自建一个 CA 在内网的 win2008，结果私钥搞不见了，保存的时候手贱选了“不允许导出私钥”，现只能用 SignTool 选择储存区的自建顶级 CA 给软件签名。问：有什么办法导出私钥吗？如何用这个 CA 签发 SSL 证书？

[ddy]

因为 ca 端下发到好多台电脑了，如果重新生成一个 ca 估计会被骂，而且是很惨的那种。。

现在只能用 signtool 选择储存区的自建的顶级 CA 给软件签名,然而还需要对几个内网 IP 签发 ssl 证书，咋办？

[dallaslu]

是不是可以用现有的证书再签一张子 CA ?

[maplerecall]

摸摸头，如果这么容易就能弄出来那那个选项也就没有存在的意义了吧，这个我觉得只能自己承担责任咯，这种管理不妥当丢了私钥的事情无论从什么方面讲都没啥可以推脱的……

[Rezark]

代码签名好说，重新再签一对秘钥，然后对代码进行双签， ssl 真是就呵呵了，只能重新下发新的顶级根喽！

[venhow]

那真是‘自贱’了哦。。。

[treo]

都加了域的话直接组策略分发新的 ca 不就好了

[ddy]

@dallaslu 我就是想用这个（搞丢了私钥但保存本地储存区）的 ca 签多一个新的 ca ，这样我知道新的 ca 私钥就可以方便继续签发证书了- -



@maplerecall 是吖- -标题就说自己手贱了（也把私钥搞不见了），现在看看还有没有什么别的技术上的方法补救一下



@Rezark 嗯嗯，代码那个不着急，就是搞不见私钥了，这个 ca 废了吗（可是我保存在电脑里了呀，现在还可以代码签名。重新弄顶级好不甘心啊）...能不能签多一个下级新的 ca 出来吖


@venhow 如果时间可以重来。。


@treo 找不到用这个 ca 签发新的 ca 的办法呀，我搞不见这个私钥了，而私钥保存在了系统的储存区里，现在只能拿来代码签名，其他能干的事暂还没发现- -

[treo]

@ddy 我就是说重新生成一个 root ca 然后组策略分发

[alect]

把系统搞死机，然后说硬盘坏了，不得不重发……

[dallaslu]

http://www.cnblogs.com/gsls200808/p/4502044.html
类似这样。文中提到二级 CA 也要导入，但以配置 SSL 证书的经验来说，只要在 web 上配置好证书链即可。

[ddy]

@dallaslu 这个 openssl 生成二级 ca 需要 key，so sad..

[ddy]

还有没有别的方法呢