使用 Makecert 为点到站点连接生成并导出证书

项目
07/12/2024

本文说明如何使用 MakeCert 创建自签名根证书以及生成客户端证书。本文中的步骤可帮助你创建 .pfx 和 .cer 文件。如果要查找不同的证书说明，请参阅 PowerShell - .pfx 和 .cer 证书文件或 Linux- OpenSSL - .pem 证书文件。

我们建议使用 Windows 10 或更高版本的 PowerShell 步骤来创建证书。我们会提供这些 MakeCert 指令，你可按需选用。使用任一方法生成的证书均可安装在支持的所有客户端操作系统上。 MakeCert 具有以下限制：

已弃用 Makecert。这意味着此工具随时可能被删除。如果 MakeCert 不再可用，使用 MakeCert 生成的所有证书不会受到任何影响。 MakeCert 仅用于生成证书，不用作验证机制。

创建自签名根证书

以下步骤演示如何使用 MakeCert 创建自签名证书。这些步骤并非特定于部署模型。它们同时适用于资源管理器和经典版。

下载并安装 MakeCert。
安装后，通常可在此路径中找到 makecert.exe 实用工具：“C:\Program Files (x86)\Windows Kits\10\bin<arch>”。然而，它也有可能安装到了另一位置。以管理员身份打开命令提示符，并导航到 MakeCert 实用工具所在位置。可使用以下示例，调整到适当的位置：
```
cd C:\Program Files (x86)\Windows Kits\10\bin\x64
```
在计算机上的“个人”证书存储中创建并安装证书。以下示例将创建一个相应的 .cer 文件，在配置 P2S 时需要将此文件上传到 Azure。使用想要用于证书的名称替换“P2SRootCert”和“P2SRootCert.cer”。该证书位于“Certificates - Current User\Personal\Certificates”中。
```
makecert -sky exchange -r -n "CN=P2SRootCert" -pe -a sha256 -len 2048 -ss My
```

导出公钥 (.cer)

创建自签名根证书后，导出根证书 .cer 文件（而非私钥）。稍后将文件中包含的必要证书数据上传到 Azure。以下步骤帮助你导出自签名根证书的 .cer 文件并取回必要的证书数据:

要获取证书 .cer 文件，请打开“管理用户证书”。

找到自签名根证书（通常位于“Certificates - Current User\Personal\Certificates”中），并右键单击。选择“所有任务”->“导出”。此操作将打开“证书导出向导” 。

如果在“Current User\Personal\Certificates”下找不到证书，可能是不小心打开了“Certificates - Local Computer”而不是“Certificates - Current User”。
在向导中，选择“下一步”。
选择“否，不导出私钥”，然后选择“下一步”。
在“导出文件格式”页上，选择“Base-64 编码的 X.509 (.CER)”，然后选择“下一步”。
对于“要导出的文件” ，“浏览” 到要将证书导出的目标位置。在“文件名” 中，为证书文件命名。然后选择下一步。
选择“完成”导出证书。
你会看到一条确认消息，显示“导出成功”。
转到导出证书的位置并用文字编辑器(例如，记事本)打开它。如果以所需的 Base-64 编码的 X.509 (.CER) 格式导出证书，会显示类似于以下示例的文本。蓝色高光部分包含了复制并上传到Azure的信息。

如果文件内容与示例不同，这通常意味着你没有使用 Base-64 编码的 X.509(.CER) 格式将其导出。此外，如果使用记事本以外的文本编辑器，需了解，某些编辑器可能会在后台引入非预期的格式设置。将此证书中的文本上传到 Azure 时，这可能会产生问题。

必须将 exported.cer 文件上传到 Azure。有关说明，请参阅配置点到站点连接。若要添加其他受信任的根证书，请参阅文章的此部分。

导出自签名证书和私钥以将其存储（可选）

可能想要导出自签名根证书并将它存储在安全位置。可以稍后在另一台计算机上安装它，并生成更多客户端证书，或导出另一个 .cer 文件。要将自签名根证书导出为 .pfx，请选择该根证书，然后使用导出客户端证书中所述的步骤导出。

创建和安装客户端证书

不要直接在客户端计算机上安装自签名的证书。需要从自签名证书生成客户端证书。然后导出客户端证书，并将其安装到客户端计算机上。以下步骤并非特定于部署模型。它们同时适用于资源管理器和经典版。

生成客户端证书

在使用点到站点连接连接到 VNet 的每台客户端计算机上，必须安装客户端证书。可以从自签名根证书生成客户端证书，导出并安装该客户端证书。如果不安装客户端证书，身份验证会失败。

以下步骤引导完成从自签名根证书生成客户端证书的过程。可以从相同根证书生成多个客户端证书。在使用以下步骤生成客户端证书时，客户端证书会自动安装在用于生成该证书的计算机上。如果想要在另一台客户端计算机上安装客户端证书，可以导出该证书。

在用于创建自签名证书的同一台计算机上，以管理员身份打开命令提示符。
修改并运行示例，生成客户端证书。
- 将“P2SRootCert”更改根据其生成客户端证书的自签名根证书的名称。确保使用的是根证书的名称，即在创建根证书时指定的“CN=”值。
- 将 P2SChildCert 更改为生成客户端证书所用的名称。
如果未经修改就运行以下示例，则个人证书存储中将有一个从根证书 P2SRootCert 生成的客户端证书，名为 P2SChildcert。
```
makecert.exe -n "CN=P2SChildCert" -pe -sky exchange -m 96 -ss My -in "P2SRootCert" -is my -a sha256
```

导出客户端证书

生成客户端证书时，该证书会自动安装在用于生成它的计算机上。如果想要在另一台客户端计算机上安装客户端证书，首先需要导出客户端证书。

若要导出客户端证书，请打开“管理用户证书” 。生成的客户端证书默认位于“Certificates - Current User\Personal\Certificates”中。右键单击要导出的客户端证书，单击“所有任务” ，并单击“导出” 打开“证书导出向导”。
在“证书导出向导”中，单击“下一步”以继续。
选择“是，导出私钥” ，并单击“下一步” 。
在“导出文件格式” 页上，保留选择默认值。请务必选中“包括证书路径中的所有证书(如果可能)”。此外，此设置还会导出成功客户端身份验证所需的根证书信息。否则，客户端身份验证会失败，因为客户端没有受信任的根证书。然后单击“下一步”。
在“安全性”页上，必须保护私钥。如果选择使用密码，请务必记下或牢记为此证书设置的密码。然后单击“下一步”。
在“要导出的文件” 中，“浏览” 到要将证书导出的目标位置。在“文件名” 中，为证书文件命名。然后单击“下一步”。
单击“完成” 导出证书。