windows - 在 certreq -new policy inf 文件中将 KeySpec 定义为“both”

Question

我正在使用 certreq -new 并且有一个 inf 格式的策略文件。我想将“KeySpec”参数设置为“both”，文档告诉我这是可能的。但它并没有告诉我如何：

KeySpec 确定密钥是否可用于签名、Exchange（加密）或两者兼而有之。

而签名由“2”定义，加密（交换）由“1”设置。输入 0 会生成一个签名规范，输入 3 告诉我它不知道“3”应该是什么。

有人知道如何为两者定义 KeySpec 吗？

Answer 1

对于任何有兴趣的人，我都知道了。KeySpec 2 表示仅签名，KeySpec 1 表示两者，并且要将密钥限制为仅加密，请使用EncipherOnly选项。

还有一个相关的注释，因为我偶然发现它：UsingKeyLength=2048不适KeySpec=1用于“Microsoft Base Cryptographic Provider”，您必须选择另一个（用于cerutil -csplist查找）。