加密证书必须包含数据加密或密钥加密。

Question

升级到WindowsManagementFramework5.0之后，我在获取DSC配置时开始收到以下异常。

ConvertTo-MOFInstance : System.ArgumentException error processing property 'Password' OF TYPE 'MSFT_Credential': Certificate
'---HIDDEN-CERTIFICATE-THUMPRINT-VALUE---' cannot be used for encryption. Encryption certificates must contain the Data Encipherment or Key
Encipherment key usage, and include the Document Encryption Enhanced Key Usage (1.3.6.1.4.1.311.80.1).
At C:\Windows\system32\WindowsPowerShell\v1.0\Modules\PSDesiredStateConfiguration\PSDesiredStateConfiguration.psm1:303 char:13
+             ConvertTo-MOFInstance MSFT_Credential $newValue
+             ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo          : InvalidOperation: (:) [Write-Error], InvalidOperationException

在每个节点上使用的证书是使用以下证书请求生成的自签名证书。

[NewRequest]
Subject = CN=[computer-name-here].dsc
KeyLength = 2048
MachineKeySet = true
RequestType = Cert
KeySpec = AT_KEYEXCHANGE

然后将该请求文件输入certreq命令行实用程序，以生成证书并将其加载到cert:\LocalMachine\My证书存储中。

我尝试在基于certreq工具的文档的证书请求文件中添加以下内容，但仍然遇到同样的失败。

KeyUsage = 0x30
[Strings]
szOID_ENHANCED_KEY_USAGE = "1.3.6.1.4.1.311.80.1"

将KeyUsage设置为0x30可以同时实现密钥加密和数据加密。但是，我似乎无法在生成的证书中找到有关增强密钥使用的详细信息。也许我在请求中设置这个值是错误的。

请帮帮忙。

Answer 1

我发现Keith的博客文章PowerShell V5新特性:保护/解除保护-消息与这个问题没有直接关系，但它展示了如何定义包含文档加密密钥用法的证书请求文件。

我现在使用以下请求inf生成一个自签名证书：

[Version]
Signature = "$Windows NT$"

[Strings]
szOID_ENHANCED_KEY_USAGE = "2.5.29.37"
szOID_DOCUMENT_ENCRYPTION = "1.3.6.1.4.1.311.80.1"

[NewRequest]
Subject = "CN=test.dsc"
KeyLength = 2048
MachineKeySet = true
RequestType = Cert
KeySpec = AT_KEYEXCHANGE
KeyUsage = CERT_KEY_ENCIPHERMENT_KEY_USAGE

[Extensions]
%szOID_ENHANCED_KEY_USAGE% = "{text}%szOID_DOCUMENT_ENCRYPTION%"

Answer 2

您也可以使用生成自签名证书。我编写了这个模块，它将帮助生成DSC https://github.com/nanalakshmanan/xDSCUtils所要求的证书。