使用 pkcs -certfile 打包究竟有什么作用？

Question

我一直在使用 opensslpkcs12命令为 Windows 8 打包我的证书/密钥，

openssl pkcs12 -export         \
    -in win8client-cert.pem    \
    -inkey win8client-key.pem  \
    -certfile ca-cert.pem      \
    -out win8client.p12                                                                                                                           

但是，我并不完全清楚它的作用。如果我正在-certfile喂它，为什么还必须在主机（Windows 8 机器）上手动安装 certfile？当我.p12提取并提取 cacert（在 Windows 上使用证书 MMC）时，我可以将它安装在主机盒上，并且一切正常。

为什么它不能只获得 CA 证书.p12（根据我的理解，这只是一种打包格式）。

Answer 1

证书 MMC 在导入 PKCS#12 文件时，将所有证书放在Personal/Certificates文件夹中，甚至是 CA 证书。问题是 CA 证书必须位于Trusted Root Certification Authorities/Certificates文件夹中才能在证书链验证中实际用作根。因此，如果您在导入 PKCS#12 容器后手动将证书移动到该文件夹​​，一切都应该按预期工作。