从Azure Key Vault下载自签名证书导入密钥库失败求助

问题场景 #

尝试从Azure Key Vault下载自签名证书并导入本地密钥库时失败，执行的PowerShell代码如下：

$pfxSecret = Get-AzKeyVaultSecret -VaultName $keyVaultName -Name $certificateName -AsPlainText

# Write to a file
Set-Content -Path $certificateFilePath -Value $pfxSecret

Import-Certificate -FilePath $certificateFilePath -CertStoreLocation 'Cert:\CurrentUser\My'

$pfxSecret的内容格式为：

-----BEGIN PRIVATE KEY-----
whatever
-----END PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
whatever
-----END CERTIFICATE-----

运行后触发错误：

Import-Certificate : Cannot find the requested object. (Exception from HRESULT: 0x80092009)
At line:5 char:1
+ Import-Certificate -FilePath $certificateFilePath -CertStoreLocation  ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotSpecified: (:) [Import-Certificate], COMException
    + FullyQualifiedErrorId : System.Runtime.InteropServices.COMException,Microsoft.CertificateServices.Commands.ImportCertificateCommand

原因解析 #

1. 命令不匹配：Import-Certificate仅支持导入纯公钥证书（如.cer格式），但当前文件包含私钥+公钥证书的组合内容，超出该命令的处理范围。
2. 编码错误：Set-Content默认以UTF-8文本格式写入内容，而PKCS#12格式的证书（带私钥）需要二进制存储，直接写入文本会破坏证书结构。

解决方法 #

方法一：导入含私钥的完整证书 #

由于下载内容包含私钥，需将Base64编码内容转为二进制PFX文件，再用Import-PfxCertificate导入：

# 将Base64内容转为字节数组
$pfxBytes = [Convert]::FromBase64String($pfxSecret)

# 写入二进制文件
[IO.File]::WriteAllBytes($certificateFilePath, $pfxBytes)

# 导入到密钥库（若证书设了密码，需添加 -Password (ConvertTo-SecureString "密码" -AsPlainText -Force) 参数）
Import-PfxCertificate -FilePath $certificateFilePath -CertStoreLocation 'Cert:\CurrentUser\My'

方法二：仅导入公钥证书 #

如果只需要公钥证书，可提取证书部分单独保存后导入：

# 提取证书区块内容
$certPart = ($pfxSecret -split '-----BEGIN CERTIFICATE-----')[1] -split '-----END CERTIFICATE-----' | Select-Object -First 1
$certContent = "-----BEGIN CERTIFICATE-----`n$certPart`n-----END CERTIFICATE-----"

# 写入文本文件
Set-Content -Path $certificateFilePath -Value $certContent

# 导入公钥证书
Import-Certificate -FilePath $certificateFilePath -CertStoreLocation 'Cert:\CurrentUser\My'

关键提示 #

• Azure Key Vault返回的证书密钥是Base64编码的PKCS#12格式，必须转为二进制才能正确识别。
• 区分Import-Certificate（仅公钥）和Import-PfxCertificate（含私钥）的适用场景。

内容的提问来源于stack exchange，提问作者Node.JS