about_Certificate_Provider

项目
10/07/2023

提供程序名称

证书

驱动器

Cert:

功能

ShouldProcess

简短说明

提供对 X.509 证书存储和对 PowerShell 中的证书的访问权限。

详细说明

此信息仅适用于在 Windows 上运行的 PowerShell。

使用 PowerShell Certificate 提供程序，可以在 PowerShell 中获取、添加、更改、清除和删除证书和证书存储。

Certificate 驱动器是一个分层命名空间，其中包含计算机上的证书存储和证书。

Certificate 提供程序支持以下 cmdlet。

此提供程序公开的类型

Certificate 驱动器公开以下类型。

Microsoft.PowerShell.Commands.X509StoreLocation，这是对当前用户和所有用户证书进行分组的高级容器。每个系统都有一个 CurrentUser 和 LocalMachine（所有用户）存储位置。
System.Security.Cryptography.X509Certificates.X509Store，这是保存和管理证书的物理存储。
System.Security.Cryptography.X509Certificates.X509Certificate2，其中每个证书都表示计算机上的一个 X.509 证书。证书由指纹标识。

导航 Certificate 驱动器

Certificate 提供程序将证书命名空间公开为 PowerShell 中的 Cert: 驱动器。此命令使用 Set-Location 命令将当前位置更改为 LocalMachine 存储位置中的 Root 证书存储。使用反斜杠 (\) 或正斜杠 (/) 指示 Cert: 驱动器的级别。

Set-Location Cert:

还可以从任何其他 PowerShell 驱动器使用该证书提供程序。若要从其他位置引用别名，请在路径中使用 Cert: 驱动器名称。

PS Cert:\> Set-Location -Path LocalMachine\Root

若要返回到文件系统驱动器，请键入驱动器名称。例如，键入：

Set-Location C:

注意

PowerShell 使用别名来让你熟悉如何使用提供程序路径。 dir 和 ls 等命令现在是 Get-ChildItem 的别名，cd 是 Set-Location 的别名，pwd 是 Get-Location 的别名。

显示 Cert: 驱动器的内容

此命令使用 Get-ChildItem cmdlet 显示 CurrentUser 证书存储位置中的证书存储。

如果你不在 Cert: 驱动器中，请使用绝对路径。

PS Cert:\CurrentUser\> Get-ChildItem

在 Cert: 驱动器中显示证书属性

此示例获取具有 Get-Item 的证书，并将其存储在变量中。此示例显示了使用 Select-Object 的新证书脚本属性（DnsNameList、EnhancedKeyUsageList、SendAsTrustedIssuer）。

$c = Get-Item cert:\LocalMachine\My\52A149D0393CE8A8D4AF0B172ED667A9E3A1F44E
$c | Format-List DnsNameList, EnhancedKeyUsageList, SendAsTrustedIssuer

DnsNameList          : {SERVER01.contoso.com}
EnhancedKeyUsageList : {WiFi-Machine (1.3.6.1.4.1.311.42.2.6),
                       Client Authentication (1.3.6.1.5.5.7.3.2)}
SendAsTrustedIssuer  : False

查找所有 CodeSigning 证书

此命令使用 Get-ChildItem cmdlet 的 CodeSigningCert 和 Recurse 参数获取计算机上具有代码签名颁发机构的所有证书。

Get-ChildItem -Path cert: -CodeSigningCert -Recurse

查找过期的证书

此命令使用 Get-ChildItem cmdlet 的 ExpiringInDays 参数获取将在接下来的 30 天内过期的证书。

Get-ChildItem -Path cert:\LocalMachine\WebHosting -ExpiringInDays 30

查找 Server SSL 证书

此命令使用 Get-ChildItem cmdlet 的 SSLServerAuthentication 参数获取 My 和 WebHosting 存储中的所有 Server SSL 证书。

$getChildItemSplat = @{
    Path = 'cert:\LocalMachine\My', 'cert:\LocalMachine\WebHosting'
    SSLServerAuthentication = $true
}
Get-ChildItem @getChildItemSplat

在远程计算机上查找过期的证书

此命令使用 Invoke-Command cmdlet 在 Srv01 和 Srv02 计算机上运行 Get-ChildItem 命令。 ExpiringInDays 参数中的零值 (0) 将获取 Srv01 和 Srv02 计算机上已过期的证书。

$invokeCommandSplat = @{
    ComputerName = 'Srv01', 'Srv02'
    ScriptBlock = {
        Get-ChildItem -Path cert:\* -Recurse -ExpiringInDays 0
    }
}
Invoke-Command @invokeCommandSplat

组合筛选器以查找特定证书集

此命令获取 LocalMachine 存储位置中具有以下属性的所有证书：

其 DNS 名称中的 fabrikam
其 EKU 中的 Client Authentication
SendAsTrustedIssuer 属性的 $true 的值
未来 30 天内不会过期。

NotAfter 属性存储证书到期日期。

[DateTime] $ValidThrough = (Get-Date) + (New-TimeSpan -Days 30)
$getChildItemSplat = @{
    Path = 'cert:\*'
    Recurse = $true
    DnsName = "*fabrikam*"
    Eku = "*Client Authentication*"
}
Get-ChildItem @getChildItemSplat |
    Where-Object {$_.SendAsTrustedIssuer -and $_.NotAfter -gt $ValidThrough }

打开 Certificates MMC 管理单元

Invoke-Item cmdlet 使用默认应用程序打开指定的路径。对于证书，默认应用程序为 Certificates MMC 管理单元。

此命令将打开证书 MMC 管理单元以管理指定的证书。

Invoke-Item cert:\CurrentUser\my\6B8223358119BB08840DEE50FD8AF9EA776CE66B

复制证书

Certificate 提供程序不支持复制证书。尝试复制证书时，会看到此错误。

$path = "Cert:\LocalMachine\Root\E2C0F6662D3C569705B4B31FE2CBF3434094B254"
PS Cert:\LocalMachine\> Copy-Item -Path $path -Destination .\CA\

Copy-Item : Provider operation stopped because the provider doesn't support
this operation.
At line:1 char:1
+ Copy-Item -Path $path -Destination .\CA\
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotImplemented: (:) [Copy-Item],
                              PSNotSupportedException
    + FullyQualifiedErrorId : NotSupported,
                              Microsoft.PowerShell.Commands.CopyItemCommand

移动证书

将所有 SSL 服务器身份验证证书移动到 WebHosting 存储

此命令使用 Move-Item cmdlet 将证书从 My 存储移动到 WebHosting 存储。

Move-Item 无法移动证书存储，也无法将证书移动到不同的存储位置，例如将证书从 LocalMachine 移动到 CurrentUser。 Move-Item cmdlet 可以在存储中移动证书，但它不会移动私钥。

此命令使用 Get-ChildItem cmdlet 的 SSLServerAuthentication 参数获取 My 证书存储中的 SSL 服务器身份验证证书。

返回的证书通过管道传递给 Move-Item cmdlet，该 cmdlet 会将证书移动到 WebHosting 存储。

Get-ChildItem cert:\LocalMachine\My -SSLServerAuthentication |
    Move-Item -Destination cert:\LocalMachine\WebHosting

删除证书和私钥

Remove-Item cmdlet 将删除指定的证书。 DeleteKey 动态参数将删除私钥。

从 CA 存储删除证书

此命令从 CA 证书存储中删除证书，但关联的私钥保持不变。

在 Cert: 驱动器中，Remove-Item cmdlet 仅支持 DeleteKey、Path、WhatIf 和 Confirm 参数。忽略所有其他参数。

Remove-Item cert:\LocalMachine\CA\5DDC44652E62BF9AA1116DC41DE44AB47C87BDD0

使用 DNS 名称中的通配符删除证书

此命令删除具有包含 Fabrikam 的 DNS 名称的所有证书。它使用 Get-ChildItem cmdlet 的 DNSName 参数获取证书，并使用 Remove-Item cmdlet 删除它们。

Get-ChildItem -Path cert:\LocalMachine -DnsName *Fabrikam* | Remove-Item

从远程计算机中删除私钥

这一系列命令将启用委派，然后在远程计算机上删除该证书和关联的私钥。若要删除远程计算机上的私钥，必须使用委派的凭据。

使用 Enable-WSManCredSSP cmdlet 在 S1 远程计算机上的客户端上启用凭据安全服务提供程序 (CredSSP) 身份验证。 CredSSP 允许使用委派的身份验证。

Enable-WSManCredSSP -Role Client -DelegateComputer S1

使用 Connect-WSMan cmdlet 将 S1 计算机连接到本地计算机上的 WinRM 服务。当此命令完成时，S1 计算机将在 PowerShell 中的本地 WSMan: 驱动器中显示。

Connect-WSMan -ComputerName S1 -Credential Domain01\Admin01

现在，可以使用 WSMan: 驱动器中的 Set-Item cmdlet 为 WinRM 服务启用 CredSSP 属性。

Set-Item -Path WSMan:\S1\Service\Auth\CredSSP -Value $true

使用 New-PSSession cmdlet 在 S1 计算机上启动远程会话，并指定 CredSSP 身份验证。将该会话保存在 $s 变量中。

$s  = New-PSSession S1 -Authentication CredSSP -Credential Domain01\Admin01

最后，使用 Invoke-Command cmdlet 在 $s 变量的会话中运行 Remove-Item 命令。 Remove-Item 命令使用 DeleteKey 参数移除私钥以及指定的证书。

Invoke-Command -Session $s {
    $removeItemSplat = @{
        Path = 'cert:\LocalMachine\My\D2D38EBA60CAA1C12055A2E1C83B15AD450110C2'
        DeleteKey = $true
    }
    Remove-Item @removeItemSplat
}

删除过期的证书

此命令使用值为 0 的 Get-ChildItem cmdlet 的 ExpiringInDays 参数获取 WebHosting 存储中已过期的证书。

包含返回证书的变量通过管道传递给 Remove-Item cmdlet，该 cmdlet 将删除它们。该命令使用 DeleteKey 参数删除私钥以及证书。

$expired = Get-ChildItem cert:\LocalMachine\WebHosting -ExpiringInDays 0
$expired | Remove-Item -DeleteKey

创建证书

New-Item cmdlet 不会在 Certificate 提供程序中创建新证书。使用 New-SelfSignedCertificate cmdlet 创建证书用于测试。

创建证书存储

在 Cert: 驱动器中，New-Item cmdlet 在 LocalMachine 存储位置中创建证书存储。它支持 Name、Path、WhatIf 和 Confirm 参数。忽略所有其他参数。此命令返回表示新证书存储的 System.Security.Cryptography.X509Certificates.X509Store。

此命令在 LocalMachine 存储位置中创建名为 CustomStore 的新证书存储。

New-Item -Path cert:\LocalMachine\CustomStore

在远程计算机上创建新的证书存储

此命令在 Server01 计算机的 LocalMachine 存储位置中创建名为 HostingStore 的新证书存储。

该命令使用 Invoke-Command cmdlet 在 Server01 计算机上运行 New-Item 命令。此命令返回表示新证书存储的 System.Security.Cryptography.X509Certificates.X509Store。

Invoke-Command -ComputerName Server01 -ScriptBlock {
    New-Item -Path cert:\LocalMachine\CustomStore
}

为 WS-Man 创建客户端证书

此命令将创建可供 WS-Management 客户端使用的 ClientCertificate 条目。新的 ClientCertificate 将在 ClientCertificate 目录下显示为 ClientCertificate_1234567890。所有参数都是必需的。颁发者需要是颁发者证书的指纹。

$newItemSplat = @{
    Path = 'WSMan:\localhost\ClientCertificate'
    Credential = Get-Credential
    Issuer = '1b3fd224d66c6413fe20d21e38b304226d192dfe'
    URI = 'wmicimv2/*'
}
New-Item @newItemSplat

删除证书存储

从远程计算机删除证书存储

此命令使用 Invoke-Command cmdlet 在 S1 和 S2 计算机上运行 Remove-Item 命令。 Remove-Item 命令包含 Recurse 参数，后者将在删除存储前删除该存储中的证书。

Invoke-Command -ComputerName S1, S2 -ScriptBlock {
    Remove-Item -Path cert:\LocalMachine\TestStore -Recurse
}

动态参数

动态参数是由 PowerShell 提供程序添加的 cmdlet 参数，且只可用于在启用了提供程序的驱动器中使用 cmdlet 的情况。这些参数在 Certificates 提供程序的所有子目录中都有效，但是仅对证书有效。

注意

针对 EnhancedKeyUsageList 属性执行筛选的参数还会返回具有空 EnhancedKeyUsageList 属性值的项。具有空 EnhancedKeyUsageList 的证书可用于所有目的。

PowerShell 7.1 中重新引入了以下 Certificate 提供程序参数。

DNSName
DocumentEncryptionCert
EKU
ExpiringInDays
SSLServerAuthentication

CodeSigningCert <System.Management.Automation.SwitchParameter>

支持的 cmdlet

此参数获取 EnhancedKeyUsageList 属性值中具有 Code Signing 的证书。

DeleteKey <System.Management.Automation.SwitchParameter>

支持的 cmdlet

Remove-Item

此参数在删除证书时删除关联的私钥。

重要

若要在远程计算机上删除与 Cert:\CurrentUser 存储中的用户证书关联的私钥，必须使用委派的凭据。 Invoke-Command cmdlet 支持使用 CredSSP 参数进行凭据委派。在使用 Remove-Item 和 Invoke-Command 凭据委派之前，应考虑任何安全风险。

此参数是在 PowerShell 7.1 中重新引入的

DnsName <Microsoft.PowerShell.Commands.DnsNameRepresentation>

支持的 cmdlet

Get-ChildItem

此参数获取在证书的 DNSNameList 属性中具有指定域名或名称模式的证书。该参数的值可以是 Unicode 或 ASCII。 Punycode 值将转换为 Unicode。允许使用通配符 (*)。

此参数是在 PowerShell 7.1 中重新引入的

DocumentEncryptionCert <System.Management.Automation.SwitchParameter>

支持的 cmdlet

此参数获取 EnhancedKeyUsageList 属性值中具有 Document Encryption 的证书。

EKU <System.String>

支持的 cmdlet

Get-ChildItem

此参数获取在证书的 EnhancedKeyUsageList 属性中具有指定文本或文本模式的证书。允许使用通配符 (*)。 EnhancedKeyUsageList 属性包含 EKU 的易记名称和 OID 字段。

此参数是在 PowerShell 7.1 中重新引入的

ExpiringInDays <System.Int32>

支持的 cmdlet

Get-ChildItem

此参数获取将在指定天数内或之前过期的证书。零值 (0) 将获取已过期的证书。

此参数是在 PowerShell 7.1 中重新引入的

ItemType <System.String>

此参数用于指定由 New-Item 创建的项的类型。 New-Item cmdlet 仅支持值 Store。 New-Item cmdlet 无法创建新证书。

支持的 cmdlet

New-Item

SSLServerAuthentication <System.Management.Automation.SwitchParameter>

支持的 cmdlet

Get-ChildItem

仅获取用于 SSL Web 托管的服务器证书。此参数获取 EnhancedKeyUsageList 属性值中具有 Server Authentication 的证书。

此参数是在 PowerShell 7.1 中重新引入的

脚本属性

新脚本属性已添加到表示证书的 x509Certificate2 对象，以便轻松搜索和管理证书。

DnsNameList：为了填充 DnsNameList 属性，Certificate 提供程序将从 SubjectAlternativeName (SAN) 扩展中的 DNSName 条目中复制内容。如果 SAN 扩展为空，则使用证书的 Subject 字段中的内容填充该属性。
EnhancedKeyUsageList：为了填充 EnhancedKeyUsageList 属性，Certificate 提供程序将复制证书中 EnhancedKeyUsage (EKU) 字段的 OID 属性并为其创建易记名称。
SendAsTrustedIssuer：为了填充 SendAsTrustedIssuer 属性，Certificate 提供程序将从证书复制 SendAsTrustedIssuer 属性。有关详细信息，请参阅管理受信任的颁发者进行客户端身份验证。

这些新功能允许你根据证书的 DNS 名称和到期日期搜索证书，并通过证书的增强型密钥使用 (EKU) 属性的值将客户端和服务器身份验证证书区分开来。

使用管道

提供程序 cmdlet 接受管道输入。可以使用管道将提供程序数据从一个 cmdlet 发送到另一个提供程序 cmdlet 来简化任务。若要详细了解如何将管道与提供程序 cmdlet 配合使用，请参阅本文中提供的 cmdlet 参考。

获取帮助

从 PowerShell 3.0 开始，可以获取有关提供程序 cmdlet 的自定义帮助主题，它们介绍了这些 cmdlet 在文件系统驱动器中的行为方式。

若要获取针对文件系统驱动器进行自定义的帮助主题，请在文件系统驱动器中运行 Get-Help 命令，或使用 Get-Help 的 -Path 参数来指定文件系统驱动器。

Get-Help Get-ChildItem

Get-Help Get-ChildItem -Path cert:

about_Certificate_Provider

提供程序名称

驱动器

功能

简短说明

详细说明

此提供程序公开的类型

导航 Certificate 驱动器

显示 Cert: 驱动器的内容

在 Cert: 驱动器中显示证书属性

查找所有 CodeSigning 证书

查找过期的证书

查找 Server SSL 证书

在远程计算机上查找过期的证书

组合筛选器以查找特定证书集

打开 Certificates MMC 管理单元

复制证书

移动证书

将所有 SSL 服务器身份验证证书移动到 WebHosting 存储

删除证书和私钥

从 CA 存储删除证书

使用 DNS 名称中的通配符删除证书

从远程计算机中删除私钥

删除过期的证书

创建证书

创建证书存储

在远程计算机上创建新的证书存储

为 WS-Man 创建客户端证书

删除证书存储

从远程计算机删除证书存储

动态参数

CodeSigningCert <System.Management.Automation.SwitchParameter>

支持的 cmdlet

DeleteKey <System.Management.Automation.SwitchParameter>

支持的 cmdlet

DnsName <Microsoft.PowerShell.Commands.DnsNameRepresentation>

支持的 cmdlet

DocumentEncryptionCert <System.Management.Automation.SwitchParameter>

支持的 cmdlet

EKU <System.String>

支持的 cmdlet

ExpiringInDays <System.Int32>

支持的 cmdlet

ItemType <System.String>

支持的 cmdlet

SSLServerAuthentication <System.Management.Automation.SwitchParameter>

支持的 cmdlet

脚本属性

使用管道

获取帮助

另请参阅

反馈

其他资源