ssl - Certutil 要求连接智能卡

Question

我正在尝试运行 certutil -repairstore 并不断收到智能卡提示。这是 AWS 上的虚拟机，不能选择智能卡。任何关于如何绕过智能卡并完成修复的想法都值得赞赏

Answer 1

其他答案之一涉及到它，但我想添加一些上下文/细节，并且我花了很多时间寻找这个问题的根源。杀死智能卡相关服务不起作用，使用 gpedit 禁用相关策略也不起作用。
当您使用 -repairstore 运行 certutil 时选项，Windows 会运行其 CSP(配置服务提供程序)列表，其中之一是“Microsoft 智能卡 key 存储提供程序”——它会导致提示输入您的智能卡。如上述答案所述，最可能的原因是您尝试在 VM 上安装没有相应 key 的证书文件(.crt、.cer、.pem 等)，因此 Windows 正在循环通过各种 CSP 正在寻找有效 key 但找不到。这个问题有两种可能的解决方案:

您应该通过 IIS > Server Certificates > Create Certificate Request 生成您的 CSR(证书签名请求)。这将确保 key 在本地生成并且适当的 key 存储知道它。使用该 CSR 从 GoDaddy 或您的提供商获取您的证书，然后您应该能够转到 IIS > 服务器证书 > 完成证书请求以安装证书并完全避免使用 certutil。

如果你仍然不能让它工作并且确定 key 是在本地生成的，-csp certutil 选项将允许您指定在验证证书时使用哪个 CSP，从而消除 Windows 尝试智能卡 CSP 的需要。您可以通过运行 certutil -csplist 来获取系统上已安装的 CSP。 - “提供者名称”值是您传递给 certutil 的值。例如，certutil -csp "Microsoft Software Key Storage Provider" -repairstore ...将强制 certutil 针对 Microsoft 软件 key 存储提供程序进行验证。确保使用引号，因为名称中有空格。