非域机器使用AD代码签名证书仍显示"Unknown Publisher"问题

核心结论 #

这不是设计限制，ClickOnce完全支持非域客户端使用AD CA颁发的代码签名证书，问题通常出在证书链完整性、证书扩展属性或验证配置上。

排查与解决步骤 #

1. 确保完整的证书链已导入 #

• 打开代码签名证书，切换到「证书路径」标签，检查根CA和所有中间CA是否都显示「此证书已正常」。
• 如果存在中间CA缺失，将对应的中间CA证书导入到本地机器的中级证书颁发机构存储，根CA证书导入到受信任的根证书颁发机构存储（必须是本地机器级别，而非当前用户）。

2. 补充ClickOnce专用的扩展密钥用法 #

AD CA默认的代码签名模板通常不包含ClickOnce所需的特定应用策略，需要修改模板并重新颁发证书：

• 在AD CA服务器上，打开「证书模板」管理控制台，找到你的代码签名模板，右键→「属性」→「扩展」标签。
• 点击「添加」→选择「应用策略」→添加「ClickOnce发布者（1.3.6.1.4.1.311.76.3.1）」。
• 保存模板后，重新申请并使用新的代码签名证书对ClickOnce应用签名。

3. 验证证书的签名属性与清单有效性 #

• 使用命令行工具验证证书属性：

  certutil -v -dump "path/to/your/code-signing-cert.cer"
  

  确认输出中同时包含Code Signing (1.3.6.1.5.5.7.3.3)和ClickOnce Publisher (1.3.6.1.4.1.311.76.3.1)的扩展密钥用法。
• 验证ClickOnce清单的签名：

  mage -Verify "path/to/your.application"
  

  该命令会输出详细的签名验证结果，直接指出链缺失、证书过期等问题。

4. 确认证书的存储位置正确 #

• 根CA证书：必须导入到本地机器→受信任的根证书颁发机构。
• 代码签名证书：必须导入到本地机器→受信任的发布者（无需导入到个人存储，个人存储仅用于签名操作）。

5. 排除CRL验证失败的影响 #

非域机器可能无法访问AD CA的内部CRL分发点，导致证书验证被阻断：

• 临时测试：打开gpedit.msc，转到「计算机配置→Windows设置→安全设置→公钥策略→证书路径验证设置」，勾选「定义这些策略设置」，取消勾选「允许吊销证书的验证」，重启机器后测试。
• 长期解决方案：将AD CA的CRL发布到非域机器可访问的位置（如公共HTTP服务器），并在证书模板中更新CRL分发点地址。

内容的提问来源于stack exchange，提问作者InteXX