在没有第三方工具的情况下，在 Windows 上使用主题备用名称 (SAN) 创建证书签名请求 (CSR)

Question

我需要在 Windows 上使用主题备用名称创建一个 CSR。通常我使用内置功能 fromIIS但它没有提供使用主题备用名称 (SAN) 的替代方法。

我知道我可以使用DigiCert Certificate Utility它，但它不是安装的选项。

https://www.digicert.com/util/csr-creation-microsoft-servers-using-digicert-utility.htm

使用 MMC -> 请求新证书没有注册策略。

Answer 1

找到了这样做的方法：

MMC -> 证书（本地计算机） -> 右键单击​​个人文件夹 -> 所有任务 -> 高级操作 -> 创建自定义请求...

我选择Proceed without enrollment policy并单击下一步。选择(No Template) Legacy key兼容性和更多选项并使用PKCS #10. 单击下一步，然后单击Properties。

输入友好名称和描述并点击应用。在每个选项卡上完成更改后，不要忘记点击应用。

https 证书的其他选项卡示例。请记住为通用名称 (CN) 添加有效的主机 + 域名，应类似于www.yoursite.com或yoursite.com。应在Alternative name和 类型下添加主题备用名称DNS。

如果您需要类似于现有证书的新 CSR，请查看该证书详细信息以及字段Subject和Subject Alternative Name

在选项卡下Extensions选择for 。Client Authentication Server AuthenticationExtended Key Usage (application policies)

在选项卡下Private Key选择Key size4096 和Make private key exportable。

如果您有Key type翻盖选择，Exchange否则检查Select Hash Algorithm设置为sha256。

如果您选择(No Template) CNG key它，它将如下所示：

单击确定保存，然后将文件另存为Base64.