是否可以在 openssl 生成的 CSR 中包含私钥？

Question

我在 linux 上使用 openssl 生成证书签名请求 (CSR)，该请求将提交给已配置为存档私钥的 Windows 证书服务证书颁发机构。

不幸的是，我无法弄清楚如何使用 openssl 生成包含私钥的 CSR，以便 CA 可以颁发我的证书并存档私钥。

编辑：基于此Microsoft 文档，看起来我正在尝试使用 CMC 格式生成 CSR，这允许私钥与存档请求“一起”。

从该链接：

证书请求使用的格式之一是证书请求的 CMC 格式，它支持可选的加密数据负载。这是使用私钥存档的证书请求所需的格式。从技术上讲，任何支持 CMC 协议的客户端都可以向企业 CA 注册并请求由 CA 存档私钥。

更多发现：

这两个链接（一、二）的组合是您使用 Microsoft 的 certreq 实用程序的方式。我已经测试过它并且有效。如果可能的话，我想用 openssl 来做到这一点。

Answer 1

停止。你这样做是错的。

私钥被称为私有是有原因的。它是私人的。不得与任何第三方共享，甚至不得与证书颁发机构共享。它不需要它来签署CSR，也没有任何业务知道它。