如何在Windows环境下用Key和CRT生成PKCS15(.p15)证书适配APC设备

核心思路 #

APC设备要求的.p15是PKCS#15格式的证书容器，通常可通过先将Key+CRT打包为PKCS#12，再转换为PKCS#15的方式实现，以下是两种Windows环境下的可行方案：

方案一：使用OpenSSL（推荐） #

若之前用OpenSSL失败，大概率是参数组合错误，按以下步骤执行：

1. 将私钥和证书打包为PKCS#12（.p12）文件
   打开支持OpenSSL的终端（如Git Bash、命令提示符），运行：

   openssl pkcs12 -export -in your_certificate.crt -inkey your_private.key -out intermediate.p12 -name "APC_Device_Cert" -certpbe AES-256-CBC -keypbe AES-256-CBC -macalg SHA256
   

   • 执行时需输入导出密码，请记录该密码（APC导入.p15时需要）
   • -name参数可自定义，建议用易识别的设备标识
   • 追加的加密算法参数是为了兼容APC老设备，避免算法不支持问题

2. 将PKCS#12转换为PKCS#15（.p15）文件
   继续运行：

   openssl pkcs15 -gen -in intermediate.p12 -out apc_final.p15 -passin pass:你的导出密码 -passout pass:你的导出密码 -aes256
   

   • -passin是输入.p12的密码，-passout设置.p15的密码，建议保持一致

3. 验证Key与CRT配对（可选但重要）
   确保私钥和证书配对，避免无效转换：

   openssl x509 -noout -modulus -in your_certificate.crt | openssl md5
   openssl rsa -noout -modulus -in your_private.key | openssl md5
   

   两个命令输出的MD5值必须完全一致，否则说明私钥和证书不匹配，需重新获取对应文件。

方案二：使用Windows自带Certutil工具 #

无需额外安装工具，依赖Windows证书存储：

1. 导入私钥和证书到本地存储

   • 右键私钥文件（.key），选择「安装私钥」，按向导导入到「个人」证书存储
   • 右键CRT文件（.crt），选择「安装证书」，同样导入到「个人」存储，确保两者配对（导入后可在「证书管理器」中查看关联状态）

2. 导出为PKCS#15文件
   以管理员身份打开命令提示符，运行：

   certutil -exportPFX -p 你的导出密码 -privatekey -user My "APC_Device_Cert" apc_final.p15
   

   • "APC_Device_Cert"替换为你导入证书时的友好名称（可在证书管理器中查看）
   • -p后设置的密码即为.p15的导入密码

注意事项 #

• 部分APC老设备可能仅支持特定加密算法（如3DES），若上述命令生成的.p15无法导入，可将OpenSSL命令中的AES-256-CBC替换为DES-EDE3-CBC，-aes256替换为-3des
• 批量处理1000台设备时，可将上述命令封装为PowerShell脚本，循环处理对应设备的Key和CRT文件

内容的提问来源于stack exchange，提问作者Daniel Pierce