无法代表用户请求智能卡证书

Question

我正在创建一个服务来获取仅SmartCard域中的用户智能卡(因此我无法通过用户的身份验证，因为他们尚未注册到智能卡，因此我使用其他身份验证方法来对用户进行身份验证)，然后用户向我发送他的 CSR，但是当我尝试代表用户创建证书时，出现以下错误：

"证书注册：：

CX509注册：：注册：此类型的证书可以是 仅颁发给用户。：未为 应用0x8004e00c (-2147164148 CONTEXT_E_ROLENOTFOUND)">

我创建了一个有权访问Enrollment Agent Certificate的服务帐户，并为该帐户创建了证书。我还创建了一个智能卡模板，该模板需要注册代理证书签名才能代表用户请求证书，并为该服务帐户授予对该模板的完全访问权限。 应用程序在使用该服务帐户作为标识的 IIS 应用程序池中运行，我使用此代码请求证书(它使用CERTENROLLLib)：

_cSignerCertificateWrapper.Initialize(true, X509PrivateKeyVerify.VerifyNone, EncodingType.XCN_CRYPT_STRING_BASE64, Convert.ToBase64String(_x509Certificate2Wrapper.RawData));
var innerRequest = new CX509CertificateRequestPkcs10Class();
innerRequest.InitializeDecode("ContextMachine", EncodingType.XCN_CRYPT_STRING_BINARY);
innerRequest.InitializeDecode(request);
_cx509CertificateRequestCmcWrapper.InitializeFromInnerRequestTemplateName(innerRequest, templateName);
_cx509CertificateRequestCmcWrapper.RequesterName = requesterName;
_cx509CertificateRequestCmcWrapper.SignerCertificate = _cSignerCertificateWrapper.WrappedObject;
_cx509CertificateRequestCmcWrapper.Encode();
_cx509EnrollmentWrapper.InitializeFromRequest(_cx509CertificateRequestCmcWrapper.WrappedObject);
try
{
_cx509EnrollmentWrapper.Enroll();
}

我还将IIS帐户切换为在我的用户下运行，但仍然收到错误。 我是否必须以某种方式向 CA 进行身份验证，或者它是否使用我的 IIS 身份进行请求(我确实通过检查此System.Security.Principal.WindowsIdentity.GetCurrent().Name的输出来验证它是否在上下文中运行)？

Answer 1

您正在获取证书作为计算机上下文，请更改此行：

_cSignerCertificateWrapper.Initialize(true, X509PrivateKeyVerify.VerifyNone, EncodingType.XCN_CRYPT_STRING_BASE64, Convert.ToBase64String(_x509Certificate2Wrapper.RawData));

自：

_cSignerCertificateWrapper.Initialize(false, X509PrivateKeyVerify.VerifyNone, EncodingType.XCN_CRYPT_STRING_BASE64, Convert.ToBase64String(_x509Certificate2Wrapper.RawData));

并删除此行

innerRequest.InitializeDecode("ContextMachine", EncodingType.XCN_CRYPT_STRING_BINARY);