转移的注册代理证书在代表他人注册时无法显示的问题求助

问题描述 #

我在COMPUTER1上从CA给自己颁发了一张注册代理证书，并用它成功为其他人注册过证书。现在我在另一个办公地点，COMPUTER2已经连上了网络，我把COMPUTER1上的注册代理证书导出后，导入到了COMPUTER2的个人证书存储里，证书显示已安装，状态和COMPUTER1上的一样。但当我用和COMPUTER1相同的凭据尝试代表他人注册时，到选择注册代理证书的步骤时，COMPUTER2上找不到任何证书，明明证书就在存储里。

想问下有没有人知道怎么解决这个问题？还是说我必须在COMPUTER2上重新给自己颁发一张注册代理证书？

解决方案建议 #

根据你的场景，大概率是证书导入过程中遗漏了关键组件或者系统配置限制导致的，下面是几个可以尝试的排查和解决步骤：

• 检查证书私钥是否完整导入
  注册代理证书需要配套的私钥才能用于代表注册操作。你可以打开COMPUTER2上的证书管理器（运行certmgr.msc），找到个人存储里的这张证书，右键选择「所有任务」→「管理私钥」：

  • 如果能正常打开私钥管理界面，说明私钥存在；
  • 如果弹出“找不到与此证书关联的私钥”之类的提示，那就是你在COMPUTER1导出证书时没勾选「导出私钥」选项，需要回到COMPUTER1重新导出证书，确保选中包含私钥的选项，再重新导入到COMPUTER2。

• 验证证书的增强型密钥用法（EKU）
  打开证书的「属性」→「详细信息」标签，找到「增强型密钥用法」字段，确认里面包含「注册代理（1.3.6.1.4.1.311.20.2.1）」这个条目。虽然你在COMPUTER1上能用，大概率没问题，但还是可以确认下避免导入过程中出现异常。

• 检查本地组策略的注册代理限制
  在COMPUTER2上运行gpedit.msc，导航到「计算机配置→Windows设置→安全设置→公钥策略→注册代理」，查看是否有设置限制允许使用的注册代理证书的规则。如果存在相关规则，确保你的证书符合规则要求，或者调整策略允许该证书用于注册代理操作。

• 重启证书注册服务
  有时候系统服务的缓存会导致证书识别异常，你可以在COMPUTER2上重启证书注册服务：

  1. 运行services.msc找到「证书注册服务」；
  2. 右键选择「重启」，或者用命令行执行：

     net stop certsvc
     net start certsvc
     

  重启后再尝试代表他人注册的操作。

• 关于重新申请证书的选择
  如果上面的步骤都尝试后还是无法解决，再考虑在COMPUTER2上重新申请注册代理证书。不过一般来说，只要证书有效且完整导入，是不需要重新申请的，所以优先排查前面的配置问题。

备注：内容来源于stack exchange，提问作者JukEboX