azure - 如何从网络解决方案中间和域证书文件为 Azure 网站创建 PFX 证书导出？

Question

我从 Network Solutions 网站购买了 SSL 证书。我收到了 4 个 .crt 文件。我相信其中三个是中间证书，第四个是我的网站域名的实际证书。

我尝试使用 DigiCert 实用程序导入实际证书。它在三个中间文件上出错。它允许我导入域证书并导出 PFX 文件，但这会在浏览器中引发警告 - 未提供颁发者链。

我使用运行 Windows Server 2008 R2 的域 Controller 导入 MMC 中的中间证书颁发机构，然后使用域证书导入 IIS 完成证书请求。证书的认证路径现在看起来正确，但 PFX 文件的 MMC 证书导出向导选项呈灰色 - 已禁用。

我使用 MMC 证书模板管理单元创建 Web 服务器模板的副本，并选中“请求处理”设置“允许导出私钥”。在 IIS 中完成证书请求时似乎不会使用此模板，因为 PFX 导出仍然处于禁用状态。完整证书请求不提供选择要使用的证书模板的选项。

我尝试使用证书详细信息，复制到文件，选择 P7B 并包含证书路径中的所有证书。完成向导后会显示“导出 key ”设置为“否”并且无法更改它。保存文件然后双击打开它允许导出，但 PFX 选项再次被禁用。

我缺少的拼图是什么？

Answer 1

您遇到的问题与 Network Solutions 颁发的实际 SSL 证书有关。我在这个问题上与 Microsoft 合作了一段时间，但 Network Solutions 拒绝相信这是一个问题。

Azure 网站在向客户端颁发证书链时依赖 AIA(权威信息访问)属性来保证正确性。在 Network Solutions 颁发的新 SHA-2 证书中，这是 AIA 元素中的值

[1]权限信息访问 访问方法=证书颁发机构 (1.3.6.1.5.5.7.48.2) 备用名称: 网址=http://crt.netsolssl.com/NetworkSolutionsOVServerCA2.crt[2]权限信息获取 访问方法=在线证书状态协议(protocol)(1.3.6.1.5.5.7.48.1) 备用名称: URL=http://ocsp.netsolssl.com

如果您记下第一个元素的 URL，它应该指向链中的第一个中间证书。然而，该 url 会抛出 404。相比之下，这是来自其较旧的 SHA-1 证书之一的 AIA 值

[1]权限信息访问 访问方法=证书颁发机构 (1.3.6.1.5.5.7.48.2) 备用名称: 网址=http://www.netsolssl.com/NetworkSolutions_CA.crt[2]权限信息获取 访问方法=在线证书状态协议(protocol)(1.3.6.1.5.5.7.48.1) 备用名称: URL=http://ocsp.netsolssl.com

此 URL 有效，因此您的客户端可以成功加载证书链。

因此，网络解决方案的唯一解决方法是将 NetworkSolutionsOVServerCA2.crt 文件放在其证书所说的位置。我已向 NetSol 开立了大量技术支持票证，并尝试通过许多其他方式传达此问题手段，但永远无法找到承认问题的人，或者愿意将问题交给具有足够专业知识的人来解决问题。