CNG证书触发‘Invalid provider type specified’错误，寻求代码解决方案

问题背景 #

公司近期启用新的CNG服务器证书，在应用服务器安装首份证书后，Web服务调用抛出**"Invalid provider type specified"**错误。查看证书PKS文件，确认其密钥提供者为Microsoft Software Key Storage Provider。目前通过certutil.exe修改证书导入时的CSP为Microsoft Enhanced RSA and AES Cryptographic Provider可临时解决问题，但希望通过代码修改实现无需手动操作的方案。

问题代码分析 #

原代码使用X509CertificateStore读取本地证书，多次重复创建X509Certificate2对象，未正确处理CNG证书的密钥访问特性：

var store2 = X509CertificateStore.LocalMachineStore(X509CertificateStore.MyStore);
store2.OpenRead();

var coll2 = store2.FindCertificateBySubjectString(ConfigurationManager.AppSettings["<redacted>"]);

if (coll2.Count > 0)
{
//var cert2    = new X509Certificate2(coll2[0]);
  var cert2    = coll2[0];
  var certType = cert2.GetType();
  var cert3    = new X509Certificate2(cert2);
  certType     = cert3.GetType();

  if (cert2.SupportsDigitalSignature)
  {
    svc.ClientCredentials.ClientCertificate.Certificate = new X509Certificate2(cert2);
  }
}

核心问题：

• 直接从证书存储获取的对象传递给WCFClientCredentials时，未正确加载CNG密钥的访问权限
• 重复创建X509Certificate2对象会丢失密钥上下文，导致无法正常调用CNG提供者

代码修复方案 #

改用.NET推荐的X509StoreAPI，并在创建X509Certificate2时指定X509KeyStorageFlags兼容CNG证书：

using (var store = new X509Store(StoreName.My, StoreLocation.LocalMachine))
{
    store.Open(OpenFlags.ReadOnly);
    var certCollection = store.Certificates.Find(
        X509FindType.FindBySubjectName,
        ConfigurationManager.AppSettings["<redacted>"],
        validOnly: false);

    if (certCollection.Count > 0)
    {
        // 指定KeyStorageFlags确保CNG密钥可被正常访问
        var cert = new X509Certificate2(certCollection[0], "", 
            X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet);
        
        if (cert.SupportsDigitalSignature)
        {
            svc.ClientCredentials.ClientCertificate.Certificate = cert;
        }
    }
    store.Close();
}

关键参数说明 #

• X509KeyStorageFlags.MachineKeySet：指定密钥存储在本地机器容器，适配LocalMachine存储的证书
• X509KeyStorageFlags.PersistKeySet：保留密钥在存储中，避免临时密钥上下文丢失

补充权限说明 #

若使用.NET Framework 4.0及以下版本，需确保应用程序池身份拥有CNG密钥容器的访问权限：

1. 打开certlm.msc，找到目标证书，右键选择「所有任务」→「管理私钥」
2. 添加应用程序池身份（如IIS AppPool\你的应用池名称），授予「读取」权限

内容的提问来源于stack exchange，提问作者H Gursky