CA升级sha1到sha256

1.检查sha1还是256
certutil -v -getreg CA\CSP\HashAlgorithm

2.检查CA使用的提供程序是CSP还是KSP，如果不是KSP，需要先将其迁移到KSP才可以支持sha256
certutil -store my CA-ServerName

“Provider = Microsoft Strong Cryptographic Provider”表示为CSP

3.升级：
certutil -setreg CA\CSP\CNGHashAlgorithm SHA256
net stop certsvc
net start certsvc

 

4.检查是否升级到sha256，打开证书颁发机构，查看CA服务器属性：

 

此时根CA算法还是sha1，将其升级到sha256

 

 续订CA证书，如下：

 

 

 升级完成后自动重启ca服务，然后查看根CA证书，已经升级到sha256

 Technet说明：对于已经颁发的证书，如果证书仍在有效期之内，是可以继续正常使用的。在证书到期之后，因为我们已经将CA的根证书升级到了SHA-2算法，因此只需要更新证书即可，更新后的证书会默认使用SHA-2加密算法。