你在使用 Windows 时是否会遇到这样的问题：某个端口在 netstat -ano 中并没有显示被占用，但是即使使用管理员权限仍然无权绑定该端口？这是因为 Windows 有一些端口是被保留的，即 excludedportrange，而该问题可以通过调整 dynamicport 解决。

Up until I wrote this blog post, the tutorials and documentation I have come across regarding the use of Yubikey PIV certificates with Windows all involved having a complete set of private and public keys (generated outside of Yubikey) to be installed on Windows and imported into Yubikey for use. However, Yubikey also provides a more secure option: generating the private key on the Yubikey itself. The advantage of this method is that the private key never leaves the Yubikey, making it impossible for it to be leaked. But in such a case, we don't have a private key to import into Windows, and Windows is unaware of our corresponding digital certificate, so it won't consider our certificate as an available one for signing.

This article will explain how to generate a private key on the Yubikey and associate it with the certificate on Windows, to enable code signing on Windows. Although the purpose of this article is code signing, the association method described in the article also applies to other scenarios that require the use of private keys generated on the Yubikey.

截止到我写这篇博客，我在网络上所看到的将 Yubikey PIV 证书与 Windows 一起使用的教程和文档都是已经有完整的私钥和公钥（在 Yubikey 外生成），将其安装在 Windows 和导入到 Yubikey 使用。但是，Yubikey 还提供了一种具有更高安全性的选项：在 Yubikey 上生成私钥，这种方法的好处是私钥不会离开 Yubikey，因此不可能被泄露。但是在这样的情况下，我们没有可以用于导入到 Windows 的私钥，Windows 并不知道我们具有相应数字证书的私钥，在签名时不会将我们的证书作为可用的证书。

本文将介绍如何在 Yubikey 上生成私钥，使 Windows 将证书与 Yubikey 上的私钥相关联，以便在 Windows 上进行代码签名。尽管本文的目的是进行代码签名，但是文中的关联方法也适用于其他需要使用在 Yubikey 上生成的私钥的场景。

不知从什么时候开始，微软限制了将 OEM 激活的 Windows 家庭和学生版直接升级到批量激活（使用 KMS 激活）的专业版，网上之前存在的很多方法都失效了。恰好最近我买了一台新电脑，需要升级到学校提供的专业版，但是又不希望重装（这意味着重新安装全部驱动），于是开始寻找相应的办法。在尝试网上搜索发现的多种办法均失败后，我自行探索得到了一种无需重装的升级方式。我将在本文中给出我的探索过程和最终成功的方法。