encryption - 为什么有 "Computer\Personal\Certificates"商店和 "Current User\Personal\Certificates"

Question

我正在比较本地计算机中的证书，MMC.exe 允许我查看“当前用户”和“计算机”的证书。

我不明白为什么会有两个“个人”商店。有人可以解释为什么有两个，以及它们如何相互作用吗？

很高兴知道为什么其他文件夹也在那里。我认为唯一具有固定含义的是“受信任的根证书”。另一个常数是 Fiddler 似乎也将其证书放入“当前用户\个人”



例如; FedUtil 将仅使用位于以下位置的证书 (web.config)

        <serviceCertificate findValue="6CB9aaaaa636EBF52980152CDCB02D3BBBBBBBBB" storeLocation="LocalMachine" storeName="My" x509FindType="FindByThumbprint" />

Answer 1

某些情况需要使用域 CA 颁发的证书与用户分开验证本地计算机。

我看到的一个例子是用于 VPN 身份验证，其中向机器颁发证书(以验证该机器是否允许连接到 VPN)，并向用户颁发证书(以验证尝试连接的人到 VPN 的用户与当前登录到本地机器的用户相同)。这两个证书分别存储在 Computer\Personal 和 Current User\Personal 位置。

访问 VPN 的唯一方法是让域用户在连接到域网络时登录的域加入机器(让域 CA 颁发的机器证书)(让由域颁发的用户证书)域 CA)。

我指的是让用户访问和安装 VPN 的特殊情况，即使他们当前没有登录域(因此他们通常可以在家中或远离办公室获取 VPN)，他们只需要输入在一个网址中，使用他们的域凭据验证自己，并设置了 VPN 软件和连接详细信息，允许用户远程访问业务网络资源，而无需 ICT 支持。

为了回答他们如何交互，计算机\个人位置中的证书适用于访问机器的所有用户，而当前用户\个人仅适用于当前用户(有点明显，但这是我理解的区别)。在我的示例中，证书协同工作，为机器和用户提供域外身份验证。