在连接到域的 Windows Server 2012 R2 计算机上，我正在运行以下语句:

$target_machine_fqdn = [System.Net.Dns]::GetHostByName($env:computerName)

$certificate_request = Get-Certificate `
    -Template 'AcmeComputer' `
    -DnsName $target_machine_fqdn `
    -CertStoreLocation 'Cert:\LocalMachine\My'

我正在向域的 CA 请求主机证书。该语句返回没有错误。为机器生成一个证书，并按要求放置在它的“Cert:\LocalMachine\My”中。

问题:我不知道如何授予服务帐户对证书私钥的权限。

现在，大约有 1,000 个 articles instructing人们如何通过使用如下代码开头的 UniqueKeyContainerName 来授予权限:

$certificate.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName

这在这里行不通。虽然证书有私钥，但私钥数据成员为空:

在我刚刚避开的解决方案有效的情况下，私钥在文件系统上。但是，在这种情况下，私钥位于以下注册表中:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\MY\Keys

当使用 Certificates MMC-snapin 时，我可以看到证书。我可以管理私钥的权限。所以，我知道它在那里。不幸的是，我需要自动执行权限分配，因此无法使用 Certificates MMC-snapin。我需要通过 Powershell 以某种方式执行此操作。

最佳答案

我最近自己完成了对证书私钥的自动化访问。我也发现了很多地方告诉我修改硬盘上关键数据的 ACL，但这并不令人满意，因为当我使用 PowerShell 检查私钥的权限时，我添加的用户没有列出。如此多的网络搜索、几篇文章以及相当多的反复试验使我得出了这个结论。

我首先定义用户对象，以及我想授予他们的访问权限:

# Create NTAccount object to represent the account
$AccountName = 'Domain\UserName'
$User = New-Object System.Security.Principal.NTAccount($AccountName)
# Define AccessRule to be added to the private key, could use 'GenericRead' if all you need is read access
$AccessRule = New-Object System.Security.AccessControl.CryptoKeyAccessRule($User, 'FullControl', 'Allow')

然后我以读/写方式打开本地机器证书存储，并找到我要查找的证书:

# Define the thumbprint of the certificate we are interested in
$Thumb = '63CFDDE9A748345CD77C106DAA09B805B33951BF'
# Open Certificate store as read/write
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("My","LocalMachine")
$store.Open("ReadWrite")
# Look up the certificate's reference object in the store
$RWcert = $store.Certificates | where {$_.Thumbprint -eq $Thumb}

然后我根据现有证书制作一个新的 CSP(加密服务提供商)参数集，将新的访问规则添加到参数集中。

# Create new CSP parameter object based on existing certificate provider and key name
$csp = New-Object System.Security.Cryptography.CspParameters($RWcert.PrivateKey.CspKeyContainerInfo.ProviderType, $RWcert.PrivateKey.CspKeyContainerInfo.ProviderName, $RWcert.PrivateKey.CspKeyContainerInfo.KeyContainerName)

# Set flags and key security based on existing cert
$csp.Flags = "UseExistingKey","UseMachineKeyStore"
$csp.CryptoKeySecurity = $RWcert.PrivateKey.CspKeyContainerInfo.CryptoKeySecurity
$csp.KeyNumber = $RWcert.PrivateKey.CspKeyContainerInfo.KeyNumber

# Add access rule to CSP object
$csp.CryptoKeySecurity.AddAccessRule($AccessRule)

然后我们使用这些参数实例化一个新的 CSP，它将根据我们定义的标志和我们提供的 key 信息将新的访问规则应用于现有证书。

# Create new CryptoServiceProvider object which updates Key with CSP information created/modified above
$rsa2 = New-Object System.Security.Cryptography.RSACryptoServiceProvider($csp)

然后我们只需关闭证书存储，就大功告成了。

# Close certificate store
$store.Close() 

编辑环顾四周后，我意识到我有几个相同的证书。我相信这是由于使用了非 RSA 密码来加密私钥。我使用了来自 this answer 的一些信息这解释了如何与第三方 CNG 加密提供商合作。我不喜欢必须下载程序集来执行该答案中的操作，但我使用了一些代码来获取 key 的路径(是的，驱动器上有一个 key )，并添加了一个 ACL到文件，它确实可以将权利委托(delegate)给私钥。所以这就是我所做的......

首先，我们验证证书是否具有基于 CNG 的 key :

[Security.Cryptography.X509Certificates.X509CertificateExtensionMethods]::HasCngKey($Certificate)

如果返回 True 那么我们就可以继续前进了。我的做到了，我猜你的也会。然后我们通过读取 PrivateKey 数据($Certificate 中缺少)找到硬盘驱动器上的 key ，并获取它的 UniqueName，然后搜索 Crypto 文件夹对于那个文件。

$privateKey = [Security.Cryptography.X509Certificates.X509Certificate2ExtensionMethods]::GetCngPrivateKey($Certificate)
$keyContainerName = $privateKey.UniqueName
$keyMaterialFile = gci $env:ALLUSERSPROFILE\Microsoft\Crypto\*Keys\$keyContainerName

然后我抓取文件的当前 ACL，创建一个新的 AccessRule 以授予所需用户访问文件的权限，将规则添加到我刚刚抓取的 ACL，并将更新后的 ACL 应用回文件。

$ACL = Get-Acl $keyMaterialFile
$AccountName = 'Domain\User'
$User = New-Object System.Security.Principal.NTAccount($AccountName)
$AccessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($User,'FullControl','None','None','Allow')
$ACL.AddAccessRule($AccessRule)
Set-Acl -Path $keyMaterialFile -AclObject $ACL

之后，我可以查看 certlm.msc 并验证用户是否有权访问私钥。

依赖更新:看起来 Microsoft 现在发布了 Security.Cryptography.dll，因此您不必从 GitHub 上编译它。如果您安装了 AzureRM 模块，您可以在许多组件模块中找到 DLL(我从 AzureRM.SiteRecovery 中获取它)。

关于windows - 通过 Powershell 为证书的私钥分配权限 (Win 2012 R2)，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/49887038/