技術記事・調査 2022/02/25

【EPS技術記事】「 CertUtil 」コマンドを使ってクライアント証明書をインポートする方法～ Windows 10 編～

安全で利便性の高い認証情報として利用されることの多い電子証明書（デジタル証明書）。
今回はWindows 10 に標準で用意されている「コマンド(CertUtil)」を使ってインポート（インストール）してみます。

このコマンドを使いこなすことで、多くの企業で採用されている「スクリプトを利用した一括展開」環境をスムーズに実現できるかもしれません。

証明書インポートファイルの用意

「証明書インポートファイル」を用意します。

今回は、当社製品「NetAttest EPS」から発行した PKCS#12形式の証明書インポートファイルを使用しています。

CertUtilコマンドを実行

コマンドプロンプトを起動します。
クライアント証明書を「個人」ストアにインポートしたい場合は、下記を実行します。

CertUtil [オプション] -importPFX <証明書ファイルのパス> [Modifilers]

【オプション】

-f	強制的に上書きします。
-user	コマンド実行ユーザーの[個人]ストアにインポートします。 (未指定の場合は、コンピュータストアにインポートします）
-v	メッセージを詳細に表示します。
-p <パスワード>	証明書ファイルのインポート用パスワードを指定します。 (未指定の場合は、コマンド実行時に入力を求められます）

【Modifiers】

NoExport	秘密キーをエクスポート不可にします。電子証明書を端末認証に利用する場合は「NoExport」オプションを有効にします。
NoCert	証明書をインポートしません。
NoChain	証明書チェーンをインポートしません。
NoRoot	証明書ファイルにルート証明書が含まれている場合にも、ルート証明書はインポートしません
Protect	キーをパスワードで保護します。
NoProtect	キーをパスワードで保護しません。

オプションで「-user」を指定して実行すると、ローカルユーザー（コマンド実行ユーザー）のストアに電子証明書がインポートされます。

【例】ローカルユーザーの[個人]ストアに、秘密鍵のエクスポート禁止した状態でインポートする。
C:\Users\宮崎洋二>CertUtil -user -p password -importPFX C:\Users\宮崎洋二\Documents\Certificates\ymiyazaki.p12 noExport 証明書 "ymiyazaki" がストアに追加されました。 CertUtil: -importPFX コマンドは正常に完了しました。

【例】ローカルユーザーの[個人]ストアに、秘密鍵のエクスポート禁止した状態でインポートする。

C:\Users\宮崎洋二>CertUtil -user -p password -importPFX C:\Users\宮崎洋二\Documents\Certificates\ymiyazaki.p12 noExport
証明書 "ymiyazaki" がストアに追加されました。

CertUtil: -importPFX コマンドは正常に完了しました。

（証明書ファイルにルート証明書が含まれている場合）「セキュリティ警告」ダイアログが表示されます。 [はい(Y)]ボタンを押下すると、ローカルユーザーの「信頼されたルート証明機関」ストアにインポートされます。

CertUtil 実行時に表示されるセキュリティ警告ダイアログ

以上で、CertUtilコマンドを使用した電子証明書のインポートは完了です。

補足：コンピュータストアに証明書をインポートする

オプションで「-user」を指定せずに実行すると、ローカルコンピュータのストアに電子証明書がインポートされます。コンピュータのストアに証明書をインポートする場合にはコマンドを管理者で実行する必要があります。

【例】ローカルコンピュータの[個人]ストアに、秘密鍵のエクスポート禁止した状態でインポートする。
C:\Windows\system32>CertUtil -p password -importPFX C:\Users\宮崎洋二\Documents\Certificates\ymiyazaki.p12 noExport 証明書 "ymiyazaki" がストアに追加されました。 CertUtil: -importPFX コマンドは正常に完了しました。

【例】ローカルコンピュータの[個人]ストアに、秘密鍵のエクスポート禁止した状態でインポートする。

C:\Windows\system32>CertUtil -p password -importPFX C:\Users\宮崎洋二\Documents\Certificates\ymiyazaki.p12 noExport
証明書 "ymiyazaki" がストアに追加されました。

CertUtil: -importPFX コマンドは正常に完了しました。

(「セキュリティ警告」は表示されません)

以上です。