是否可以续订过期的Microsoft代码签名证书？

Question

我有一个由内部Windows CA签名的代码签名证书。监控我们证书的人离开了我们的公司，这个证书最近过期了。我正在访问CA网站，我在更新区域，但我无法找到一个PKCS#7更新请求的证书。

所讨论的证书是我们域工作站的受信任发行者。

我可以将证书导出到一个*.p7b文件中，它显示为PKCS #7证书，但是我仍然无法将它导入到更新请求的网站上。

除了撤销和生成一个新的选项之外，我还有其他选择吗？如果可能的话，我想避免这种情况，因为我将不得不按照我在过去几年签署的80个PowerShell脚本和程序的顺序辞职。

尽管谷歌分享了大量关于购买证书、ClickOnce证书或过期WebCerts的结果，但它的帮助并不大。不过，对于MS CA过期的代码签名，不多。:(

任何感谢都将不胜感激！

Answer 1

很少有事情需要知道：

1. 不能续订过期的证书。这是因为现有证书用于签署更新请求。由于证书已过期，因此不能用于对请求进行签名。即使您尝试过，CA也会拒绝续订请求，因为它是由过期证书签名的。
2. 与更新不同，您应该使用与初始代码签名证书注册相同的进程。只需注册一个新的，并使用它来签署数据。
3. 我不鼓励ADCS注册，因为它提供的功能非常和非常有限，并且需要ActiveX。尤其是企业级CA。相反，您应该考虑使用证书MMC管理单元--它为证书注册提供了强大的工具。