无法代表用户请求智能卡证书

Question

我正在创建一项服务以在 SmartCard 域中获取用户智能卡（因此我无法通过用户的身份验证，因为他们尚未注册到智能卡，所以我使用其他身份验证方法来验证用户），然后用户将他的 CSR 发送给我，但是当我尝试代表用户创建证书时，出现以下错误：

"CertEnroll::CX509Enrollment::Enroll: This type of certificate can be issued only to a user.: The specified role was not configured for the application 0x8004e00c (-2147164148 CONTEXT_E_ROLENOTFOUND)"

我创建了一个可以访问 Enrollment Agent Certificate 的服务帐户，并为该帐户创建了一个证书。我还创建了一个智能卡模板，该模板需要注册代理证书签名才能代表用户请求证书，并授予该服务帐户对该模板的完全访问权限。 IIS 应用程序池中的应用程序运行s 使用该服务帐户作为身份，我使用此代码请求证书（它使用 CERTENROLLLib）：

_cSignerCertificateWrapper.Initialize(true, X509PrivateKeyVerify.VerifyNone, EncodingType.XCN_CRYPT_STRING_BASE64, Convert.ToBase64String(_x509Certificate2Wrapper.RawData));
var innerRequest = new CX509CertificateRequestPkcs10Class();
innerRequest.InitializeDecode("ContextMachine", EncodingType.XCN_CRYPT_STRING_BINARY);
innerRequest.InitializeDecode(request);

_cx509CertificateRequestCmcWrapper.InitializeFromInnerRequestTemplateName(innerRequest, templateName);
_cx509CertificateRequestCmcWrapper.RequesterName = requesterName;
_cx509CertificateRequestCmcWrapper.SignerCertificate = _cSignerCertificateWrapper.WrappedObject;
_cx509CertificateRequestCmcWrapper.Encode();

_cx509EnrollmentWrapper.InitializeFromRequest(_cx509CertificateRequestCmcWrapper.WrappedObject);

try
{
    _cx509EnrollmentWrapper.Enroll();
}

我也将 IIS 帐户切换到我的用户下的运行，但仍然出现错误。我是否必须以某种方式向 CA 进行身份验证，或者它是否使用我的 IIS 身份来请求（我确实通过检查此 System.Security.Principal.WindowsIdentity.GetCurrent().Name 的输出来验证它在上下文中运行ning）？

Answer 1

您正在获取证书作为机器上下文，更改此行：

_cSignerCertificateWrapper.Initialize(true, X509PrivateKeyVerify.VerifyNone, EncodingType.XCN_CRYPT_STRING_BASE64, Convert.ToBase64String(_x509Certificate2Wrapper.RawData));

至：

_cSignerCertificateWrapper.Initialize(false, X509PrivateKeyVerify.VerifyNone, EncodingType.XCN_CRYPT_STRING_BASE64, Convert.ToBase64String(_x509Certificate2Wrapper.RawData));

并删除此行

innerRequest.InitializeDecode("ContextMachine", EncodingType.XCN_CRYPT_STRING_BINARY);

无法代表用户请求智能卡证书

Cannot Request SmartCard Certs on Behalf of Users

c#

.net

x509certificate

certificate-authority

certenroll