共用方式為


Makecert.exe (憑證建立工具)

更新:2011 年 4 月

憑證建立工具可以產生僅供測試用途的 X.509 憑證。 它建立數位簽章的公開和私密金鑰組 (Key Pair),並且將它儲存到憑證檔。 這個工具也以指定的發行者 (Publisher) 名稱與金鑰組產生關聯,並建立 X.509 憑證,其繫結使用者指定的名稱到金鑰組的共用部分。

Makecert.exe 包含基本和擴充選項。 基本選項是最常用來建立憑證。 而擴充選項提供更多的彈性。

這個工具所產生的憑證私密金鑰應該永遠都不會存放在 .snk 檔案中。 如果您需要儲存私密金鑰,您應該使用金鑰容器。 如需關於如何將私密金鑰儲存在金鑰容器中的詳細資訊,請參閱HOW TO:將對稱金鑰儲存在金鑰容器中.

注意

您應該使用憑證存放區,安全地存放憑證。這個工具所使用的 .snk 檔案會以未受保護的方式存放私密金鑰。當您建立或匯入 .snk 檔案後,在使用時應該要特別注意它的安全性,而且作業完畢時要將它移除。

這個工具會自動隨 Visual Studio 和 Windows SDK 一起安裝。 若要執行工具,建議您使用 Visual Studio 命令提示字元或 Windows SDK 命令提示字元。 這些公司可讓您輕鬆地執行工具,而不需瀏覽至安裝資料夾。 如需詳細資訊,請參閱Visual Studio 和 Windows SDK 命令提示字元

  • 如果您已經在電腦上安裝 Visual Studio:在工作列上,依序按一下 Start、All Programs、Visual Studio、Visual Studio Tools,然後按一下 Visual Studio Command Prompt。

    -或-

    如果您已經在電腦上安裝 Windows SDK:在工作列上,依序按一下 Start、All Programs、Windows SDK 的資料夾,然後按一下Command Prompt(或 CMD Shell)。

  • 在命令提示字元中輸入下列文字:

makecert [options] outputCertificateFile

引數

描述

outputCertificateFile

測試 X.509 憑證將被寫入的 .cer 檔案名稱。

基本選項

選項

描述

-n name

指定主體的憑證名稱。 這個名稱必須遵照 X.500 標準。 最簡單的方法是在雙引號內指定名稱,並在前面加上 CN=;例如,-n "CN=myName"。

-pe

將產生的私密金鑰標記為可匯出。 如此可在憑證中加入私密金鑰。

-sk keyname

指定主體的金鑰容器 (Container) 位置,這個位置包含私密金鑰。 如果金鑰容器不存在,它將會被建立。

-sr location

指定主體的憑證存放區位置。 位置 可以是 currentuser(預設) 或localmachine。

-ss store

指定主體的憑證存放區名稱,其儲存輸出憑證。

-# number

指定從 1 到 2,147,483,647 的一個序號。 預設値是由 Makecert.exe 所產生的唯一值。

-$ authority

指定憑證的簽署授權單位,它必須設定成 commercial (商業軟體發行者所用的憑證) 或 individual (個人軟體發行者所用的憑證)。

-?

顯示工具的命令語法和基本選項清單。

-!

顯示工具的命令語法和擴充選項清單。

擴充選項

選項

描述

-a 演算法

指定簽章演算法。 algorithm 必須為 md5、sha1 (預設值)、sha256、sha384 或 sha512。

-b mm/dd/yyyy

指定有效期間的起始日期。 預設為目前的日期。

-crl

產生憑證重新配置清單 (CRL) 而非憑證。

-cy certType

指定憑證類型。 有效值為 end (表示終端實體) 和 authority (表示憑證授權單位)。

-e mm/dd/yyyy

指定有效期間的結束日期。 預設為 12/31/2039 11:59:59 GMT。

-eku oid[,oid…]

插入逗號分隔的清單、增強金鑰使用方法的物件識別項 (OID) 至憑證。

-h number

指定這個憑證以下的樹狀結構最大高度。

-ic file

指定簽發者的憑證檔。

-ik keyName

指定簽發者的金鑰容器名稱。

-iky keytype

指定簽發者的金鑰類型,必須是下列之一:signature(表示今要用於數位簽章),exchange(表示金鑰用於金鑰加密和金鑰交換),或一個代表提供程式類型的整數。 根據預設,可以對交換金鑰傳遞 1,或對簽章金鑰傳遞 2。

-in name

指定簽發者的憑證通用名稱。

-ip provider

指定簽發者的 CryptoAPI 提供者 (Provider) 名稱。 如需關於 CryptoAPI 提供程式名稱的資訊,請參閱–sp選項。

-ir location

指定簽發者的憑證存放區位置。 位置 可以是 currentuser(預設) 或localmachine。

-is store

指定簽發者的憑證存放區名稱。

-iv pvkFile

指定簽發者的 .pvk 私密金鑰檔。

-iy type

指定簽發者的 CryptoAPI 提供者類型。 如需關於 CryptoAPI 提供程式類型的資訊,請參閱–sy選項。

-l link

連結至原則資訊 (例如,連結至 URL)。

-len number

指定所產生的金鑰長度,以位元為單位。

-m number

以月份指定憑證有效期間的時間。

-nscp

包含 Netscape 用戶端授權擴充。

-r

建立自動簽名的憑證。

-sc file

指定主體的憑證檔。

-sky keytype

指定收受者的金鑰類型,必須是下列之一:signature(表示今要用於數位簽章),exchange(表示金鑰用於金鑰加密和金鑰交換),或一個代表提供程式類型的整數。 根據預設,可以對交換金鑰傳遞 1,或對簽章金鑰傳遞 2。

-sp provider

指定主題的 CryptoAPI 提供程式名稱,必須在 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider 的登錄子機碼中定義此名稱。 如果出現 –sp和–sy,CryptoAPI 提供者的類型必須對應於提供者子機碼的 Type值。

-sv pvkFile

指定主體的 .pvk 私密金鑰檔。 如果沒有存在的話,會建立此檔案。

-sy type

指定主題的 CryptoAPI 提供程式類型,必須在 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider Types 的登錄子機碼中定義此類型。 如果出現 –sy和–sp,CryptoAPI 提供者的名稱必須對應提供者類型子機碼的 Name值。

-tbs

指定要簽署的憑證或 CRL 檔案。

範例

下列命令會建立預設測試根憑證所發出的測試憑證,並將它寫入 testCert.cer。

makecert testCert.cer

下列命令會建立預設測試根憑證所發出的憑證,並將它儲存到憑證存放區中。

makecert -ss testCertStore

下列命令會建立預設測試根憑證所發出的憑證,並將它儲存到憑證存放區中。 它會明確地將憑證置於 currentuser 存放區中。

makecert -ss testCertStore -sr currentuser

下列命令會使用主體的金鑰容器和憑證主體的 X.500 名稱,來建立測試憑證,並將它寫入 textXYZ.cer。

makecert -sk XYZ -n "CN=XYZ Company" testXYZ.cer 

下列命令會建立預設測試根憑證所發出的憑證、建立 .pvk 檔案,並將憑證輸出至存放區和該檔案中。

makecert -sv testCert.pvk -ss testCertStore testCert.cer

下列命令會建立預設測試根憑證所發出的憑證、建立金鑰容器,並將憑證輸出至存放區和該檔案中。

makecert -sk myTestKey -ss testCertStore testCert.cer

下列命令會建立自簽憑證、指定 "CN=XYZ Company" 的主體名稱、指定開始和結束驗證的期間、將金鑰放置在 my 存放區、指定交換金鑰,並讓私密金鑰可以匯出。

makecert -r -pe -n "CN=XYZ Company" -b 01/01/2005 -e 01/01/2010 -sky exchange -ss my

下列命令建立可用於測試 Web 應用程式的自我簽署憑證,該應用程式會在 URL 為 www.example.com 的 Web 伺服器上使用安全通訊端層 (SSL)。 由 –eku 選項定義的 OID 會將該憑證識別為 SSL 伺服器憑證。 該憑證存放在my存放區中,可於機器 (而不是使用者) 層級使用。 憑證的私密金鑰是可匯出的,且憑證有效期為 2010 年 5 月 10 日至 2011 年 12 月 22 日。

Makecert –r –pe –n CN="www.example.com" –b 05/10/2010 –e 12/22/2011 –eku 1.3.6.1.5.5.7.3.1 –ss my –sr localmachine -sky exchange –sp "Microsoft RSA SChannel Cryptographic Provider" –sy 12

下列命令會建立憑證,並將其儲存到存放區中。 第一個命令會使用預設的測試根憑證建立憑證,並將該憑證儲存到存放區中。 第二個命令會使用新建的憑證建立另一個憑證,並將第二個憑證儲存到另一個存放區中。

makecert -sk myTestKey -ss testCertStore
makecert -is testCertStore -ss anotherTestStore

下列命令會建立憑證,並將其儲存到存放區中。 第一個命令會將憑證儲存到 my 存放區中。 第二個命令會使用新建的憑證建立另一個憑證。 因為 my 存放區中有一個以上的憑證,所以第二個命令會使用它的一般名稱識別第一個憑證。

makecert -sk myTestKey -n "CN=XXZZYY" -ss my
makecert -is my -in "XXZZYY" -ss anotherTestStore

下列命令會建立憑證,並將其儲存到檔案和存放區中。 第一個命令會使用預設的測試根憑證建立憑證,並將該憑證儲存到 my 存放區和檔案中。 第二個命令會使用新建的 testCert.cer 憑證建立另一個憑證。 因為 my 存放區中有一個以上的憑證,所以第二個命令會使用憑證檔名來唯一識別第一個憑證。

makecert -sk myTestKey -n "CN=XXZZYY" -ss my testCert.cer
makecert -is my -ic testCert.cer -ss anotherTestStore

請參閱

參考

Cert2spc.exe (軟體發行者憑證測試工具)

Visual Studio 和 Windows SDK 命令提示字元

其他資源

.NET Framework 工具

變更記錄

日期

記錄

原因

2011 年 4 月

加入使用 Visual Studio 和 Windows SDK 命令提示字元的相關資訊。

資訊加強。

2010 年 5 月

大規模修訂。

客戶回函。