shè)置擴(kuò)展

語法

certutil -setextension [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID ExtensionName Flags {LongValue | DateValue | StringValue | @InFile}

參數(shù)

-setextension

為掛起請求設(shè)置擴(kuò)展。

-gmt

以格林威治標(biāo)準(zhǔn)時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-v

指定詳細(xì)的輸出。

-config CAMachineName\CAName

使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>

RequestID

指定掛起請求的數(shù)字請求標(biāo)識符。

ExtensionName

指定擴(kuò)展的 ObjectID 字符串。

Flags

指定以下任一標(biāo)志：

值	描述
0	設(shè)置該擴(kuò)展為非關(guān)鍵。
1	設(shè)置該擴(kuò)展為關(guān)鍵。

@InFileValue

指定以下任一格式接受的字符串，且字符串滿足指定條件：@InFileValue 如果該值以 @ 符號開頭，則其他標(biāo)記是包含二進(jìn)制數(shù)據(jù)或 ASCII 文本十六進(jìn)制轉(zhuǎn)儲的文件名。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
RequestID 必須是以 0x 開頭的十進(jìn)制格式或十六進(jìn)制格式。
如果有要添加到掛起請求的具有準(zhǔn)確的擴(kuò)展編碼的現(xiàn)有請求或證書，則您可將該請求或證書，還有每個擴(kuò)展的 ASCII 文本十六進(jìn)制轉(zhuǎn)儲，轉(zhuǎn)儲到一個文件。

示例

下面為非關(guān)鍵擴(kuò)展名的有效示例：

certutil -setextension 123 1.3.6.1.4.1.311.20.2 0 Subcertification authority (CA)

指定的請求必須處于掛起的狀態(tài)。

如果有名為 MyCert.cer 的現(xiàn)有證書，且具有要添加到掛起請求的準(zhǔn)確的擴(kuò)展編碼，則您可使用以下命令轉(zhuǎn)儲該請求和每個擴(kuò)展的 ASCII 文本十六進(jìn)制轉(zhuǎn)儲：

certutil -v mycert.cer

之后您可復(fù)制該 ASCII 文本十六進(jìn)制擴(kuò)展 1.2.3.4.5 到一個文本文件，然后將該文件命名為 Foo.txt。

要將 1.2.3.4.5 擴(kuò)展添加到具有數(shù)字請求標(biāo)識符 37 的掛起請求，請使用以下命令：

certutil -setextension 37 1.2.3.4.5 0 @foo.txt

要頒發(fā)該證書，請鍵入：

certutil -resubmit 37

要檢索頒發(fā)的證書，請鍵入：

certreq -retrieve 37 foo.crt foo.p7b

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">重新提交掛起證書請求

語法

certutil -resubmit [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] RequestID

參數(shù)

-resubmit: 重新提交掛起請求。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
RequestID: 指定請求標(biāo)識號。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
RequestID 必須是以 0x 開頭的十進(jìn)制格式或十六進(jìn)制格式。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">關(guān)閉 CA 服務(wù)器

語法

certutil -shutdown [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-shutdown: 關(guān)閉 CA 服務(wù)器。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證密鑰設(shè)置

語法

certutil -verifykeys [-gmt] [-silent] [-v] [-config CAMachineName\CAName] [KeyContainerName] [CACertFile]

參數(shù)

-verifykeys: 驗(yàn)證指定 CA 的公開密鑰和私有密鑰。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標(biāo)志獲得 CryptContext。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
KeyContainerName: 指定要驗(yàn)證的密鑰的密鑰容器名稱。
CACertFile: 指定包含用于驗(yàn)證數(shù)字簽名的公鑰的 CA 簽名證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果未使用參數(shù)，則 certutil -verifykeys 將根據(jù)其私鑰驗(yàn)證每個簽名 CA 證書。
您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
可僅根據(jù)本地 CA 或密鑰運(yùn)行該命令。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份 CA 證書和密鑰

語法

certutil -backupkey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory

參數(shù)

-backupkey: 備份“證書服務(wù)”證書和私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
一個 PFX 文件密碼所允許的最大長度為 32 個字符。
可以用 -f 選項(xiàng)覆蓋 BackupDirectory 中的現(xiàn)有文件。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從備份目錄或 PKCS #12 (.pfx) 文件還原 CA 證書和密鑰

語法

certutil -restorekey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory\PFXFile

參數(shù)

-restorekey: 從指定的 BackupDirectory 或 PKCS #12 PFXFile 中還原“證書服務(wù)”證書和私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定 PFX 文件的備份位置。
PFXFile: 指定 PKCS #12 PFX 文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
一個 PFX 文件密碼所允許的最大長度為 32 個字符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將擴(kuò)展添加到 CA 頒發(fā)的證書

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] policy\enablerequestextensionlist [{0 | 1}] ExtensionOID

參數(shù)

-setreg: 設(shè)置或編輯注冊表信息。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
policy\enablerequestextensionlist+1: 設(shè)置啟用策略模塊的請求擴(kuò)展的列表。
ExtensionOID: 指定該擴(kuò)展的對象標(biāo)識符。
0: 將該擴(kuò)展添加到啟用策略模塊的請求擴(kuò)展的列表。
1: 從啟用策略模塊的請求擴(kuò)展的列表中刪除該擴(kuò)展。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>

用于管理證書的 Certutil 任務(wù)

可使用 certutil 執(zhí)行一些證書管理任務(wù)。

要查看特定任務(wù)的語法，請單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證證書由指定 CA 頒發(fā)

語法

certutil -verify [-f] [-enterprise] [-user] [-gmt] [-seconds] [-silent] [-split] [-v] CertFile [CACertFile]

參數(shù)

-verify: 驗(yàn)證該證書鏈。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊表證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
CertFile: 指定該證書。
CACertFile: 指定包含用于驗(yàn)證數(shù)字簽名的公鑰的 CA 簽名證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

CertFile 和 CACertFile 都必須包含單一證書，而不是 href="HELP=glossary.hlp TOPIC=gls_pkcs_7" name=ix_PKCS_7>PKCS #7 證書鏈。
該命令行選項(xiàng)還驗(yàn)證 CertFile 證書是否處于吊銷狀態(tài)。如果 CertFile 不包含有關(guān)如何檢查吊銷的信息,或必要的 URL 或 CRL 不可用，則出現(xiàn)一個錯誤。
如果沒有指定 CACertFile，則通過使用安裝在該計(jì)算機(jī)上的證書構(gòu)造 CertFile 的證書鏈，驗(yàn)證和檢查該鏈中所有證書，以便檢查它們是否被吊銷。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證證書的有效性

語法

certutil -isvalid [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] {SerialNumber | CertHash}

參數(shù)

-isvalid: 確定該證書是否有效。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
SerialNumber: 指定該證書的序列號。
CertHash: 指定該證書的證書哈希。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
SerialNumber 必須是偶數(shù)的十六進(jìn)制數(shù)字。單獨(dú)的一個零 (0) 可以置于一個奇數(shù)值的首位。不允許以 0x 開頭。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">安裝 CA 證書

語法

certutil -installcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [CACertFile]

參數(shù)

-installcert: 安裝 CA 證書。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
CACertFile: 指定包含用于驗(yàn)證數(shù)字簽名的公鑰的 CA 簽名證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
name=ix_PKCS_7>PKCS #7 證書鏈?zhǔn)?CACertFile 的首選內(nèi)容。但如果將用于形成該鏈的所有證書已安裝在本地計(jì)算機(jī)上，則接受 href="HELP=glossary.hlp TOPIC=gls_x_509v3_certificate">X.509 v3 證書。
該命令還為已產(chǎn)生申請、但尚未收到和安裝其 CA 證書的下級 CA，完成下級 CA 證書的安裝。
此命令還允許安裝請求續(xù)訂的 CA 證書。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">請求續(xù)訂的 CA 證書

語法

certutil -renewcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [reusekeys] RequestFile

參數(shù)

-renewcert: 續(xù)訂 CA 證書。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
reusekeys: 指定重復(fù)使用現(xiàn)有的密鑰。
RequestFile: 指定要保存該續(xù)訂請求的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
如果聯(lián)機(jī)的父 CA 不存在或不會立即頒發(fā)續(xù)訂 CA 證書，請?jiān)诖俗C書可用時使用 -installCert 命令完成續(xù)訂證書的安裝。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 HKEY_LOCAL_MACHINE 根存儲中刪除密鑰

語法

certutil -delkey [-user] [-gmt] [-seconds] [-silent] [-v] KeyContainerName [CSPName]

參數(shù)

-delkey: 從主機(jī)中刪除私鑰。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標(biāo)志獲得 CryptContext。
-v: 指定詳細(xì)的輸出。
KeyContainerName: 指定密鑰的容器名稱。
CSPName: 指定加密服務(wù)提供程序 (CSP)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當(dāng)可能會嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊表之前，應(yīng)備份計(jì)算機(jī)上任何有價值的數(shù)據(jù)。
certutil -delkey 命令將刪除用戶或機(jī)器私鑰。刪除私鑰后，可能應(yīng)用以下任何一個方案：
- 如果以前沒有備份密鑰或?qū)⑵浯鏅n，則被刪除的密鑰將無法復(fù)原。
- 如果被刪除的密鑰被用作證書服務(wù)器簽名密鑰，則 CA 將被禁用且無法頒發(fā)新的 CRL，這將導(dǎo)致當(dāng)現(xiàn)有的 CRL 過期時，所有由 CA 頒發(fā)的證書都將失效?？芍匦伦孕旅荑€和證書來代替其他簽名密鑰。
- 如果被刪除的密鑰用于電子郵件加密，則過去接收到的電子郵件可能無法讀取，除非從類似“密鑰管理服務(wù) (KMS)”的密鑰管理系統(tǒng)才可恢復(fù)被刪除的密鑰。
- 如果被刪除的密鑰用于文件加密，則具有適當(dāng)憑證因而可以創(chuàng)建 Key Recovery Agent 帳戶的管理員可能需要為受影響的用戶單獨(dú)干預(yù)并解密每個文件。
- 用 - user 從 HKEY_CURRENT_USER 根存儲中刪除密鑰。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將 Netscape 兼容的基于 Web 的吊銷檢查擴(kuò)展添加到每個頒發(fā)的證書

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] Policy\RevocationType {+ | -} REVEXT_ASPENABLE

參數(shù)

-setreg: 設(shè)置或編輯注冊表項(xiàng)值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
Policy\RevocationType: 指定策略模塊和證書吊銷配置。
{+ | -}: 設(shè)置 (+) 或重置 (-) REVEXT_ASPENABLE 標(biāo)志。
REVEXT_ASPENABLE: 將該擴(kuò)展添加到由 CA 頒發(fā)的證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當(dāng)可能會嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊表之前，應(yīng)備份計(jì)算機(jī)上任何有價值的數(shù)據(jù)。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索 CA 簽名證書并將其保存到一個文件

語法

certutil -ca.cert [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] OutCACertFile [Index]

參數(shù)

-ca.cert: 檢索 CA 簽名證書。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
OutCACertFile: 指定要寫入的 CA 文件。
Index: 指定要檢索的 CA 證書。默認(rèn)為最新的 CA。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
該證書中包含的公鑰用于驗(yàn)證 CA 頒發(fā)的證書上的數(shù)字簽名。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索 CA 簽名證書和鏈并將其保存到 PKCS #7 文件

語法

certutil -ca.chain [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] OutCACertChainFile [Index]

參數(shù)

-ca.chain: 檢索 CA 簽名證書和鏈。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
OutCACertChainFile: 將 CA 簽名證書寫入 href="HELP=glossary.hlp TOPIC=gls_pkcs_7" name=ix_PKCS_7>PKCS #7 文件。
Index: 指定要檢索的 CA 證書。默認(rèn)為最新的 CA。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書導(dǎo)入服務(wù)器數(shù)據(jù)庫

語法

certutil -importcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] CertFile

參數(shù)

-importcert: 將證書文件導(dǎo)入該數(shù)據(jù)庫。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
CertFile: 指定要導(dǎo)入的證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
如果不小心將證書從數(shù)據(jù)庫中丟失（可能是由于從數(shù)據(jù)庫的不完整備份中恢復(fù)數(shù)據(jù)庫），則可用該命令行選項(xiàng)使其成為可吊銷證書。注意，該服務(wù)器必須頒發(fā)了證書。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示“本地機(jī)器”證書存儲區(qū)中的證書

語法

certutil -store [-f] [-enterprise] [-user] [-gmt] [-seconds] [-silent] [-v] [-dc DCName] CertificateStoreName [CertID [OutFile]]]

參數(shù)

-store

顯示指定href="HELP=glossary.hlp TOPIC=gls_certificate_store">證書存儲區(qū)中的證書。

-f

覆蓋現(xiàn)有的文件或表項(xiàng)。

-enterprise

使用本地計(jì)算機(jī)企業(yè)注冊證書存儲區(qū)。

-user

使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>

-gmt

以格林威治標(biāo)準(zhǔn)時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-silent

使用無聲標(biāo)志獲得 CryptContext。

-split

拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>

-v

指定詳細(xì)的輸出。

-dc DCName

將一個特定的域控制器作為目標(biāo)。

CertificateStoreName

指定以下任一存儲名稱：

值	描述
ca	在“中級證書頒發(fā)機(jī)構(gòu)”存儲中指定證書。
my	指定頒發(fā)到當(dāng)前用戶的證書。
root	在“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲中指定證書。
spc	指定軟件發(fā)行商證書。
UserCreatedStore	指定用戶創(chuàng)建的證書存儲區(qū)的名稱。

CertID

指定與令牌匹配的證書或href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL)。

OutFile

指定要寫入顯示的證書信息的文件。

-?

顯示 certutil 命令列表。id=certutilcmds>

注釋

如果沒有指定 CertificateStoreName，則使用 CA 存儲區(qū)。
使用 -user 選項(xiàng)為當(dāng)前用戶而不是本地計(jì)算機(jī)顯示證書存儲區(qū)情況。
CertID 可以是序列號、“安全哈希算法 (SHA-1)”證書、CRL、href="HELP=glossary.hlp TOPIC=gls_ctl">證書信任列表 (CTL) 或href="HELP=glossary.hlp TOPIC=gls_public_key">公鑰哈希、數(shù)字證書索引（如 0、1 等）、數(shù)字 CRL 索引（如 .0、.1 等）、數(shù)字 CTL 索引（如 ..0、..1 等）、證書對象公用名或 CRL 頒發(fā)者公用名。其中一些可能生成多個匹配。

示例

要查看本地計(jì)算機(jī) NTAuth 存儲中的證書，請鍵入：

certutil -store -enterprise NTAuth

要查看 cert 索引 37 的本地計(jì)算機(jī)“Root”存儲中的證書，請鍵入：

certutil -store -enterprise Root 37

要查看名為“My”存儲中序列號 26e0aaaf000000000004 的用戶的證書，請鍵入：

certutil -store -user My 26e0aaaf000000000004

要查看名為 CA 的存儲中索引 .11 的 CRL，請鍵入：

certutil -store CA .11

要查看在輕型目錄訪問協(xié)議 (LDAP) 位置“l(fā)dap:///CN=NTAuthCertificates,CN=Public Key Services,CN=Services,DC=corp,DC=MyCorp,DC=com”上的證書存儲區(qū)，請鍵入：

certutil -store ldap:///CN=NTAuthCertificates,CN=Public Key Services,CN=Services,DC=corp,DC=MyCorp,DC=com

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書或 CRL 添加到本地受信任的根 CA 存儲

語法

certutil -addstore [-f] [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] root InFile

參數(shù)

-addstore: 將證書添加到證書存儲區(qū)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊href="HELP=glossary.hlp TOPIC=gls_certificate_store">證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
root: 指定“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲。
InFile: 指定證書或證書吊銷列表 (CRL) 的文件名。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看證書存儲區(qū)

語法

certutil [{-viewstore | -viewdelstore}] [-f] [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] {my | ca | root | spc} ["CertIndex" ]

參數(shù)

-viewstore: 查看證書存儲區(qū)中的證書。
-viewdelstore: 從該證書存儲區(qū)中刪除一個證書。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
my: 顯示頒發(fā)到本地計(jì)算機(jī)的證書。
ca: 顯示“中級證書頒發(fā)機(jī)構(gòu)”存儲中的證書。
root: 顯示“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲中的證書。
spc: 顯示軟件發(fā)行商證書。
"CertIndex": 指定與令牌匹配的證書或href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確定證書中后面是 Cert Hash(sha1): 的 CertIndex 證書哈希值，請進(jìn)行以下任一操作：
- 要轉(zhuǎn)儲包括舊證書的證書存儲區(qū)，請鍵入：
  
  certutil -store [-user] root
- 要將舊證書保存到一個文件并轉(zhuǎn)儲該文件，請鍵入：
  
  certutil file.cer
在默認(rèn)情況下，-viewstore 打開 HKLM“CA”存儲?？赏ㄟ^指定 -viewstore 后的 -user 或 -enterprise 覆蓋默認(rèn)，以便顯示任意用戶或企業(yè)存儲。
如果您無法關(guān)閉用戶接口并且使用 -viewdelstore，則可從該證書存儲區(qū)中刪除選中的證書。
用戶接口不支持將證書保存到文件?？蛇\(yùn)行以下語法顯示所有證書，選擇需要的證書，然后將其保存到一個文件：

certutil /viewstore /enterprise NTAuth *.file.cer

本地 NTAuth 存儲是 Active Directory NTAuth 存儲中最后“組策略”下載的結(jié)果。智能卡登錄使用的存儲使得當(dāng)對智能卡登錄失敗進(jìn)行疑難解答時，查看該存儲是有用的。

示例

要打開和查看當(dāng)前計(jì)算機(jī)的本地 NTAuth 存儲，請鍵入：

certutil -viewstore -enterprise NTAuth

要刪除證書，請鍵入：

certutil -delstore -enterprise NTAuth "CertIndex"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證存儲中的所有證書

語法

certutil -verifystore [-enterprise] [-user] [-gmt] [-seconds] [-split] [-v] [-dc DCName] CertificateStoreName [CertID]

參數(shù)

-verifystore: 驗(yàn)證存儲中的證書。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
CertificateStoreName: 指定證書存儲區(qū)名。
CertID: 指定與令牌匹配的證書或href="HELP=glossary.hlp TOPIC=gls_crl">證書吊銷列表 (CRL)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

該命令與 -store 相似。
該命令驗(yàn)證相關(guān)私鑰（即如果它們存在），并通過以下方法驗(yàn)證每份證書：從已安裝的 CA 和根證書建立鏈并驗(yàn)證鏈中的所有證書，以確保它們?nèi)匀挥行Р⑶疑形吹蹁N。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 HKEY_LOCAL_MACHINE 根存儲中刪除證書

語法

certutil -delstore [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] root CertIndex

參數(shù)

-delstore: 從指定存儲刪除一個證書。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
root: 指定根證書存儲區(qū)。
CertIndex: 指定哈希值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確定在證書中后面是 Cert Hash(sha1): 的 CertIndex 證書哈希值，請進(jìn)行以下任一操作：
- 要轉(zhuǎn)儲包括舊證書的證書存儲區(qū)，請鍵入：
  
  certutil -store [-user] root
- 要將舊證書保存到一個文件并轉(zhuǎn)儲該文件，請鍵入：
  
  certutil file.cer

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從 HKEY_CURRENT_USER 根存儲中刪除一個證書

語法

certutil -delstore [-enterprise] [-user] [-gmt] [-seconds] [-v] [-dc DCName] root -user CertIndex

參數(shù)

-delstore: 從指定存儲刪除一個證書。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個指定的域控制器作為目標(biāo)。
root: 指定根證書存儲區(qū)。
-user: 指定 HKEY_CURRENT_USER 證書存儲區(qū)。
CertIndex: 指定該哈希值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確定該證書中后面是 Cert Hash(sha1): 的 CertIndex 證書哈希值，請進(jìn)行以下任一操作：
- 要轉(zhuǎn)儲包括舊證書的證書存儲區(qū)，請鍵入：
  
  certutil -store [-user] root
- 要將舊證書保存到一個文件并轉(zhuǎn)儲該文件，請鍵入：
  
  certutil file.cer
Certutil -delstore 僅在刪除證書和 CRL 時有效。必須使用 -delkey 刪除密鑰。

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告
- certutil -delkey 命令將刪除用戶或機(jī)器私鑰。刪除完畢后，可能應(yīng)用下列任何一種方案：
  - 如果以前沒有備份密鑰或?qū)⑵浯鏅n，則被刪除的密鑰將無法復(fù)原。
  - 如果被刪除的密鑰用于證書服務(wù)器簽名密鑰，則 CA 將被禁用且無法頒發(fā)新的 CRL，這將導(dǎo)致當(dāng)現(xiàn)有的 CRL 過期時，所有由 CA 頒發(fā)的證書都將失效?？芍匦伦孕旅荑€和證書來代替其他簽名密鑰。
  - 如果被刪除的密鑰用于電子郵件加密，則過去接收到的電子郵件可能無法讀取，除非從類似“密鑰管理服務(wù) (KMS)”的密鑰管理系統(tǒng)才可以恢復(fù)被刪除的密鑰。
  - 如果被刪除的密鑰用于文件加密，則具有適當(dāng)憑證因而可以創(chuàng)建 Key Recovery Agent 帳戶的管理員可能需要為受影響的用戶單獨(dú)干預(yù)并解密每個文件。
  - 用 - user 從 HKEY_CURRENT_USER 根存儲中刪除密鑰。

示例

要刪除根存儲的第五個證書，請鍵入：

certutil -delstore root 5

用于管理 CRL 的 Certutil 任務(wù)

可以使用 certutil 來查看、生成以及配置證書頒發(fā)機(jī)構(gòu)的證書吊銷列表 (CRL) 信息。

要查看特定任務(wù)的語法，請單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索 CRL

語法

certutil -getcrl [-f] [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] OutFile [Index] [delta]

參數(shù)

-getcrl: 檢索證書吊銷列表 (CRL)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
OutFile: 指定要接收輸出的文件。
Index: 指定索引標(biāo)識號。
delta: 檢索增量 CRL。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要執(zhí)行該過程，您必須是本地計(jì)算機(jī)上 Administrators 組的成員，或者已被授予適當(dāng)?shù)臋?quán)限。如果沒有適當(dāng)?shù)臋?quán)限，可以使用 -cainfo 來檢索 CRL。
您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要檢索最近發(fā)布的基 CRL，MyMostRecentCRL.crl，請鍵入：

certutil -getcrl MyMostRecentCRL.crl

要檢索第三個 CRL，MyThirdCRL.crl，請鍵入：

certutil -getcrl MyThirdCRL.crl 3

要檢索最近發(fā)布的增量 CRL，MyMostRecentDelta.crl，請鍵入：

certutil -getcrl MyMostRecentDelta.crl delta

要檢索第五個增量 CRL，MyFifthDelta.crl，請鍵入：

certutil -getcrl MyFifthDelta.crl 5 delta

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">發(fā)布當(dāng)前 CRL

語法

certutil -crl [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [DD:HH] [delta]

參數(shù)

-crl: 發(fā)布新證書吊銷列表 (CRL)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
DD:HH: 指定以天和小時為單位的 CRL 生存期。
delta: 僅發(fā)布增量 CRL。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
CRL 被寫入由 OutFileResult 指定的文件中，否則，如果使用減號，就會寫入到默認(rèn)的 Web 位置。
到期時間設(shè)為從發(fā)布時間起一天零一小時，以方便安排每天的發(fā)布時間表。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書或 CRL 發(fā)布到 Active Directory

語法

certutil -dsPublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] [{CertFile | CRL}] [{ntauthca | rootca | subca | crossca | kra | user | machine}]

參數(shù)

-dsPublish: 將新證書發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
CertFile: 指定要使用的證書。
CRL: 指定要使用的證書吊銷列表。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲區(qū)。
rootca: 指定要將證書發(fā)布到根 CA 存儲。
subca: 指定要將證書發(fā)布到從屬 CA 存儲區(qū)。
crossca: 指定要將證書發(fā)布到交叉驗(yàn)證 CA 存儲區(qū)。
kra: 指定要將證書發(fā)布到密鑰恢復(fù)代理存儲區(qū)。
用戶: 指定要將證書發(fā)布到用戶存儲區(qū)。
machine: 指定要將證書發(fā)布到計(jì)算機(jī)存儲區(qū)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果 CA 為智能卡登錄頒發(fā)證書，必須將證書發(fā)布到 NTAuth 存儲區(qū)。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">將證書添加到 NTAuth 存儲

語法

certutil -dspublish [-f] [-user] [-gmt] [-seconds] [-v] [-dc DCName] NewCert ntauthca

參數(shù)

-dspublish: 將新證書或證書吊銷列表 (CRL) 發(fā)布到 Active Directory 中的 CA 對象。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-dc DCName: 將一個特定的域控制器作為目標(biāo)。
NewCert: 指定要發(fā)布的證書。
ntauthca: 指定要將證書發(fā)布到 NTAuth 存儲區(qū)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

必須具有 Enterprise Administrator 的訪問權(quán)限才能使用該命令。

用于密鑰存檔和恢復(fù)的 Certutil 任務(wù)

可以使用 certutil 來檢索和恢復(fù)存檔的密鑰。

要查看特定任務(wù)的語法，請單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢索存檔的私鑰恢復(fù)點(diǎn)

語法

certutil -getkey [-f] [-gmt] [-seconds] [-v] SearchToken [RecoveryBlobOutFile]

參數(shù)

-getkey: 檢索存檔的私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
SearchToken: 指定要恢復(fù)的密鑰和證書。
RecoveryBlobOutFile: 指定包含一個證書鏈和一個相應(yīng)私鑰的輸出文件。該私鑰仍然加密成一個或多個密鑰恢復(fù)代理 (KRA) 證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

SearchToken 可以是證書公用名、證書序列號、證書安全哈希算法 (SHA-1) 哈希、申請人名稱（即，域\用戶）或者用戶主體名稱 (UPN)（即，域@用戶）。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">恢復(fù)存檔的私鑰

語法

certutil -recoverkey [-f] [-user] [-gmt] [-seconds] [-split] [-v] [-p Password] RecoveryBlobInFile [PFXOutFile] [RecipientIndex]]

參數(shù)

-recoverkey: 恢復(fù)存檔的私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-p Password: 指定一個密碼。
RecoveryBlobInFile: 指定包含從 CA 檢索到的恢復(fù)點(diǎn)的輸入文件。
PFXOutFile: 指定用于保存恢復(fù)密鑰及其相關(guān)的 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 證書的文件。
Password: 加密 PFXOutFile 并提供密碼。
RecipientIndex: 指定密鑰恢復(fù)代理 (KRA) 證書的索引，用于解密私鑰點(diǎn)。如果不指定該參數(shù)，certutil 將嘗試所有的 KRA 證書。
-?: 顯示 certutil 命令列表。id=certutilcmds>

用于備份和恢復(fù)證書的 Certutil 任務(wù)

為了提供服務(wù)，證書頒發(fā)機(jī)構(gòu)應(yīng)該定期備份，并且在必要時，能夠恢復(fù)。可以使用 certutil 來執(zhí)行這些任務(wù)。

要查看特定任務(wù)的語法，請單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份證書服務(wù)

語法

certutil -backup [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory [incremental] [keeplog]

參數(shù)

-backup: 備份證書服務(wù)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定備份目錄。
incremental: 執(zhí)行增量備份而非完全備份。
keeplog: 保留數(shù)據(jù)庫日志文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長度是 32 個字符。
如果未指定 keeplog，則 certutil -backup 會將這些數(shù)據(jù)庫日志文件合并到一個單獨(dú)的日志文件中，只有成功完成 -backup 后，才保留此日志文件。
如果未指定 incremental，certutil -backup 將執(zhí)行完全備份。
可以用 -f 選項(xiàng)覆蓋 BackupDirectory 中的現(xiàn)有文件。

示例

要為名為 EnterpriseCA 的 CA 備份密鑰和證書，請鍵入：

certutil –p p@ssw23 f:\Backup2\EnterpriseCA

certutil -p p@ssw23 f:\Backup2\EnterpriseCA incremental

certutil -p p@ssw23 f:\Backup2\EnterpriseCA keeplog

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份 CA 數(shù)據(jù)庫

語法

certutil -backupdb [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] BackupDirectory [[incremental] [keeplog]]

參數(shù)

-backupdb: 備份證書服務(wù)數(shù)據(jù)庫。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
BackupDirectory: 指定備份目錄。
incremental: 執(zhí)行增量備份而非完全備份。
keeplog: 保留數(shù)據(jù)庫日志文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
可以在本地或遠(yuǎn)程運(yùn)行該命令。服務(wù)器和 CA 必須正在運(yùn)行。通常，管理員使用該命令執(zhí)行間歇的完全備份，其間是頻繁的增量備份。每個備份都必須建成一個獨(dú)立的目錄樹。要正確恢復(fù)數(shù)據(jù)庫，需要從最新的完全備份至今的所有備份。
如果未指定 keeplog，則 certutil -backup 會將這些數(shù)據(jù)庫日志文件合并到一個單獨(dú)的日志文件中，只有成功完成 -backup 后，才保留此日志文件。
如果未指定 incremental，certutil -backup 將執(zhí)行完全備份。
可以用 -f 選項(xiàng)覆蓋 BackupDirectory 中的現(xiàn)有文件。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">備份 CA 證書和密鑰

語法

certutil -backupkey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory

參數(shù)

-backupkey: 備份“證書服務(wù)”證書和私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長度是 32 個字符。
可以用 -f 選項(xiàng)覆蓋 BackupDirectory 中的現(xiàn)有文件。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">恢復(fù) CA 數(shù)據(jù)庫、證書以及密鑰

語法

certutil -restore [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory

參數(shù)

-restore: 從指定的 BackupDirectory 中恢復(fù) CA 數(shù)據(jù)庫、證書以及密鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定用于恢復(fù) CA 數(shù)據(jù)庫、證書以及密鑰的備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長度是 32 個字符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">恢復(fù) CA 數(shù)據(jù)庫

語法

certutil -restoredb [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] BackupDirectory

參數(shù)

-restoredb: 從指定的 BackupDirectory 恢復(fù) CA 數(shù)據(jù)庫。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
BackupDirectory: 指定用于恢復(fù) CA 數(shù)據(jù)庫的備份目錄。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
此時，CA 服務(wù)器不能正在運(yùn)行?？梢栽诒镜鼗蜻h(yuǎn)程運(yùn)行該命令。
要恢復(fù)一個完全備份和多個增量備份，必須先恢復(fù)完全備份，然后以任意順序恢復(fù)后續(xù)的所有增量備份。要用完全恢復(fù)后的文件覆蓋現(xiàn)有的服務(wù)器數(shù)據(jù)庫文件，可以使用 -f 選項(xiàng)。在所有的備份恢復(fù)完之前，不要啟動服務(wù)器。
當(dāng)啟動 CA 服務(wù)器時，同時也啟動了數(shù)據(jù)庫恢復(fù)。如果成功啟動 CA 服務(wù)器（如同應(yīng)用程序事件日志記錄的那樣），這說明恢復(fù)完全成功。如果運(yùn)行 -restore 以后，服務(wù)器啟動失敗，您會收到一個錯誤代碼。有關(guān)如果 -restore 失敗的詳細(xì)信息，也可以查看 RESTOREINPROGRESS 注冊表項(xiàng)。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">從備份目錄或 PKCS #12 (.pfx) 文件恢復(fù) CA 證書和密鑰

語法

certutil -restorekey [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [-p Password] BackupDirectory|PFXFile

參數(shù)

-restorekey: 從指定的 BackupDirectory 或 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 PFXFile 恢復(fù)證書服務(wù)證書和私鑰。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-p Password: 指定一個密碼。
BackupDirectory: 指定 PKCS #12 PFX 文件的備份位置。
PFXFile: 指定 PKCS #12 PFX 文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
在 href="HELP=glossary.hlp TOPIC=gls_pkcs_12">PKCS #12 (.pfx) 文件中，密碼所允許的最大長度是 32 個字符。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">轉(zhuǎn)儲 CA 數(shù)據(jù)庫架構(gòu)，如列的名稱、類型和最大大小

語法

certutil -schema [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [{ext | attib | crl}]

參數(shù)

-schema: 轉(zhuǎn)儲 CA 數(shù)據(jù)庫href="HELP=glossary.hlp TOPIC=gls_schema">架構(gòu)。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
ext: 顯示 Ext 表的架構(gòu)。
attib: 顯示 Attib 表的架構(gòu)。
crl: 顯示證書吊銷列表 (CRL) 的架構(gòu)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要查看 CA 數(shù)據(jù)庫的架構(gòu)，請鍵入：

certutil -schema

用于對證書進(jìn)行疑難解答的 Certutil 任務(wù)

Certutil 是解決證書頒發(fā)機(jī)構(gòu)疑難問題的有力工具?？梢允褂?certutil 進(jìn)行疑難解答。

要查看特定任務(wù)的語法，請單擊任務(wù)：

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示存儲在與公鑰相關(guān)的文件中的信息

語法

certutil -dump [-f] [-gmt] [-seconds] [-split] [-v] [-p Password] [FileName]

參數(shù)

-dump: 轉(zhuǎn)儲配置信息或文件。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-p Password: 指定一個密碼。
FileName: 指定要顯示的配置文件的文件名。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看 CA 數(shù)據(jù)庫信息以及限制顯示的 CA 架構(gòu)信息

語法

certutil -view [-gmt] [-seconds] [-silent] [-split] [-v] [-config CAMachineName\CAName] [-restrict RestrictionList] [-out ColumnList] [RequestID]

參數(shù)

-view: 轉(zhuǎn)儲證書頒發(fā)機(jī)構(gòu)數(shù)據(jù)庫視圖。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-restrict RestrictionList: 限制文件的行，該文件由 RestrictionList 指定，是一個包含逗號分隔列表的文本文件。
-out ColumnList: 指定文件的列，該文件由 ColumnList 指定，是一個包含逗號分隔列表的文本文件。
RequestID: 指定請求標(biāo)識號。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
如果使用時不帶參數(shù)，certutil 將顯示 CA 配置字符串列表。

示例

要列出由位于 Cacomputer1 且名稱為 Myentrootca 的 CA 發(fā)布的所有證書的電子郵件的主題名稱，請鍵入：

certutil -config cacomputer1\myentrootca -view -out request.email

要將顯示行限制到帶有請求標(biāo)識符且大于 10,000 的行，然后僅顯示來自名稱為 Myentrootca 的 CA 的請求處理，請鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid>10,000"

若僅查看最后一行，請鍵入：

Certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $"

若僅查看第二行到最后一行，請鍵入：

certutil -config cacomputer1\myentrootca -view -out disposition -restrict "requestid == $ - 1"

要查看所有對某個 CA 發(fā)出請求的電子郵件的主題名稱，請鍵入：

certutil -view -out email

要顯示基于用戶模板的證書的數(shù)字請求標(biāo)識符，請鍵入：

certutil -view -restrict "Certificate Template=User" -out requestid

要顯示基于模板對象標(biāo)識符 1.2.3.4.5.5.6.6.6.6.5.6 的證書的數(shù)字請求標(biāo)識符，請鍵入：

certutil -view -restrict "Certificate Template=1.2.3.4.5.5.6.6.6.6.5.6" -out requestid

要顯示由 CA 頒發(fā)的未吊銷證書的所有系列號和請求標(biāo)識符號碼，請鍵入：

certutil -view -restrict disposition==20 /out "serialnumber,requestid"

要查看對模板 MyTemplate 發(fā)出請求的用戶的電子郵件以及發(fā)出該請求的時間，請鍵入：

certutil -config cacomputer1\myentrootca -view -out email -restrict "CertificateTemplate == myTemplate, Disposition == 20"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">轉(zhuǎn)儲數(shù)據(jù)庫中證書的序列號

語法

參數(shù)

-view: 轉(zhuǎn)儲證書頒發(fā)機(jī)構(gòu)數(shù)據(jù)庫視圖。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-restrict RestrictionList: 限制文件的行，該文件由 RestrictionList 指定，是一個包含逗號分隔列表的文本文件。
-out ColumnList: 指定文件的列，該文件由 ColumnList 指定，是一個包含逗號分隔列表的文本文件。
disposition==20: 指定 DB_DISP_ISSUED。
disposition==21: 指定 DB_DISP_REVOKED。
"serialnumber,requestid": 指定要顯示所有序列號和請求標(biāo)識符號碼。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要顯示由 CA 頒發(fā)的未吊銷證書的所有系列號和請求標(biāo)識符號碼，請鍵入：

certutil -view -restrict disposition==20 /out "serialnumber,requestid"

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示 CA 注冊表設(shè)置

語法

certutil -getreg [-user] [-gmt] [-seconds] [-v] [{ca | restore | policy | exit |template}] [\ProgID] \RegistryValueName

參數(shù)

-getreg: 顯示注冊表信息。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca: 指定 CA 注冊表項(xiàng)。
restore: 指定 RESTORE 注冊表項(xiàng)。
policy: 指定 POLICYMODULE 注冊表項(xiàng)。
exit: 指定 EXITMODE 注冊表項(xiàng)。
template: 指定 TEMPLATE 注冊表項(xiàng)。
\ProgID: 指定策略或退出模塊的注冊表子項(xiàng)名稱。
\RegistryValueName: 指定注冊表項(xiàng)中的特定值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

Restore 僅在恢復(fù)模式下可用。
如果未指定 ProgID，certutil -getreg 將使用默認(rèn)的策略模塊 CertificateAuthority_MicrosoftDefault.Policy。

示例

要顯示有關(guān)處于活動狀態(tài)的 CA 的信息，請鍵入：

certutil -getreg Active

要顯示 CA 的通用名稱，請鍵入：

certutil -getreg ca\CommonName

要顯示有關(guān)策略模塊采取何種部署操作的信息，請鍵入：

certutil -getreg Policy\RequestDisposition

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">設(shè)置 CA 注冊表，當(dāng)請求到達(dá)時，執(zhí)行特定操作

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] policy\requestdisposition [{0 | 1 | 2 | 3}]

參數(shù)

-setreg

設(shè)置或編輯注冊表項(xiàng)的值。

-user

使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>

-gmt

以格林威治標(biāo)準(zhǔn)時間方式顯示時間。

-seconds

顯示時間時顯示秒和毫秒。

-v

指定詳細(xì)的輸出。

policy\requestdisposition

指定策略模塊和部署請求 ID。

{0 | 1 | 2 | 3}

為掛起的請求添加一個由下表所描述的值指定的操作。

值	描述
0	將傳入的請求設(shè)置為掛起狀態(tài)。
1	發(fā)布傳入的請求。
2	拒絕傳入的請求。
3	根據(jù)傳入請求的部署請求屬性進(jìn)行操作。

-?

顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當(dāng)可能會嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊表之前，應(yīng)備份計(jì)算機(jī)上任何有價值的數(shù)據(jù)。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">設(shè)置 CA 注冊表

語法

certutil -setreg [-user] [-gmt] [-seconds] [-v] [{ca | restore | policy | exit | template} [\ProgID]\RegistryValueName

參數(shù)

-setreg: 設(shè)置或編輯注冊表信息。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca: 指定 CA 注冊表項(xiàng)。
restore: 指定 RESTORE 注冊表項(xiàng)。
policy: 指定 POLICYMODULE 注冊表項(xiàng)。
exit: 指定 EXITMODE 注冊表項(xiàng)。
\ProgID: 指定策略或退出模塊的注冊表子項(xiàng)名稱。
\RegistryValueName: 指定注冊表項(xiàng)中的特定值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

src="ms-its:c:\windows\help\UAshared.chm::/caution.gif"> 警告

編輯注冊表不當(dāng)可能會嚴(yán)重?fù)p壞您的系統(tǒng)。在更改注冊表之前，應(yīng)備份計(jì)算機(jī)上任何有價值的數(shù)據(jù)。

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>
Restore 僅在恢復(fù)模式下運(yùn)行 certutil 時才可用。
如果未指定 ProgID，certutil -getreg 將使用默認(rèn)的策略模塊 CertificateAuthority_MicrosoftDefault.Policy。
可以使用 -setreg 來修改 DWORD 注冊表的特定標(biāo)記。

示例

要設(shè)置請求部署為 1，請鍵入：

certutil /setreg policy\requestdisposition 1

要設(shè)置 DWORD 注冊表的 policy\RevocationType 中的第九位，請鍵入：

certutil -setreg policy\revocationtype +0x100

要重新設(shè)置 DWORD 注冊表的 policy\RevocationType 中的第九位，請鍵入：

certutil -setreg Policy\RevocationType -0x100

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">刪除注冊表值

語法

certutil -delreg [-user] [-gmt] [-seconds] [-v] [{ca | restore | policy | exit | template} [\ProgID] \RegistryValueName

參數(shù)

-delreg: 刪除注冊表值。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
ca: 指定 CA 注冊表項(xiàng)。
restore: 指定 RESTORE 注冊表項(xiàng)。
policy: 指定 POLICYMODULE 注冊表項(xiàng)。
exit: 指定 EXITMODE 注冊表項(xiàng)。
template: 指定 TEMPLATE 注冊表項(xiàng)。
\ProgID: 指定策略或退出模塊的注冊表子項(xiàng)名稱。
\RegistryValueName: 指定任意 CA 的注冊表值。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

若要使更改生效，您必須重新啟動證書頒發(fā)機(jī)構(gòu)。有關(guān)重新啟動“證書服務(wù)”的詳細(xì)信息，請參閱href="MS-ITS:C:\WINDOWS\Help\sys_srv.chm::/sys_srv_start_service.htm">啟動、停止、暫停、繼續(xù)或重新啟動服務(wù)。class=anything id=certsrvbounce>
Restore 僅在備份和恢復(fù)模式下可用。
如果未指定 ProgID，certutil -getreg 將使用默認(rèn)的策略模塊 CertificateAuthority_MicrosoftDefault.Policy。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">用本地語言顯示錯誤代碼的錯誤信息文本

語法

certutil -error ErrorCode

參數(shù)

-error: 用本地語言顯示錯誤信息文本，該語言由 Locale 注冊表項(xiàng)指定。
ErrorCode: 指定要用本地語言查看的錯誤代碼。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

ErrorCode 可以是有符號或無符號的十進(jìn)制格式，也可以是帶有前綴 0x 的十六進(jìn)制格式。
可以使用該命令將從“證書頒發(fā)機(jī)構(gòu)”管理單元獲得的錯誤解碼。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證服務(wù)器正在運(yùn)行（ICertRequest 接口）

語法

certutil -ping [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-ping: Ping 證書服務(wù)的 ICertRequest 接口。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證服務(wù)器正在在運(yùn)行（ICertAdmin 接口）

語法

certutil -pingadmin [-gmt] [-seconds] [-v] [-config CAMachineName\CAName]

參數(shù)

-pingadmin: Ping 證書服務(wù)的 ICertAdmin 接口。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>
要確定是否成功完成該命令，請確保該用戶對服務(wù)器有管理訪問權(quán)限。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">通過文件生成并顯示加密哈希

語法

certutil -hashfile [-gmt] [-seconds] [-v] InFile

參數(shù)

-hashfile: 通過文件生成并顯示加密哈希。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
InFile: 指定要顯示哈希的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">轉(zhuǎn)儲 CA 數(shù)據(jù)庫架構(gòu)

語法

certutil -schema [-gmt] [-seconds] [-split] [-v] [-config CAMachineName\CAName] [{Ext | Attib | CRL}]

參數(shù)

-config ConfigString: 使用配置字符串（即，ConfigString）指定的 CA 執(zhí)行該操作。如果不指定此選項(xiàng)，則由默認(rèn) CA 處理該請求。
-schema: 轉(zhuǎn)儲 CA 數(shù)據(jù)庫架構(gòu)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
-config CAMachineName\CAName: 使用配置字符串中指定的 CA（即 CAMachineName\CAName）處理此操作。id=CAconfig>
Ext: 顯示 Ext 表的架構(gòu)。
Attib: 顯示 Attib 表的架構(gòu)。
CRL: 顯示證書吊銷列表 (CRL) 的架構(gòu)。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

您必須在 -config CAComputerName\CAName 中指定 CAComputerName 或 CAName。否則，“選擇證書頒發(fā)機(jī)構(gòu)”對話框?qū)霈F(xiàn)，并顯示所有可用的 CA 列表。class=anything id=certtoolremark1>
如果您使用 -config - 而不是 -config CAComputerName\CAName ，則系統(tǒng)將使用默認(rèn)的 CA 處理操作。id=certtoolremark2>

示例

要查看 CA 數(shù)據(jù)庫的架構(gòu)，請鍵入：

certutil -schema

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">顯示當(dāng)前用戶可用的所有密鑰容器名稱。

語法

certutil -key [-user] [-gmt] [-seconds] [-silent] [-v] [CSPName] [*]

參數(shù)

-key: 顯示本地計(jì)算機(jī)的密鑰容器。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標(biāo)志獲得 CryptContext。
-v: 指定詳細(xì)的輸出。
CSPName: 指定要顯示的密鑰容器的加密服務(wù)提供程序 (CSP)。
*: 指定所有 CSP 的密鑰容器。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

RSA 是 Windows Server 2003 家族默認(rèn)的 CSP。要指定替代的 CSP 提供程序，可以使用 CSPName 命令行選項(xiàng)。有關(guān) RSA 的詳細(xì)信息，請參閱 target=_new>RSA Labs 網(wǎng)站。href="MS-ITS:C:\WINDOWS\Help\uadef.chm::/copyright.htm">網(wǎng)站地址可能變動，您可能無法連接到在這里提到的網(wǎng)站。class=anything id=para5>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">為委托的 CA 的交叉證書提供 PKCS#10 請求文件

語法

certutil -split [-gmt] [-seconds] [-v] CMC.req

參數(shù)

-split: 分析證書請求文件中的每個二進(jìn)制（ASN.1 編碼）對象，然后將每個對象保存為單個二進(jìn)制大對象 (blob) 文件。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
CMC.req: 指定要分析的加密消息語法 (CMS) 請求（該協(xié)議也稱為 CMC）文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

有關(guān)使用 certreq –policy 命令，從根證書創(chuàng)建 CMS 請求的詳細(xì)信息，請參閱“相關(guān)主題”中的 Certreq。在 Certreq 中，請參閱“從現(xiàn)有的 CA 證書或請求構(gòu)造交叉證書或合格的部屬請求”任務(wù)。
如果可能，從現(xiàn)有的證書構(gòu)造請求時，應(yīng)該在安裝了輸入證書密鑰的計(jì)算機(jī)上運(yùn)行 certreq –policy 命令。如果該私鑰不可用（通常發(fā)生在交叉驗(yàn)證非 Microsoft CA 時），則 href="HELP=glossary.hlp TOPIC=gls_pkcs_10" name=ix_PKCS_10>PKCS #10 文件和外部的 CMS 都沒有簽名。大多數(shù)非 Microsoft CA 不接受未簽名的 PKCS#10。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">重新關(guān)聯(lián)私鑰及其證書

語法

certutil -repairstore [{-csp CSPName [-f]}] [-enterprise] [-user] [-gmt] [-seconds] [-split] [-v] [{ca | my| root | spc}] CertIndex

參數(shù)

-repairstore: 修復(fù) ca 存儲區(qū)中密鑰提供程序的信息。
-csp: 僅使用指定的加密服務(wù)提供程序 (CSP) 來定位和修復(fù)密鑰。
CSPName: 指定要使用的 CSP 的名稱。
-f: 與 -csp 一起，在必要時用來定位密鑰以使用指定的 CSP 強(qiáng)制搜索密鑰。
-enterprise: 使用本地計(jì)算機(jī)企業(yè)注冊證書存儲區(qū)。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
ca: 在“中級證書頒發(fā)機(jī)構(gòu)”存儲中指定證書。
my: 指定頒發(fā)給本地計(jì)算機(jī)的證書。
root: 在“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲中指定證書。
spc: 指定軟件發(fā)行商證書。
CertIndex: 指定安全哈希算法 (SHA-1) 證書哈希、序列號或證書索引標(biāo)識符。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

如果證書位于 HKEY_LOCAL_MACHINE 證書存儲區(qū)，請不要使用 -user。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">驗(yàn)證 AIA 和 CDP 擴(kuò)展中的 URL 的合法性和正確性

語法

certutil -url [-f] [-gmt] [-seconds] [-split] [-v] CertFile.crt

參數(shù)

-url: 驗(yàn)證證書或證書吊銷列表 (CRL) 的 URL。
-f: 覆蓋現(xiàn)有的文件或表項(xiàng)。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
CertFile.crt: 指定證書文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

要確保 URL 是合法的并指向相應(yīng)的 CRL，或在頒發(fā) CA 證書時，可以使用該命令來檢查頒發(fā)機(jī)構(gòu)信息訪問 (AIA) 和 CRL 分布點(diǎn) (CDP) 擴(kuò)展，然后反參照這些擴(kuò)展里的 URL。

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">檢查智能卡上的證書

語法

certutil -scinfo [-gmt] [-seconds] [-silent] [-split] [-v] [ReaderName]

參數(shù)

-scinfo: 顯示智能卡信息。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-silent: 使用無聲標(biāo)志獲得 CryptContext。
-split: 拆分嵌入式“抽象語法表示法 1 (ASN.1)”元素，并將其保存到文件。id=split>
-v: 指定詳細(xì)的輸出。
ReaderName: 指定智能卡閱讀器的名稱。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">查看本地安裝的模板

語法

certutil -template [-user] [-ut] [-mt] [-gmt] [-seconds] [-v] TemplateName

參數(shù)

-template: 顯示指定的模板。
-user: 使用 HKEY_CURRENT_USER 項(xiàng)或證書存儲。id=currentuserkey>
-ut: 顯示用戶模板。
-mt: 顯示計(jì)算機(jī)模板。
-gmt: 以格林威治標(biāo)準(zhǔn)時間方式顯示時間。
-seconds: 顯示時間時顯示秒和毫秒。
-v: 指定詳細(xì)的輸出。
TemplateName: 指定要查看的模板的名稱。
-?: 顯示 certutil 命令列表。id=certutilcmds>

href="#">src="ms-its:c:\windows\help\UAshared.chm::/plusCold.gif">style="WIDTH: 0px">確定密鑰對使用的 CSP

語法

certutil PFXfile.pfx

參數(shù)

PFXfile.pfx: 指定一個擴(kuò)展名為 .pfx 的文件。
-?: 顯示 certutil 命令列表。id=certutilcmds>

注釋

導(dǎo)入該 .pfx 文件后，可以使用下面的語法顯示 HKEY_CURRENT_USER 的“My”存儲區(qū)。

certutil /user /store my [CertIndex]

該命令以 Provider=xxx 的形式顯示每個證書密鑰的加密服務(wù)提供程序 (CSP)。
可以將 CertIndex 替換為小數(shù)、以零為基的證書存儲區(qū)索引號、通用名稱、安全哈希算法 (SHA-1) 或公鑰 SHA-1。

格式化圖例

格式	含義
斜體	用戶必須提供的信息
粗體	用戶必須準(zhǔn)確鍵入的要顯示的元素
省略號 (...)	在命令行中可多次重復(fù)的參數(shù)
中括號 ([])	可選項(xiàng)
大括號 ({})；選項(xiàng)用豎線 (\|) 分隔。例如：{even\|odd}	用戶必須從選項(xiàng)集合中選擇一個
`Courier 字體`	代碼或程序輸出

相關(guān)文章

前一則: Certreq
后一則: Change

本頁查看次數(shù):

XXXX国产在线播放_久久亚洲国产精品成人AV秋霞_日韩av无码精品人妻系列_国产一区二区精品久久小说_日韩无砖专区一中文字目

用于對證書進(jìn)行編碼和解碼的 Certutil 任務(wù)

語法

參數(shù)

語法

參數(shù)

語法

參數(shù)

語法

參數(shù)

語法

參數(shù)

語法

參數(shù)

配置證書頒發(fā)機(jī)構(gòu) (CA) 的 Certutil 任務(wù)

語法

參數(shù)

注釋

語法

參數(shù)

注釋

語法

參數(shù)

注釋

語法

參數(shù)

注釋

示例

語法

參數(shù)

注釋

示例

語法

參數(shù)

示例

語法

參數(shù)

注釋

語法

參數(shù)

語法

參數(shù)

注釋

語法

參數(shù)

注釋

示例

用于管理“證書頒發(fā)機(jī)構(gòu) (CA)”的 Certutil 任務(wù)

語法

參數(shù)

語法

參數(shù)

注釋

示例

語法

參數(shù)

注釋

語法

參數(shù)

語法

參數(shù)

注釋

語法

參數(shù)

注釋

語法

參數(shù)

注釋

語法

參數(shù)

注釋

語法

參數(shù)

注釋

語法

參數(shù)

注釋

語法

參數(shù)

注釋