安裝 Visual Studio 離線安裝所需的憑證

發行項
12/18/2024

Visual Studio 主要是設計成安裝在因特網連線的計算機上，因為許多元件會定期更新。不過，只需一些額外的步驟，就可以在沒有可用網際網路連線的環境中部署 Visual Studio。

Visual Studio 安裝引擎只會安裝受信任的內容。其方式是檢查正在下載內容的 Authenticode 簽章，並在安裝之前確認所有內容都受信任。這可保護您的環境免於遭受下載位置遭入侵的攻擊。

因此，Visual Studio 安裝程式會要求在使用者的計算機上安裝多個標準 Microsoft 根證書和中繼憑證，並且 up-to-date。如果計算機已與 Windows Update 保持最新狀態，簽署憑證通常為最新狀態。如果計算機連線到因特網，在安裝期間Visual Studio可能會視需要重新整理憑證，以驗證檔案簽章。如果機器脫機，則必須用其他方式更新憑證。

如何在離線時更新憑證

在離線環境中安裝或更新憑證有三個選項。

選項 1 - 從設定資料夾手動安裝憑證

當您建立網路配置或本機脫機快取時，必要的憑證會下載至 [憑證] 資料夾。您可以手動安裝憑證，方法是以滑鼠右鍵按下每個憑證檔案，選取 [安裝憑證]，然後依次完成 [憑證管理員精靈]的步驟。如果系統要求您輸入密碼，請將密碼保留空白。

選項 2 - 在企業環境中分發信任的根證書

對於沒有最新根憑證的離線企業電腦，系統管理員可以使用設定受信任的根憑證和不允許的憑證頁面上的指示來更新這些憑證。

選項 3 - 將憑證安裝為 Visual Studio 腳本部署的一部分

如果您要在離線環境中使用腳本將 Visual Studio 部署到用戶端工作站，您應該遵循下列步驟：

將憑證管理員工具（certmgr.exe）複製到網路配置或本機快取安裝位置。 Certmgr.exe 不包含為 Windows 本身的一部分，但可作為 windows SDK 的一部分使用。

使用下列指令建立批次檔：

certmgr.exe -add [layout path]\certificates\manifestRootCertificate.cer -n "Microsoft Root Certificate Authority 2011" -s -r LocalMachine root

certmgr.exe -add [layout path]\certificates\manifestCounterSignRootCertificate.cer -n "Microsoft Root Certificate Authority 2010" -s -r LocalMachine root

certmgr.exe -add [layout path]\certificates\vs_installer_opc.RootCertificate.cer -n "Microsoft Root Certificate Authority 2010" -s -r LocalMachine root

或者，建立使用 certutil.exe的批處理檔，其隨附於 Windows，並具有下列命令：

certutil.exe -addstore -f "Root" "[layout path]\certificates\manifestRootCertificate.cer"

certutil.exe -addstore -f "Root" "[layout path]\certificates\manifestCounterSignRootCertificate.cer"

certutil.exe -addstore -f "Root" "[layout path]\certificates\vs_installer_opc.RootCertificate.cer"

將批處理檔部署至用戶端。此命令應該從具管理員權限的程序執行。

[憑證] 資料夾中的這些憑證檔案是什麼？

manifestRootCertificate.cer 包含：
- 根憑證：Microsoft根憑證授權單位2011
manifestCounterSignRootCertificate.cer 和 vs_installer_opc.RootCertificate.cer 包含：
- 根憑證：Microsoft根憑證授權機構 2010

Visual Studio 安裝程式 在系統上只需要安裝根憑證。沒有安裝最新 Windows Update 的 Windows 7 Service Pack 1 系統都需要所有這些憑證。

為什麼憑證資料夾中的憑證未自動安裝？

在在線環境中驗證簽章時，會使用 Windows API 來下載憑證，並將憑證新增至系統。驗證憑證是否受信任，並且在此過程中透過管理設定進行允許。此驗證程式無法在大部分離線環境中發生。手動安裝憑證可讓企業系統管理員確保憑證受到信任，並符合其組織的安全策略。

檢查是否已安裝憑證

檢查安裝系統狀態的一種方式是遵循下列步驟：

執行 mmc.exe。
一個。按下 [檔案]，然後選取 [新增/移除嵌入式管理單元]。
b. 按兩下 [憑證]，選取 [計算機帳戶]，然後按兩下 [下一步]。
c. 選取 [本機電腦]，然後按下 [完成]。
d. 展開 憑證（本機電腦）。
e. 展開 [受信任的根憑證授權機構]，然後選取 [憑證]。
- 請檢查此清單，確認是否有必要的根憑證。
f. 展開 [中級憑證頒發機構]，然後選取 [憑證]。
- 請檢查此清單，以取得必要的中繼憑證。
按下 [檔案]，然後選取 [新增/移除嵌入式管理單元]。
一個。雙擊 [憑證]，選取 [我的使用者帳戶]，然後按一下 [完成]。
b. 展開 憑證：目前使用者。
c. 展開 [中繼憑證頒發機構]，然後選取 [憑證]。
- 請檢查此清單，以取得必要的中繼憑證。

如果憑證名稱不在 發行至 數據行中，則必須安裝它們。如果中繼憑證只位於 目前使用者 中繼證書存儲中，則它只能供登入的使用者使用。您可能需要為其他使用者安裝它。