Windows Server 2019 - 允许 certmgr.msc（本地）连接到服务器以读取证书存储访问的最小权限

Question

我试图弄清楚需要哪些用户权限或组成员身份才能允许正常的内置\用户通过 certmgr.msc （或“管理计算机证书”）读取远程服务器的证书存储。如下所示，我从笔记本电脑测试的其中一个用户打开了 certmgr 并选择“连接到另一台服务器”，但随后收到“您没有管理证书存储的权限”。我看到的唯一的事情可能是添加注册表权限，以便他们可以查询，但这是来自一篇相当旧的 Winsrv2012 文章，该文章更倾向于使用 Posh 进行查询。我只是希望管理员不必停止并检查服务器证书存储，因为我不应该允许每个人进行 RDP 访问。

Answer 1

Windows 将 LocalMachine 证书存储在注册表中，因此您的用户需要访问权限才能连接到远程注册表服务，并且该服务必须正在运行。默认情况下，只有管理员和备份操作员组有权限。

授予其他用户访问权限：

• 以管理员身份打开注册表
• 找到以下键：

  HKLM:\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg

• 右键单击 winreg，单击“权限”，然后编辑当前权限或添加要授予访问权限的用户或组。
• 然后重新启动 Windows。

看起来您可以授予

ReadKey

只读访问权限。

---

另请注意，Windows 证书存储允许所有用户读取公共证书信息，但只有管理员和系统可以读取/导出 private 密钥。这可以在 certlm.msc 中通过右键单击证书 > 所有任务 > 管理私钥来调整每个证书。