如何以他人名义续订Windows证书颁发机构（CA）的证书？

我之前在AD环境下也碰到过一模一样的问题——注册代理能帮用户申请新证书，却没法代续订。折腾了好一阵才搞清楚关键配置和操作步骤，下面分享给你，亲测有效：

一、先检查CA证书模板的核心配置 #

这是最容易漏掉的环节，很多时候问题就出在模板权限和续订设置上：

• 打开CA控制台，找到你用来给用户签发证书的模板，右键选「属性」
• 切换到「安全」标签：确保你的注册代理账户有「注册」和「读取」权限，同时被代续订的用户账户也要有这两个权限（毕竟续订是基于原证书的重新申请，用户本身的权限不能少）
• 切换到「注册要求」标签：一定要勾选「此模板需要注册代理（证书）」，并且下面的「允许注册代理续订证书」也要打上勾！这个是代理续订的关键开关，很多人就是没开这个导致失败
• 最后切换到「请求处理」标签，确认「允许私钥导出」已经勾选（你已经拿到带私钥的用户证书，这个应该已经满足，但还是确认下更稳妥）
• 保存模板后，记得在CA控制台里刷新模板列表，或者重启CA服务让设置生效

二、客户端用命令行执行代理续订 #

图形界面的证书注册向导对代理续订支持不太友好，用certreq命令行更可靠：

1. 先把被代续订用户的现有证书（带私钥）导出成PFX文件，比如命名为user_old_cert.pfx，导出时设置好密码
2. 以管理员身份打开命令提示符，把PFX导入到当前注册代理账户的证书存储：

   certutil -importpfx user_old_cert.pfx
   

   输入导出时设置的密码完成导入
3. 创建一个续订请求配置文件，比如renew_request.inf，内容如下（替换成你的实际信息）：

   [Version]
   Signature="$Windows NT$"
   
   [RequestAttributes]
   CertificateTemplate=你的用户证书模板名称（比如默认的User）
   RenewalCert=现有证书的指纹（可以在证书属性的「详细信息」里找到）
   RequestType=Renew
   

4. 提交续订请求：

   certreq -submit -attrib "CertificateTemplate:你的模板名称" renew_request.inf
   

5. 如果你的CA需要手动审批请求，就去CA控制台的「挂起的请求」里找到这条请求，右键批准；不需要审批的话，很快就能拿到续订后的证书

额外注意事项 #

• 确保你的注册代理证书是有效的，并且包含「注册代理」的增强型密钥用法（EKU）
• 客户端的证书存储里，注册代理的证书要放在「个人」存储，被代续订用户的证书也要在当前用户的存储中
• 如果CA启用了证书管理器审批策略，要确认审批规则允许注册代理代用户提交续订请求

备注：内容来源于stack exchange，提问作者amperek