[Case] windows SSL 匯出金鑰?

[sanbis (方正)]

[硬體資訊]

VM

[軟or韌體版本資訊]

Windows Server 2008 R2
Windows Server 2016


[問題描述]

我參照這篇文章使用 IIS 建立憑證要求(CSR)
https://blog.cloudmax.com.tw/ssl-installed-windows-server-2008-r2/

但是最近有另外的要求在建立的時候需要將憑證私鑰檔也一同匯出
說是申請的 SSL 可以同一網域但是不同主機上使用
在處理的時候需要另外匯出相關的憑證私鑰檔

但是這篇文章中並沒有提到要怎麼匯出這個檔案~


[已嘗試過的方法]

https://wiki.gandi.net/zh-tw/ssl/troubleshoot

有找到文章可以從 .PFX 檔案去做匯出
但是匯出的格式是 .pem~不知道是不是我能用的格式~Orz
希望板上的前輩可以指點一下~m(_ _)m

[其他線索]


--
應徵時

『老闆你好   我是國立的 』  『有消息會跟你聯絡』
『老闆你好   我是私立的 』  『有消息會跟你聯絡』
『(把奶放在桌上)  老~~~~~~~闆~~~~~~』 『Amy! 給她個私人秘書職位』
 國立私立尬不過兩粒                                    這就是現實

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 59.125.62.244
※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1537340963.A.465.html
→ blackhippo: 拿csr檔去向憑證伺服器要憑證(.cer).然後把cer檔丟進
→ blackhippo: 當初產生csr檔的server or client再匯出.匯出時將私鑰
→ blackhippo: 包進去就會是pfx檔
這個方法我知道~
IIS 建立憑證要求以後跟憑證商申請核發~
下來的可能是 crt 或是 cer
然後可以裝到主機上
主機上可以在匯出成 pfx 檔案~
但是之前有用戶手賤把憑證要求砍掉。。。。
想要重新處理的話~
當下想的方案是直接拿金鑰跟發下來的 cer/crt 直接合成 pfx 就可以直接裝上去了
但是一直找不到 windows 在建立 CSR 的時候同時匯出金鑰的方法~Orz
※ 編輯: sanbis (59.125.62.244), 09/19/2018 15:26:39
→ blackhippo: windows 建立csr時私鑰會存在那台機器上..就我所知
→ blackhippo: windows是沒辦法把私鑰單獨抽出來..只能靠包pfx拉出來
這邊有點好奇
 windows 在每次建立 CSR 的時候都會產生新的金鑰還是?
※ 編輯: sanbis (59.125.62.244), 09/19/2018 15:40:42
→ blackhippo: 這個我沒研究..猜測應該會產生新的吧
→ blackhippo: https://www.digicert.com/util/
→ blackhippo: 這個工具可以看電腦裡面的憑證進行管理..之前處理憑證
→ blackhippo: 還滿常用到的
→ sanbis: 感激指點~有空再研究看看這個工具~
→ deadwood: 每次產生CSR都是會生成另一組不同金鑰
→ deadwood: 只有憑證過期要展延才可能沿用原本的金鑰，但這也不安全
→ deadwood: 撇開某些漏洞可以讓人直接從記憶體偷走金鑰，一個私鑰存
→ deadwood: 在同一個地方都不變，風險衣錠比較高，好比定期換密碼
→ deadwood: 如果不慎移除私鑰，憑證就該廢了
→ deadwood: 若是私鑰還在但CSR移除，同樣也代表這個憑證基本上不安
→ deadwood: 全了，重新產生一次CSR簽發新憑證才是正確的