Вызываю через SOAP метод SubmitRequest. Другие методы работают, этот возвращает:
Ошибка: ASN1 bad tag value met.

Если тот же запрос вставлять в поле открытого в браузере WEB-интерфейса (путь https://<Сервер>/certsrv/), то запрос проходит успешно. Сертификат можно скачать.

Пример запроса:
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

---

Возможно, надо что-то другое вызывать, не метод SubmitRequest. Прошу это проверить. Мне надо на клиенте по готовым запросам сертификата получать готовые подписанные сертификаты, отправляя данные на удаленный ЦР.

В "Руководстве программиста" написано "PKCS#7 Base64 encoded". Разве представленный мной запрос не в должной форме?
Прошу ответить развернуто.

Еще, я не понимаю, как соотносятся запросы сертификатов с пользователями. Например, чтобы выпустить сертификат, пользователь уже должен существовать (быть создан раньше), так? То есть последовательность такая: создается пользователь, создается запрос на первый сертификат, загружается полученный сертификат, используется. При приближении окончания срока действия сертификата, требуется дополнительное обращение для получения нового сертификата на основе текущего.
Это расходится с логикой моего приложения, суть которого является по готовым запросам (пример запроса выше) получать готовые же сертификаты.

А какие функции CryptoAPI в этом участвуют? Если ли пример или план действий по кодированию PKCS#10 еще и в PKCS#7?



Текущий пользователь, как я понимаю, это зарегистрированный пользователь, на основе сертификата которого вызываются методы.

Важно! Не будет ли при этом увеличиваться количество пользователей с одинаковыми именами, но разными сертификатами, пропорционально времени действию 1 сертификата?
Если нет, тогда дело в шляпе - вызывать SubmitFirstCertRequest от текущего пользователя.

Те функции, при помощи которых осуществляется подпись. Можно также воспользоваться не CryptoAPI, а классом CAPICOM SignedData.

не будет.

в описании для VB неточность, этот параметр действительно не используется.

Нет.
Пользователя надо создавать отдельно, запрос надо создавать отдельно. Но вместо повторногов выпуска действительно можно использовать SubmitFirstCertRequest.