Làm cách nào để đặt quyền trên kho lưu trữ chứng chỉ dịch vụ?

Tôi có một dịch vụ yêu cầu quyền truy cập vào kho chứng chỉ của chính dịch vụ đó nhưng bị từ chối quyền truy cập.

Tôi đã kiểm tra với mmc và snapin Chứng chỉ cho dịch vụ và cửa hàng tồn tại và chứa các chứng chỉ. Tuy nhiên, trong snapin, tôi không thể xem hoặc đặt quyền.

Tôi đã thử kết xuất các chứng chỉ (để kiểm tra, sau đó thay đổi quyền) bằng cách sử dụng certutil nhưng tôi vẫn nhận được LỖI với "Tham số không chính xác". Cú pháp tôi sử dụng là

certutil -service -store tên dịch vụ\my

Tên dịch vụ là tên dịch vụ của tôi và "của tôi" được xác định chính xác là tên của cửa hàng "Cá nhân" của dịch vụ bởi certutil. Tôi biết cửa hàng tồn tại kể từ khi mmc hiển thị nó.

Tôi đang làm gì sai với certutil?

Tôi không nghĩ rằng bạn có thể nhập chứng chỉ vào cửa hàng cá nhân của người dùng khác. Tôi khuyên bạn nên thêm nó vào cửa hàng của máy và cấp cho người dùng dịch vụ quyền truy cập vào chứng chỉ/khóa ở đó. Bạn cũng có thể thử đăng nhập/runas người dùng dịch vụ và thêm nó theo cách đó nhưng tôi chưa bao giờ thử điều đó.

Chỉnh sửa: Tôi đã xác nhận điều này sau khi thử nghiệm, mặc dù tôi không chắc liệu đây có phải là hành vi dự kiến ​​hay không do tài liệu kém về certutil. certutil.exe -store -service (Tên cửa hàng) dường như là cú pháp thích hợp để truy cập các chứng chỉ trong một cửa hàng dịch vụ. Cửa hàng dịch vụ được đặt tại HKLM\SOFTWARE\Microsoft\Cryptography\Services\(ServiceName)\ trong sổ đăng ký, nhưng certutil chèn SID của người dùng hiện tại thay vì tên dịch vụ khi tìm kiếm như sau: HKLM\Software\Microsoft\Cryptography\Services\(SID)\SystemCertificates\, làm cho việc tìm kiếm thất bại. Bạn có thể ghi đè SID bằng -sid nhưng có vẻ như nó không hoạt động nếu bạn cung cấp tên dịch vụ. Nếu bạn tra cứu SID dịch vụ với sc.exe showsid (Tên dịch vụ) và cắm nó vào thì nó báo "Tên người dùng hoặc mật khẩu không chính xác." Có vẻ như certutil chỉ hỗ trợ một vài SID nổi tiếng (tôi thậm chí đã thử chuyển đổi SID dịch vụ sang dạng số của nó). Nếu bạn muốn sao chép công việc của tôi, bạn sẽ cần phải phá hủy Procmon.

Vì vậy, khi nhận thấy điều đó, tôi sẽ cho rằng bạn chỉ có thể nhập chứng chỉ nếu bạn chạy certutil trong ngữ cảnh của dịch vụ. Có vẻ như cách dễ nhất để giải quyết vấn đề của bạn là

1. chỉnh sửa sổ đăng ký theo cách thủ công
2. lưu trữ các chứng chỉ trong cửa hàng máy và cấp quyền dịch vụ cho chúng
3. lưu trữ chứng chỉ trong kho lưu trữ người dùng của người dùng mà dịch vụ chạy dưới dạng