Azure函数从字节数组加载X509Certificate2时提示找不到指定文件

在Azure Function App中尝试从Azure密钥保管库拉取证书，执行代码时在创建X509Certificate2实例步骤抛出异常The system cannot find the file specified，但本地使用个人Azure凭据运行相同代码、加载相同PFX字节数组时完全正常。已确认：

• 密钥保管库已设置all访问权限
• 日志验证PFX字节数组内容与密钥保管库中证书一致
• 异常仅发生在Azure Function云端环境

相关代码片段：

private X509Certificate2 GetCertificate(
    CertificateClient certificateClient,
    SecretClient secretClient,
    string certificateName)
{
    KeyVaultCertificateWithPolicy certificate = certificateClient.GetCertificate(certificateName);

    if (certificate.Policy?.Exportable != true)
    {
        return new X509Certificate2(certificate.Cer);
    }

    string[] segments = certificate.SecretId.AbsolutePath.Split(new string[] { "/" }, StringSplitOptions.RemoveEmptyEntries);
    if (segments.Length != 3)
    {
        throw new InvalidOperationException($"Number of segments is incorrect: {segments.Length}, URI: {certificate.SecretId}");
    }

    string secretName = segments[1];
    string secretVersion = segments[2];

    KeyVaultSecret secret = secretClient.GetSecret(secretName, secretVersion);
    
    if ("application/x-pkcs12".Equals(secret.Properties.ContentType, StringComparison.InvariantCultureIgnoreCase))
    {
        byte[] pfx = Convert.FromBase64String(secret.Value);

        // 异常抛出位置
        return new X509Certificate2(pfx);
    }

    throw new NotSupportedException($"Only PKCS#12 is supported. Found Content-Type: {secret.Properties.ContentType}");
}

1. 使用X509KeyStorageFlags.EphemeralKeySet构造证书 #

Azure Function运行在沙箱环境中，对本地文件系统的持久化写入有严格限制。默认的X509Certificate2构造函数会尝试将私钥写入本地机器或用户密钥存储，触发权限/文件找不到异常。改用EphemeralKeySet标志可将密钥仅保存在内存中，避免磁盘写入操作：

修改异常行代码为：

return new X509Certificate2(pfx, string.Empty, X509KeyStorageFlags.EphemeralKeySet);

• string.Empty适用于无密码的PFX证书，若证书有密码需替换为对应密码
• EphemeralKeySet确保密钥仅在内存中临时存储，不会写入磁盘，适配沙箱环境限制

2. 验证运行时版本一致性 #

确保Azure Function的运行时版本（如.NET 6/.NET 7等）与本地开发环境一致，不同版本的X509Certificate2实现可能存在行为差异。

3. 检查证书私钥属性 #

确认密钥保管库中的证书私钥是可导出的（代码中已判断certificate.Policy?.Exportable == true，但可再次在Azure门户验证证书的导出属性）。

内容的提问来源于stack exchange，提问作者Andy