certreq

La commande certreq peut être utilisée pour demander des certificats à une autorité de certification pour récupérer la réponse à une demande précédente à l’autorité de certification, pour créer une nouvelle demande à partir d’un fichier .inf, pour accepter et pour installer une réponse à une demande, afin de construire une certification croisée ou une demande de subordination qualifiée à partir d’un certificat ou d’une demande et pour signer une certification croisée ou une demande de subordination qualifiée.

Syntaxe

certreq [-submit] [options] [requestfilein [certfileout [certchainfileout [fullresponsefileOut]]]]
certreq -retrieve [options] requestid [certfileout [certchainfileout [fullresponsefileOut]]]
certreq -new [options] [policyfilein [requestfileout]]
certreq -accept [options] [certchainfilein | fullresponsefilein | certfilein]
certreq -sign [options] [requestfilein [requestfileout]]
certreq –enroll [options] templatename
certreq –enroll –cert certId [options] renew [reusekeys]

Paramètres

Exemples

certreq -submit

Pour envoyer une demande de certificat de base :

certreq –submit certrequest.req certnew.cer certnew.pfx

Notes

• Il s’agit du paramètre de certreq.exe par défaut. Si aucune option n’est spécifiée à l’invite de ligne de commande, certreq.exe tente d’envoyer une demande de certificat à une autorité de certification. Vous devez spécifier un fichier de demande de certificat lors de l’utilisation de l’option –submit. Si ce paramètre est omis, une fenêtre Ouverture de fichier commune s’affiche, ce qui vous permet de sélectionner le fichier de demande de certificat approprié.

• Pour demander un certificat en spécifiant l’attribut SAN, consultez la section Comment utiliser l’utilitaire certreq.exe pour créer et envoyer une demande de certificat de l’article de la Base de connaissances Microsoft 931351 Comment ajouter un autre nom d’objet à un certificat LDAP sécurisé.

certreq -retrieve

Pour récupérer l’ID de certificat 20 et créer un fichier de certificat (.cer), nommé MyCertificate :

certreq -retrieve 20 MyCertificate.cer

Notes

• Utilisez certreq -retrieve requestid pour récupérer le certificat une fois que l’autorité de certification l’a émis. Le PKC requestid peut être un décimal ou hex avec un préfixe 0x et il peut s’agir d’un numéro de série de certificat sans préfixe 0x. Vous pouvez également l’utiliser pour récupérer tout certificat qui a déjà été émis par l’autorité de certification, y compris les certificats révoqués ou expirés, sans tenir compte du fait que la demande du certificat a été ou non dans l’état en attente.

• Si vous envoyez une demande à l’autorité de certification, le module de stratégie de l’autorité de certification peut laisser la demande dans un état en attente et retourner le requestid à l’appelant certreq pour affichage. Finalement, l’administrateur de l’autorité de certification émet le certificat ou refuse la demande.

certreq -new

Pour créer une nouvelle demande :

[newrequest]
; At least one value must be set in this section
subject = CN=W2K8-BO-DC.contoso2.com

Voici quelques-unes des sections possibles qui peuvent être ajoutées au fichier INF :

[newrequest]

Cette zone du fichier INF est obligatoire pour tous les nouveaux modèles de demande de certificat et doit inclure au moins un paramètre avec une valeur.

¹ Paramètre à gauche du signe égal (=)

² Paramètre à droite du signe égal (=)

[Extensions]

Cette section est facultative.

Exemple

Pour créer un fichier de stratégie (.inf) dans le Bloc-notes et l’enregistrer sous requestconfig.inf :

[NewRequest]
Subject = CN=<FQDN of computer you are creating the certificate>
Exportable = TRUE
KeyLength = 2048
KeySpec = 1
KeyUsage = 0xf0
MachineKeySet = TRUE
[RequestAttributes]
CertificateTemplate=WebServer
[Extensions]
OID = 1.3.6.1.5.5.7.3.1
OID = 1.3.6.1.5.5.7.3.2

Sur l’ordinateur pour lequel vous demandez un certificat :

certreq –new requestconfig.inf certrequest.req

Pour utiliser la syntaxe de section [Chaînes] pour les OID et autres données difficiles à interpréter. Nouvel exemple de syntaxe {text} pour l’extension EKU, qui utilise une liste séparée par des virgules d’OID :

[Version]
Signature=$Windows NT$

[Strings]
szOID_ENHANCED_KEY_USAGE = 2.5.29.37
szOID_PKIX_KP_SERVER_AUTH = 1.3.6.1.5.5.7.3.1
szOID_PKIX_KP_CLIENT_AUTH = 1.3.6.1.5.5.7.3.2

[NewRequest]
Subject = CN=TestSelfSignedCert
Requesttype = Cert

[Extensions]
%szOID_ENHANCED_KEY_USAGE%={text}%szOID_PKIX_KP_SERVER_AUTH%,
_continue_ = %szOID_PKIX_KP_CLIENT_AUTH%

Pour spécifier un autre nom d’objet (SAN), ajoutez-le dans la section [Extensions] de votre INF. Par exemple :

[Version]
Signature=$Windows NT$
 
[Strings]
szOID_ENHANCED_KEY_USAGE = 2.5.29.37
szOID_PKIX_KP_SERVER_AUTH = 1.3.6.1.5.5.7.3.1
szOID_PKIX_KP_CLIENT_AUTH = 1.3.6.1.5.5.7.3.2

[NewRequest]
Subject = CN=TestSelfSignedCert
Requesttype = Cert

[Extensions]
2.5.29.17 = "{text}"
_continue_ = "DNS=example.com"
_continue_ = "DNS=www.example.com"
_continue_ = "IP Address=192.168.1.1"

Dans cet exemple, 2.5.29.17 est l’OID définissant le SAN. Pour spécifier plusieurs SAN, l’OID d’extension _continue_ est utilisé, ce qui vous permet de séparer et de spécifier chaque extension SAN.

certreq -accept

Le paramètre –accept lie la clé privée générée précédemment au certificat émis et supprime la demande de certificat en attente du système où le certificat est demandé (s’il existe une demande correspondante).

Pour accepter manuellement un certificat :

certreq -accept certnew.cer

certreq -policy

Le fichier policy.inf est un fichier de configuration qui définit les contraintes appliquées à une certification d’autorité de certification, lorsqu’une subordination qualifiée est définie.

Pour générer une demande de certificat croisé :

certreq -policy certsrv.req policy.inf newcertsrv.req

L’utilisation certreq -policy sans autre paramètre ouvre une fenêtre de dialogue, ce qui vous permet de sélectionner le fichier demandé (.req, .cmc, .txt, .der, .cer ou .crt). Après avoir sélectionné le fichier demandé et cliqué sur Ouvrir, une autre boîte de dialogue s’ouvre, ce qui vous permet de sélectionner le fichier policy.inf.

Exemples

Recherchez un exemple de fichier policy.inf dans syntaxe CAPolicy.inf.

certreq -sign

Pour créer une demande de certificat, signez-la et envoyez-la :

certreq -new policyfile.inf myrequest.req
certreq -sign myrequest.req myrequest.req
certreq -submit myrequest_sign.req myrequest_cert.cer

Notes

• L’utilisation de certreq -sign sans paramètre supplémentaire ouvre une fenêtre de dialogue permettant de sélectionner le fichier demandé (req, cmc, txt, der, cer or crt).

• La signature de la demande de subordination qualifiée peut nécessiter des identifiants d’administrateur d’entreprise. Il s’agit d’une bonne pratique pour l’émission de certificats de signature pour la subordination qualifiée.

• Le certificat utilisé pour signer la demande de subordination qualifiée utilise le modèle de subordination qualifié. Les administrateurs d’entreprise doivent signer la demande ou accorder des autorisations utilisateur aux personnes qui signent le certificat.

• Vous devrez peut-être demander à un personnel supplémentaire de signer la demande CMC après vous. Cela dépend du niveau d’assurance associé à la subordination qualifiée.

• Si l’autorité de certification parente de l’autorité de certification subordonnée qualifiée que vous installez est hors connexion, vous devez obtenir le certificat d’autorité de certification pour l’autorité de certification subordonnée qualifiée auprès du parent hors connexion. Si l’autorité de certification parente est en ligne, spécifiez le certificat d’autorité de certification pour l’autorité de certification subordonnée qualifiée pendant l’assistant Installation des services de certificats.

certreq -enroll

Vous pouvez utiliser ce commentaire pour inscrire ou renouveler vos certificats.

Exemples

Pour inscrire un certificat, à l’aide du modèle WebServer et en sélectionnant le serveur de stratégie à l’aide d’U/I :

certreq -enroll –machine –policyserver * WebServer

Pour renouveler un certificat à l’aide d’un numéro de série :

certreq –enroll -machine –cert 61 2d 3c fe 00 00 00 00 00 05 renew

Vous pouvez uniquement renouveler des certificats valides. Les certificats expirés ne peuvent pas être renouvelés et doivent être remplacés par un nouveau certificat.

Options

Formats

Ressources supplémentaires

Les articles suivants contiennent des exemples d’utilisation de certreq :

• Comment ajouter un autre nom d’objet à un certificat LDAP sécurisé

• Test Lab Guide: Deploying an AD CS Two-Tier PKI Hierarchy

• Annexe 3 : syntaxe Certreq.exe

• Comment créer un certificat SSL de serveur web manuellement

• Inscription de certificat pour l’agent System Center Operations Manager

• Vue d'ensemble des services de certificats Active Directory

• Comment activer LDAP sur SSL avec une autorité de certification tierce