certreq

certreq 命令可用于从证书颁发机构 (CA) 请求证书、从 CA 检索对以前某个请求的响应、从 .inf 文件创建新的请求、接受和安装对请求的响应、从现有的 CA 证书或请求构造交叉证书或合格的从属请求，以及签署交叉证书或合格的从属请求。

Syntax

certreq [-submit] [options] [requestfilein [certfileout [certchainfileout [fullresponsefileOut]]]]
certreq -retrieve [options] requestid [certfileout [certchainfileout [fullresponsefileOut]]]
certreq -new [options] [policyfilein [requestfileout]]
certreq -accept [options] [certchainfilein | fullresponsefilein | certfilein]
certreq -sign [options] [requestfilein [requestfileout]]
certreq -enroll [options] templatename
certreq -enroll -cert certId [options] renew [reusekeys]

Parameters

Examples

certreq -submit

若要提交基本证书请求，请执行以下操作：

certreq -submit certrequest.req certnew.cer certnew.pfx

Remarks

• 这是默认 certreq.exe 参数。 如果在命令行提示符下未指定任何选项，certreq.exe 会尝试向证书颁发机构提交证书请求。 使用 -submit 选项时，必须指定证书请求文件。 如果省略此参数，则会出现一个通用 的“文件打开” 窗口，让您选择适当的证书请求文件。

• 若要通过指定 SAN 属性来请求证书，请参阅 Microsoft 知识库文章 931351 如何将使用者可选名称添加到安全 LDAP 证书的“如何使用 certreq.exe 实用工具创建和提交证书请求”部分。

certreq -retrieve

若要检索证书 ID 20 并创建名为 MyCertificate 的证书文件 （.cer） 请执行以下作：

certreq -retrieve 20 MyCertificate.cer

Remarks

• 在证书颁发机构颁发证书后，使用 certreq -retrieve requestid 检索证书。 requestid PKC 可以是带有 0x 前缀的十进制或十六进制，也可以是没有 0x 前缀的证书序列号。 还可以使用它来检索证书颁发机构颁发的任何证书，包括吊销或过期的证书，而不考虑证书的请求是否处于挂起状态。

• 如果向证书颁发机构提交请求，那么证书颁发机构的策略模块可能会将请求保持在挂起状态，并将 请求 ID 返回给 certreq 调用方进行显示。 最终，证书颁发机构的管理员会颁发证书或拒绝请求。

certreq -new

若要创建新请求，请执行以下操作：

[newrequest]
; At least one value must be set in this section
subject = CN=W2K8-BO-DC.contoso2.com

下面是可以添加到 INF 文件的一些可能部分：

[newrequest]

对于任何新的证书请求模板，INF 文件的此区域是必需的，并且必须至少包含一个带有值的参数。

¹等号 （=） 左侧的参数

^{阿拉伯数字}等号 （=） 右侧的参数

[Extensions]

本部分是可选的。

Example

若要在记事本中创建策略文件 （.inf） 并将其另存为 requestconfig.inf，请执行以下作：

[NewRequest]
Subject = CN=<FQDN of computer you are creating the certificate>
Exportable = TRUE
KeyLength = 2048
KeySpec = 1
KeyUsage = 0xf0
MachineKeySet = TRUE
[RequestAttributes]
CertificateTemplate=WebServer
[Extensions]
OID = 1.3.6.1.5.5.7.3.1
OID = 1.3.6.1.5.5.7.3.2

在为其请求证书的计算机上：

certreq -new requestconfig.inf certrequest.req

对 OID 和其他难以解释的数据使用 [Strings] 节语法。 EKU 扩展的新 {text} 语法示例，它使用逗号分隔的 OID 列表：

[Version]
Signature=$Windows NT$

[Strings]
szOID_ENHANCED_KEY_USAGE = 2.5.29.37
szOID_PKIX_KP_SERVER_AUTH = 1.3.6.1.5.5.7.3.1
szOID_PKIX_KP_CLIENT_AUTH = 1.3.6.1.5.5.7.3.2

[NewRequest]
Subject = CN=TestSelfSignedCert
Requesttype = Cert

[Extensions]
%szOID_ENHANCED_KEY_USAGE%={text}%szOID_PKIX_KP_SERVER_AUTH%,
_continue_ = %szOID_PKIX_KP_CLIENT_AUTH%

若要指定使用者可选名称 (SAN)，请在 INF 的[扩展]部分中添加该名称。 For example:

[Version]
Signature=$Windows NT$
 
[Strings]
szOID_ENHANCED_KEY_USAGE = 2.5.29.37
szOID_PKIX_KP_SERVER_AUTH = 1.3.6.1.5.5.7.3.1
szOID_PKIX_KP_CLIENT_AUTH = 1.3.6.1.5.5.7.3.2

[NewRequest]
Subject = CN=TestSelfSignedCert
Requesttype = Cert

[Extensions]
2.5.29.17 = "{text}"
_continue_ = "DNS=example.com"
_continue_ = "DNS=www.example.com"
_continue_ = "IP Address=192.168.1.1"

在此示例中，2.5.29.17 是定义 SAN 的 OID。 为了指定多个 SAN，_continue_ 将使用扩展 OID，这样就可以分隔和指定每个 SAN 扩展。

certreq -accept

-accept 参数将以前生成的私钥与颁发的证书链接起来，并从请求证书的系统中删除挂起的证书请求（如果有匹配的请求）。

若要手动接受证书，请执行以下操作：

certreq -accept certnew.cer

certreq -policy

policy.inf 文件是一个配置文件，用于定义在定义合格的从属时应用于 CA 认证的约束。

若要生成交叉证书请求，请执行以下操作：

certreq -policy certsrv.req policy.inf newcertsrv.req

使用不带任何其他参数的 certreq -policy 将打开一个对话框窗口，允许你选择请求的文件（.req、.cmc、.txt、.der、.cer 或 .crt）。 选择请求的文件并单击“ 打开”后，将打开另一个对话框窗口，允许您选择 policy.inf 文件。

Examples

在 CAPolicy.inf 语法中查找 policy.inf 文件的示例。

certreq -sign

若要创建新的证书请求，请对其进行签名并提交：

certreq -new policyfile.inf myrequest.req
certreq -sign myrequest.req myrequest.req
certreq -submit myrequest_sign.req myrequest_cert.cer

Remarks

• 使用不带任何其他参数的 certreq -sign 将打开一个对话框窗口，以便你能够选择请求的文件（req、cmc、txt、der、cer 或 crt）。

• 对合格的从属请求进行签名可能需要 企业管理员 凭据。 这是为合格从属颁发签名证书的最佳做法。

• 用于对合格的从属请求进行签名的证书使用合格的从属模板。 企业管理员必须对请求进行签名，或向对证书进行签名的个人授予用户权限。

• 可能需要设置在你之后再让其他人员对 CMC 请求进行签名。 这取决于与合格的从属关联的保证级别。

• 如果要安装的合格从属 CA 的父 CA 处于脱机状态，则必须从脱机父级获取合格从属 CA 的 CA 证书。 如果父 CA 处于联机状态，请在证书服务安装向导期间为合格的从属 CA 指定 CA 证书。

certreq -enroll

可以使用此注释来注册或续订证书。

Examples

要注册证书，请使用 WebServer 模板，并使用 U/I 选择策略服务器：

certreq -enroll -machine -policyserver * WebServer

若要使用序列号续订证书，请执行以下操作：

certreq -enroll -machine -cert 61 2d 3c fe 00 00 00 00 00 05 renew

只能续订有效的证书。 过期的证书不能续订，必须用新证书替换。

选项

Formats

Additional Resources

以下文章包含 certreq 用法的示例：

• 如何将使用者可选名称添加到安全 LDAP 证书

• 测试实验指南：部署 AD CS 双层 PKI 层次结构

• 附录 3：Certreq.exe 语法

• 如何手动创建 Web 服务器 SSL 证书

• System Center Operations Manager 代理的证书注册

• Active Directory 证书服务概述

• 如何通过第三方证书颁发机构启用 LDAP over SSL