使用Azure KeyVault时遇ClientCertificateCredential认证失败：密钥集不存在

核心原因：发布到IIS后，应用池身份没有目标证书的私钥访问权限，调试模式用的登录用户通常自带该权限所以能正常运行；Local System属于高权限身份可绕过权限限制，但存在安全风险，不建议长期使用。

以下是具体解决步骤：

1. 给应用池身份授予证书私钥读取权限 #

• 运行certlm.msc打开本地计算机证书管理器
• 找到Local Machine存储下的目标证书，右键选择「所有任务」→「管理私钥」
• 在权限窗口点击「添加」，输入格式为IIS AppPool\你的应用池名称的身份，点击「检查名称」确认后添加
• 给该身份授予读取权限，保存设置

2. 修正证书加载逻辑，确保获取带私钥的证书 #

当前代码查找证书时未过滤带私钥的证书，修改查找代码：

var cert = store.Certificates.Find(X509FindType.FindByThumbprint, ADCertThumbprint, true)
                .OfType<X509Certificate2>()
                .Single();

第三个参数设为true，表示只返回有私钥且有效的证书，避免加载无可用私钥的证书。

3. 检查证书导入时的私钥权限设置 #

如果证书是手动导入的，确认导入时勾选了「允许私钥被导出」（或至少允许非管理员账户访问），部分场景下导入证书会默认只给管理员私钥访问权限。

4. 修正代码中的参数问题 #

你的代码中注释掉了ADDirectoryId的读取，这会导致ClientCertificateCredential初始化参数缺失，取消注释确保参数正确。

修改后的完整代码 #

var keyVaultName = configSection["KeyVault"];
var keyVaultUri = "https://" + keyVaultName + ".vault.azure.net";
var KVKeyName = configSection["KVKeyName"];
var ADCertThumbprint = configSection["ADCertThumbprint"];
using var store = new X509Store(StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);
var cert = store.Certificates.Find(X509FindType.FindByThumbprint, ADCertThumbprint, true)
                .OfType<X509Certificate2>()
                .Single();
store.Close();
var ADApplicationId = configSection["ADApplicationId"];
var ADDirectoryId = configSection["ADDirectoryId"];
var Certificate = new ClientCertificateCredential(ADDirectoryId, ADApplicationId, cert);

var client = new KeyClient(new Uri(keyVaultUri), Certificate);
KeyVaultKey key = client.GetKey(KVKeyName);
var cryptoClient = new CryptographyClient(key.Id, Certificate);
var data = cryptoClient.Sign(SignatureAlgorithm.RS256, SHA256Hash(body));
return Convert.ToBase64String(data.Signature);

内容的提问来源于stack exchange，提问作者Faisal