创建带有证明的虚拟智能卡

Question

在过去几周的某个时候，在Surface Pro设备上创建虚拟智能卡时，以下命令已开始失败：

 tpmvscmgr create /generate /adminKey random /pin default /name Example /attestation AIK_AND_CERT

请求失败，并显示（0x80190190）错误的请求（400）。

可以创建不带/ attestation标志（这是我过去通常所做的事情）的虚拟智能卡。但是，以这种方式创建的虚拟智能卡在尝试生成包括证明的证书请求时会失败。具体来说，尝试使用具有 AttestationCredentialCertificate 字段集的 CertificateRequestProperties 结构生成证书请求失败，并显示 0x80100022-此智能卡不支持所请求的功能。

这些错误发生在以前运行过的设备上。知道为什么该行为已更改或是否是暂时的吗？

Answer 1

通过将固件补丁应用到Surface Pro 3和Surface Pro 4设备已解决了该问题。 Surface Pro 3的固件更新工具在这里：https://www.microsoft.com/en-us/download/details.aspx?id=38826。 Surface Pro 4的更新位于：https://www.microsoft.com/en-us/download/details.aspx?id=49498。更新固件后，tpmvcsmgr能够使用AIK_AND_CERT参数和UWP API创建虚拟智能卡，以在工作的CSR中包括证明。似乎1803年的更新包括一项需要这些固件补丁的更改。