自签名证书在 signTool 中显示为不受信任的来源

Question

我用像

这样的signTool制作我自己的证书

powershell.exe New-SelfSignedCertificate -DnsName "www.mydns.me" -Type CodeSigning -NotBefore 27.10.2021 -NotAfter 27.10.2024 -CertStoreLocation "cert:\CurrentUser\My"

证书在证书管理器中可用 我用

签署了我的文件

signtool sign /tr http://timestamp.digicert.com /td sha256 /fd sha256 /a myfile.exe

我想在文件中显示证书

signtool verify /pa  myfile.exe

但它给出的来源是不可信的 SignTool 错误：已处理证书链，但在根目录中终止 信任提供者不信任的证书。

为什么该选项为 /PA并在我的证书中心可用时不信任证书。

Answer 1

自签名证书是自签名 并存储在您当前的用户证书Personal 存储中。 这不是因为您拥有您信任它的证书或计算机信任它。 您必须在 Trusted Root Certification Authorities 中导入此证书的副本。您可以将其导入用户存储或计算机存储（本地计算机上的任何用户都会信任您的自签名证书）。 举例使用Import-Certificate -CertStoreLocation Cert:\CurrentUser\Root -FilePath C:\cert.cer。只有 public 密钥必须导入到 Trusted Root Certification Authorities 存储中，而不是 private 密钥。

我不知道 /pa 选项。不加任何选项试试。