certutil.exe的语法？

Question

在Windows上，可以使用certutil.exe管理证书。但是它确实有很多选择，命令help (和Google一样)并不能帮助我们清楚地理解它。

这些命令的确切含义是什么，所有这些命令都应该能够将证书导入本地机器存储区？

certutil -addstore my <filename>
certutil -installcert <filename>
certutil -importcert <filename>
certutil -importpfx <filename>

我可以猜到最后一个是从.pfx文件导入证书；但是其他的不应该也这样做吗？前三位有什么区别？

Answer 1

尝试使用-命令吗？您可以获得有关命令的详细信息：

例如：

C:\>certutil -addstore -?

Usage:
  CertUtil [Options] -addstore CertificateStoreName InFile
  Add certificate to store
    CertificateStoreName -- Certificate store name.  See -store.
    InFile -- Certificate or CRL file to add to store.

Options:
  -f                -- Force overwrite
  -enterprise       -- Use local machine Enterprise registry certificate store
  -user             -- Use HKEY_CURRENT_USER keys or certificate store
  -GroupPolicy      -- Use Group Policy certificate store
  -gmt              -- Display times as GMT
  -seconds          -- Display times with seconds and milliseconds
  -v                -- Verbose operation
  -privatekey       -- Display password and private key data
  -dc DCName                -- Target a specific Domain Controller

CertUtil -?              -- Display a verb list (command list)
CertUtil -addstore -?    -- Display help text for the "addstore" verb
CertUtil -v -?           -- Display all help text for all verbs

Answer 2

首先要区分的是证书存储和证书数据库之间的区别。

来自MSDN -公钥基础设施

证书数据库保存证书请求，并在CA或RA上颁发和撤销证书和证书请求。证书存储在本地计算机上保存已颁发的证书以及挂起或拒绝的证书请求。

这意味着当您要向本地存储添加证书时，将使用-addstore。

接下来是-installcert和-importcert之间的区别。关键是区分安装和导入之间的区别。

用于-importcert的文件必须是单个证书。

用于-installcert的文件可以是证书链(PKCS #7或X.509 v3)或单个证书。

最后，这意味着-installpfx将安装一个PFX (PKCS #12)证书或证书链。