W2K Server の CA への証明書要求では、「詳細を指定可能」とあるが、 秘密キーのエクスポート可能フラグをつけても、エクスポートできなくて困る 。 と思ったが、
  • ActiveDirectory に一般ユーザ aaauser と コンピュータアカウント aaapc を作って
  • その一般ユーザ aaauser で、クライアントマシン aaapc を使って このドメインにログオンし
  • aaapc から、aaauser のアカウントで http://ca-host/certsrv/ にアクセスし
  • 「ユーザ証明書」+ 秘密鍵のエクスポートとして、証明書を発行し
  • 発行された証明書を aaapc にインストールし、
  • mmc で「証明書 - 現在のユーザ」→個人→証明書、を開き、
  • さきほど発行した証明書を開いて
  • 詳細→ファイルにコピー、とすると
  • 秘密鍵をエクスポートするオプションが現れる。
どうも、CA サーバ側で証明書をいじっていたのがいけないらしい。 発行を要求したクライアント側で処置しなければならなかった。 しかし、このような状態ではけっこう処理がめんどうだ。 証明書を要求して受け取ったユーザは、
  • 証明書のインストール
  • 証明書のエクスポート
  • 既存のアカウントへの対応づけ
をしなければならない。