如何修改AD模板使256位ECDSA证书生效key encipherment密钥用法

常见遗漏配置项 #

• 密钥CSP与密钥规格不匹配
  为ECDSA 256位密钥配置加密服务提供程序（CSP）时，如果将密钥规格（Key Spec）锁定为AT_SIGNATURE（仅签名用途），CA端内置的过滤逻辑会直接剔除Key Encipherment用法，不管你在Key Usage选项卡里勾选多少次对应选项，最终生成的证书都不会携带该属性。
• 密钥用法扩展未标记为关键
  Key Usage选项卡中，如果没有将密钥用法扩展设置为关键（Critical）扩展，CA的默认策略模块会自动移除它判定为非必要的密钥用法配置。另外要说明的是，你之前调整的「允许加密数据」仅对应dataEncipherment用法，和keyEncipherment是完全独立的两个属性，调整前者不会对后者的写入产生任何影响，这也是你改了这个选项没效果的核心原因。
• 注册请求的属性覆盖模板配置
  如果通过手动编写INF请求文件、或带自定义参数的命令行发起证书注册，请求报文内自带的Key Usage属性优先级高于模板配置，会直接覆盖模板里定义的密钥用法，导致最终证书仅携带请求中声明的用法字段。
• CA端策略模块的强制覆盖规则
  企业CA的默认策略可能针对ECDSA类型证书设置了硬性的密钥用法过滤规则，优先级高于单个证书模板的配置，会在证书签发环节直接移除不符合规则的密钥用法字段。

强制写入Key Encipherment属性的配置路径 #

• 打开目标证书模板的「加密」选项卡，选择支持ECDSA密钥交换的CSP（如Microsoft Software Key Storage Provider），将密钥规格设置为AT_KEYEXCHANGE（密钥交换用途），不要将密钥用途锁定为纯签名模式；避开不支持ECDSA的旧版CSP（如Microsoft Enhanced Cryptographic Provider v1.0），这类CSP会直接触发CA的过滤逻辑，屏蔽Key Encipherment字段。
• 返回Key Usage选项卡，勾选keyEncipherment选项的同时，开启「将密钥用法扩展设置为关键扩展」的开关，确保CA不会在签发环节随意移除该字段。
• 登录企业CA服务器，执行以下命令调整CA的策略编辑标记，确保CA会尊重模板和注册请求中定义的密钥用法配置：
  certutil -setreg policy\EditFlags +EDITF_ENABLEREQUESTKEYUSAGE
  执行完成后重启Active Directory Certificate Services服务，让配置生效。
• 注册证书时不要开启「注册时修改证书属性」的选项，优先通过系统自带的证书注册向导基于模板直接发起请求，避免本地自定义配置覆盖模板定义的密钥用法规则。

内容的提问来源于stack exchange，提问作者Ana Franco