Windows 11下使用Signtool与Safenet令牌时如何禁用凭据提供程序？

1. 调整SafeNet客户端的智能卡覆盖设置 #

• 打开SafeNet Authentication Client (SAC) 管理工具，找到智能卡设置或高级选项
• 启用「覆盖系统智能卡对话框」或类似命名的选项（不同版本SAC措辞可能有差异），该选项会强制使用SafeNet原生密码输入界面，跳过Windows系统代理
• 若找不到该选项，尝试升级SafeNet客户端到最新版本——部分旧版本未适配Windows 11，新版本会增加此控制项

2. 修改Windows智能卡服务优先级 #

• 打开注册表编辑器（regedit），导航到路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais\SmartCards
• 找到对应SafeNet令牌的子项（名称通常包含「SafeNet」或令牌型号，比如「eToken PRO 72K」）
• 在该子项中添加或修改Priority DWORD值，设置为1（数值越小优先级越高，确保SafeNet提供程序优先于系统默认）
• 重启Smart Card服务（在服务管理器中找到该服务右键重启）

3. 临时禁用Windows智能卡凭据提供程序 #

• 打开注册表编辑器，导航到：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers
• 找到系统智能卡凭据提供程序的CLSID：{1b268610-1c7e-4f1c-8c6b-83688126d27d}
• 右键该CLSID项重命名，在末尾添加.bak（比如{1b268610-1c7e-4f1c-8c6b-83688126d27d}.bak），临时禁用系统的智能卡凭据提供
• 重启电脑测试，若恢复正常可保留设置；若出现其他智能卡问题，再改回原名称

4. 给Signtool指定SafeNet加密服务提供程序 #

• 尝试在Signtool命令中强制指定SafeNet的CSP，示例命令：

  signtool sign /f "你的证书名称" /csp "SafeNet RSA CSP" /kc "令牌容器名称" /t http://timestamp.digicert.com "目标文件.exe"
  

  /csp参数会强制使用SafeNet的加密服务提供程序，而非系统默认智能卡CSP，从而触发SafeNet原生密码对话框
• 令牌容器名称可通过SAC管理工具查看证书容器信息获取

5. 检查组策略的智能卡配置 #

• 打开本地组策略编辑器（gpedit.msc），导航到「计算机配置」→「管理模板」→「Windows组件」→「智能卡」
• 找到「强制使用Windows智能卡对话框」或类似策略，设置为「已禁用」
• 运行gpupdate /force刷新组策略后重启测试

内容的提问来源于stack exchange，提问作者Matt C