about_Certificate_Provider

提供程序名称

证书

驱动器

Cert:

功能

ShouldProcess

简短说明

提供对 X.509 证书存储和对 PowerShell 中的证书的访问权限。

详细说明

此信息仅适用于在 Windows 上运行的 PowerShell。

使用 PowerShell Certificate 提供程序，可以在 PowerShell 中获取、添加、更改、清除和删除证书和证书存储。

Certificate 驱动器是一个分层命名空间，其中包含计算机上的证书存储和证书。

Certificate 提供程序支持以下 cmdlet。

• Get-Location
• Set-Location
• Get-Item
• Get-ChildItem
• Invoke-Item
• Move-Item
• New-Item
• Remove-Item
• Get-ItemProperty
• Set-ItemProperty
• Clear-ItemProperty
• Get-AuthenticodeSignature
• Set-AuthenticodeSignature

此提供程序公开的类型

Certificate 驱动器公开以下类型。

• Microsoft.PowerShell.Commands.X509StoreLocation，这是对当前用户和所有用户证书进行分组的高级容器。 每个系统都有一个 CurrentUser 和 LocalMachine（所有用户）存储位置。
• System.Security.Cryptography.X509Certificates.X509Store，这是保存和管理证书的物理存储。
• System.Security.Cryptography.X509Certificates.X509Certificate2，其中每个证书都表示计算机上的一个 X.509 证书。 证书由指纹标识。

导航 Certificate 驱动器

Certificate 提供程序将证书命名空间公开为 PowerShell 中的 Cert: 驱动器。 此命令使用 Set-Location 命令将当前位置更改为 LocalMachine 存储位置中的 Root 证书存储。 使用反斜杠 (\) 或正斜杠 (/) 指示 Cert: 驱动器的级别。

Set-Location Cert:

还可以从任何其他 PowerShell 驱动器使用该证书提供程序。 若要从其他位置引用别名，请在路径中使用 Cert: 驱动器名称。

PS Cert:\> Set-Location -Path LocalMachine\Root

若要返回到文件系统驱动器，请键入驱动器名称。 例如，键入：

Set-Location C:

注意

PowerShell 使用别名来让你熟悉如何使用提供程序路径。 dir 和 ls 等命令现在是 Get-ChildItem 的别名，cd 是 Set-Location 的别名，pwd 是 Get-Location 的别名。

显示 Cert: 驱动器的内容

此命令使用 Get-ChildItem cmdlet 显示 CurrentUser 证书存储位置中的证书存储。

如果你不在 Cert: 驱动器中，请使用绝对路径。

PS Cert:\CurrentUser\> Get-ChildItem

在 Cert: 驱动器中显示证书属性

此示例获取具有 Get-Item 的证书，并将其存储在变量中。 此示例显示了使用 Select-Object 的新证书脚本属性（DnsNameList、EnhancedKeyUsageList、SendAsTrustedIssuer）。

$c = Get-Item cert:\LocalMachine\My\52A149D0393CE8A8D4AF0B172ED667A9E3A1F44E
$c | Format-List DnsNameList, EnhancedKeyUsageList, SendAsTrustedIssuer

DnsNameList          : {SERVER01.contoso.com}
EnhancedKeyUsageList : {WiFi-Machine (1.3.6.1.4.1.311.42.2.6),
                       Client Authentication (1.3.6.1.5.5.7.3.2)}
SendAsTrustedIssuer  : False

查找所有 CodeSigning 证书

此命令使用 Get-ChildItem cmdlet 的 CodeSigningCert 和 Recurse 参数获取计算机上具有代码签名颁发机构的所有证书。

Get-ChildItem -Path cert: -CodeSigningCert -Recurse

查找过期的证书

此命令使用 Get-ChildItem cmdlet 的 ExpiringInDays 参数获取将在接下来的 30 天内过期的证书。

Get-ChildItem -Path cert:\LocalMachine\WebHosting -ExpiringInDays 30

查找 Server SSL 证书

此命令使用 Get-ChildItem cmdlet 的 SSLServerAuthentication 参数获取 My 和 WebHosting 存储中的所有 Server SSL 证书。

$getChildItemSplat = @{
    Path = 'cert:\LocalMachine\My', 'cert:\LocalMachine\WebHosting'
    SSLServerAuthentication = $true
}
Get-ChildItem @getChildItemSplat

在远程计算机上查找过期的证书

此命令使用 Invoke-Command cmdlet 在 Srv01 和 Srv02 计算机上运行 Get-ChildItem 命令。 ExpiringInDays 参数中的零值 (0) 将获取 Srv01 和 Srv02 计算机上已过期的证书。

$invokeCommandSplat = @{
    ComputerName = 'Srv01', 'Srv02'
    ScriptBlock = {
        Get-ChildItem -Path cert:\* -Recurse -ExpiringInDays 0
    }
}
Invoke-Command @invokeCommandSplat

组合筛选器以查找特定证书集

此命令获取 LocalMachine 存储位置中具有以下属性的所有证书：

• 其 DNS 名称中的 fabrikam
• 其 EKU 中的 Client Authentication
• SendAsTrustedIssuer 属性的 $true 的值
• 未来 30 天内不会过期。

NotAfter 属性存储证书到期日期。

[DateTime] $ValidThrough = (Get-Date) + (New-TimeSpan -Days 30)
$getChildItemSplat = @{
    Path = 'cert:\*'
    Recurse = $true
    DnsName = "*fabrikam*"
    Eku = "*Client Authentication*"
}
Get-ChildItem @getChildItemSplat |
    Where-Object {$_.SendAsTrustedIssuer -and $_.NotAfter -gt $ValidThrough }

打开 Certificates MMC 管理单元

Invoke-Item cmdlet 使用默认应用程序打开指定的路径。 对于证书，默认应用程序为 Certificates MMC 管理单元。

此命令将打开证书 MMC 管理单元以管理指定的证书。

Invoke-Item cert:\CurrentUser\my\6B8223358119BB08840DEE50FD8AF9EA776CE66B

复制证书

Certificate 提供程序不支持复制证书。 尝试复制证书时，会看到此错误。

$path = "Cert:\LocalMachine\Root\E2C0F6662D3C569705B4B31FE2CBF3434094B254"
PS Cert:\LocalMachine\> Copy-Item -Path $path -Destination .\CA\

Copy-Item : Provider operation stopped because the provider doesn't support
this operation.
At line:1 char:1
+ Copy-Item -Path $path -Destination .\CA\
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotImplemented: (:) [Copy-Item],
                              PSNotSupportedException
    + FullyQualifiedErrorId : NotSupported,
                              Microsoft.PowerShell.Commands.CopyItemCommand

移动证书

将所有 SSL 服务器身份验证证书移动到 WebHosting 存储

此命令使用 Move-Item cmdlet 将证书从 My 存储移动到 WebHosting 存储。

Move-Item 无法移动证书存储，也无法将证书移动到不同的存储位置，例如将证书从 LocalMachine 移动到 CurrentUser。 Move-Item cmdlet 可以在存储中移动证书，但它不会移动私钥。

此命令使用 Get-ChildItem cmdlet 的 SSLServerAuthentication 参数获取 My 证书存储中的 SSL 服务器身份验证证书。

返回的证书通过管道传递给 Move-Item cmdlet，该 cmdlet 会将证书移动到 WebHosting 存储。

Get-ChildItem cert:\LocalMachine\My -SSLServerAuthentication |
    Move-Item -Destination cert:\LocalMachine\WebHosting

删除证书和私钥

Remove-Item cmdlet 将删除指定的证书。 DeleteKey 动态参数将删除私钥。

从 CA 存储删除证书

此命令从 CA 证书存储中删除证书，但关联的私钥保持不变。

在 Cert: 驱动器中，Remove-Item cmdlet 仅支持 DeleteKey、Path、WhatIf 和 Confirm 参数。 忽略所有其他参数。

Remove-Item cert:\LocalMachine\CA\5DDC44652E62BF9AA1116DC41DE44AB47C87BDD0

使用 DNS 名称中的通配符删除证书

此命令删除具有包含 Fabrikam 的 DNS 名称的所有证书。 它使用 Get-ChildItem cmdlet 的 DNSName 参数获取证书，并使用 Remove-Item cmdlet 删除它们。

Get-ChildItem -Path cert:\LocalMachine -DnsName *Fabrikam* | Remove-Item

从远程计算机中删除私钥

这一系列命令将启用委派，然后在远程计算机上删除该证书和关联的私钥。 若要删除远程计算机上的私钥，必须使用委派的凭据。

使用 Enable-WSManCredSSP cmdlet 在 S1 远程计算机上的客户端上启用凭据安全服务提供程序 (CredSSP) 身份验证。 CredSSP 允许使用委派的身份验证。

Enable-WSManCredSSP -Role Client -DelegateComputer S1

使用 Connect-WSMan cmdlet 将 S1 计算机连接到本地计算机上的 WinRM 服务。 当此命令完成时，S1 计算机将在 PowerShell 中的本地 WSMan: 驱动器中显示。

Connect-WSMan -ComputerName S1 -Credential Domain01\Admin01

现在，可以使用 WSMan: 驱动器中的 Set-Item cmdlet 为 WinRM 服务启用 CredSSP 属性。

Set-Item -Path WSMan:\S1\Service\Auth\CredSSP -Value $true

使用 New-PSSession cmdlet 在 S1 计算机上启动远程会话，并指定 CredSSP 身份验证。 将该会话保存在 $s 变量中。

$s  = New-PSSession S1 -Authentication CredSSP -Credential Domain01\Admin01

最后，使用 Invoke-Command cmdlet 在 $s 变量的会话中运行 Remove-Item 命令。 Remove-Item 命令使用 DeleteKey 参数移除私钥以及指定的证书。

Invoke-Command -Session $s {
    $removeItemSplat = @{
        Path = 'cert:\LocalMachine\My\D2D38EBA60CAA1C12055A2E1C83B15AD450110C2'
        DeleteKey = $true
    }
    Remove-Item @removeItemSplat
}

删除过期的证书

此命令使用值为 0 的 Get-ChildItem cmdlet 的 ExpiringInDays 参数获取 WebHosting 存储中已过期的证书。

包含返回证书的变量通过管道传递给 Remove-Item cmdlet，该 cmdlet 将删除它们。 该命令使用 DeleteKey 参数删除私钥以及证书。

$expired = Get-ChildItem cert:\LocalMachine\WebHosting -ExpiringInDays 0
$expired | Remove-Item -DeleteKey

创建证书

New-Item cmdlet 不会在 Certificate 提供程序中创建新证书。 使用 New-SelfSignedCertificate cmdlet 创建证书用于测试。

创建证书存储

在 Cert: 驱动器中，New-Item cmdlet 在 LocalMachine 存储位置中创建证书存储。 它支持 Name、Path、WhatIf 和 Confirm 参数。 忽略所有其他参数。 此命令返回表示新证书存储的 System.Security.Cryptography.X509Certificates.X509Store。

此命令在 LocalMachine 存储位置中创建名为 CustomStore 的新证书存储。

New-Item -Path cert:\LocalMachine\CustomStore

在远程计算机上创建新的证书存储

此命令在 Server01 计算机的 LocalMachine 存储位置中创建名为 HostingStore 的新证书存储。

该命令使用 Invoke-Command cmdlet 在 Server01 计算机上运行 New-Item 命令。 此命令返回表示新证书存储的 System.Security.Cryptography.X509Certificates.X509Store。

Invoke-Command -ComputerName Server01 -ScriptBlock {
    New-Item -Path cert:\LocalMachine\CustomStore
}

为 WS-Man 创建客户端证书

此命令将创建可供 WS-Management 客户端使用的 ClientCertificate 条目。 新的 ClientCertificate 将在 ClientCertificate 目录下显示为 ClientCertificate_1234567890。 所有参数都是必需的。 颁发者需要是颁发者证书的指纹。

$newItemSplat = @{
    Path = 'WSMan:\localhost\ClientCertificate'
    Credential = Get-Credential
    Issuer = '1b3fd224d66c6413fe20d21e38b304226d192dfe'
    URI = 'wmicimv2/*'
}
New-Item @newItemSplat

删除证书存储

从远程计算机删除证书存储

此命令使用 Invoke-Command cmdlet 在 S1 和 S2 计算机上运行 Remove-Item 命令。 Remove-Item 命令包含 Recurse 参数，后者将在删除存储前删除该存储中的证书。

Invoke-Command -ComputerName S1, S2 -ScriptBlock {
    Remove-Item -Path cert:\LocalMachine\TestStore -Recurse
}

动态参数

动态参数是由 PowerShell 提供程序添加的 cmdlet 参数，且只可用于在启用了提供程序的驱动器中使用 cmdlet 的情况。 这些参数在 Certificates 提供程序的所有子目录中都有效，但是仅对证书有效。

注意

针对 EnhancedKeyUsageList 属性执行筛选的参数还会返回具有空 EnhancedKeyUsageList 属性值的项。 具有空 EnhancedKeyUsageList 的证书可用于所有目的。

PowerShell 7.1 中重新引入了以下 Certificate 提供程序参数。

• DNSName
• DocumentEncryptionCert
• EKU
• ExpiringInDays
• SSLServerAuthentication

CodeSigningCert <System.Management.Automation.SwitchParameter>

支持的 cmdlet

• Get-Item
• Get-ChildItem

此参数获取 EnhancedKeyUsageList 属性值中具有 Code Signing 的证书。

DeleteKey <System.Management.Automation.SwitchParameter>

支持的 cmdlet

• Remove-Item

此参数在删除证书时删除关联的私钥。

重要

若要在远程计算机上删除与 Cert:\CurrentUser 存储中的用户证书关联的私钥，必须使用委派的凭据。 Invoke-Command cmdlet 支持使用 CredSSP 参数进行凭据委派。 在使用 Remove-Item 和 Invoke-Command 凭据委派之前，应考虑任何安全风险。

此参数是在 PowerShell 7.1 中重新引入的

DnsName <Microsoft.PowerShell.Commands.DnsNameRepresentation>

支持的 cmdlet

• Get-ChildItem

此参数获取在证书的 DNSNameList 属性中具有指定域名或名称模式的证书。 该参数的值可以是 Unicode 或 ASCII。 Punycode 值将转换为 Unicode。 允许使用通配符 (*)。

此参数是在 PowerShell 7.1 中重新引入的

DocumentEncryptionCert <System.Management.Automation.SwitchParameter>

支持的 cmdlet

• Get-Item
• Get-ChildItem

此参数获取 EnhancedKeyUsageList 属性值中具有 Document Encryption 的证书。

EKU <System.String>

支持的 cmdlet

• Get-ChildItem

此参数获取在证书的 EnhancedKeyUsageList 属性中具有指定文本或文本模式的证书。 允许使用通配符 (*)。 EnhancedKeyUsageList 属性包含 EKU 的易记名称和 OID 字段。

此参数是在 PowerShell 7.1 中重新引入的

ExpiringInDays <System.Int32>

支持的 cmdlet

• Get-ChildItem

此参数获取将在指定天数内或之前过期的证书。 零值 (0) 将获取已过期的证书。

此参数是在 PowerShell 7.1 中重新引入的

ItemType <System.String>

此参数用于指定由 New-Item 创建的项的类型。 New-Item cmdlet 仅支持值 Store。 New-Item cmdlet 无法创建新证书。

支持的 cmdlet

• New-Item

SSLServerAuthentication <System.Management.Automation.SwitchParameter>

支持的 cmdlet

• Get-ChildItem

仅获取用于 SSL Web 托管的服务器证书。 此参数获取 EnhancedKeyUsageList 属性值中具有 Server Authentication 的证书。

此参数是在 PowerShell 7.1 中重新引入的

脚本属性

新脚本属性已添加到表示证书的 x509Certificate2 对象，以便轻松搜索和管理证书。

• DnsNameList：为了填充 DnsNameList 属性，Certificate 提供程序将从 SubjectAlternativeName (SAN) 扩展中的 DNSName 条目中复制内容。 如果 SAN 扩展为空，则使用证书的 Subject 字段中的内容填充该属性。
• EnhancedKeyUsageList：为了填充 EnhancedKeyUsageList 属性，Certificate 提供程序将复制证书中 EnhancedKeyUsage (EKU) 字段的 OID 属性并为其创建易记名称。
• SendAsTrustedIssuer：为了填充 SendAsTrustedIssuer 属性，Certificate 提供程序将从证书复制 SendAsTrustedIssuer 属性。 有关详细信息，请参阅管理受信任的颁发者进行客户端身份验证。

这些新功能允许你根据证书的 DNS 名称和到期日期搜索证书，并通过证书的增强型密钥使用 (EKU) 属性的值将客户端和服务器身份验证证书区分开来。

使用管道

提供程序 cmdlet 接受管道输入。 可以使用管道将提供程序数据从一个 cmdlet 发送到另一个提供程序 cmdlet 来简化任务。 若要详细了解如何将管道与提供程序 cmdlet 配合使用，请参阅本文中提供的 cmdlet 参考。

获取帮助

从 PowerShell 3.0 开始，可以获取有关提供程序 cmdlet 的自定义帮助主题，它们介绍了这些 cmdlet 在文件系统驱动器中的行为方式。

若要获取针对文件系统驱动器进行自定义的帮助主题，请在文件系统驱动器中运行 Get-Help 命令，或使用 Get-Help 的 -Path 参数来指定文件系统驱动器。

Get-Help Get-ChildItem

Get-Help Get-ChildItem -Path cert:

另请参阅

• about_Providers
• about_Signing
• Get-AuthenticodeSignature
• Set-AuthenticodeSignature
• Get-PfxCertificate