通过SCORCH Runbook工作流连接Exchange Online遇证书不可访问错误

针对你遇到的「脚本在PowerShell ISE、Runbook测试器正常，但工作流执行时提示Certificate is not accessible to the current user」的问题，核心原因是Runbook工作流的执行账户和测试场景的账户不一致，以下是具体排查和解决步骤：

• 检查SCORCH服务账户的证书权限
  Runbook测试器用的是你当前登录的用户身份执行，而工作流实际是用SCORCH的Orchestrator Runbook Service账户（默认）运行的。你需要给这个服务账户授予证书的私钥读取权限：

  1. 打开本地计算机证书管理器（certlm.msc），找到目标证书所在的存储位置
  2. 右键证书 → 「所有任务」→ 「管理私钥」
  3. 添加SCORCH服务账户，勾选「读取」权限后保存

• 确认证书存储位置与脚本路径匹配
  如果你之前把证书放在「当前用户」存储目录下，SCORCH服务账户的用户存储和你的测试账户是完全隔离的。建议将证书迁移到本地计算机的Personal（个人）存储目录，同时修改脚本里的证书路径：

  # 示例：从本地计算机存储获取证书
  $cert = Get-ChildItem -Path "Cert:\LocalMachine\My\你的证书指纹"
  

• 验证文件形式证书的路径权限（如果用PFX文件）
  若脚本是通过文件路径加载PFX证书，要确保SCORCH服务账户对该文件所在的文件夹有读取权限，且脚本里使用绝对路径（不要用相对路径）。

• 用服务账户手动验证
  登录到Orchestrator服务器，切换到SCORCH服务账户身份，手动运行你的PowerShell脚本。如果此时也出现相同错误，说明权限配置还没到位；如果能正常运行，那可以在Runbook里添加-Verbose参数输出详细日志，排查会话隔离或执行策略的问题。

内容的提问来源于stack exchange，提问作者Geethika Aravapalli