从Azure Key Vault下载证书并部署至Windows Server的技术咨询

一、修复PowerShell导出PFX脚本 #

原脚本无法生成可用PFX的核心问题是：Get-AzKeyVaultCertificate仅返回证书公钥部分，要导出包含私钥的PFX，必须从Key Vault的Secret中获取完整证书数据。按以下方式修正：

1. 前置检查：确认导入Key Vault的证书已开启导出权限——导入时需设置-Exportable $true，否则无法导出私钥。
2. 修正后的脚本：

$vaultName = "SomeoneBusiness"
$certificateName = "SomeoneDotcom"
$exportFilePath = "C:\MyCert\YourCertificate.pfx"
$certificatePassword = "SuperSecret"

# 自动创建导出目录（不存在时）
if (-not (Test-Path (Split-Path $exportFilePath))) {
    New-Item -Path (Split-Path $exportFilePath) -ItemType Directory -Force
}

# 获取证书关联的Secret（Key Vault中私钥存储为Secret）
$cert = Get-AzKeyVaultCertificate -VaultName $vaultName -Name $certificateName
$secret = Get-AzKeyVaultSecret -VaultName $vaultName -Name $cert.Name

# 将Secret值转为字节数组
$certBytes = [Convert]::FromBase64String($secret.SecretValueText)

# 生成带密码保护的PFX
$certCollection = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2Collection
$certCollection.Import($certBytes, $null, [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable)
$certCollection.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Pkcs12, $certificatePassword) | Set-Content $exportFilePath -Encoding Byte

二、Azure经典发布管道部署证书到Windows Server #

按以下步骤添加任务完成自动化部署：

步骤1：添加Azure PowerShell任务 #

• 配置Azure订阅，脚本类型选Inline，将上述修正后的脚本粘贴至脚本框（按需调整变量值）。
• 此任务会在管道代理机器上生成带密码的PFX文件。

步骤2：添加PowerShell on Target Machines任务 #

• 目标机器配置：选择目标Windows Server的机器组，运行方式设为Administrator。
• 脚本逻辑：
  1. 将代理机器上的PFX文件复制到目标服务器（可通过共享路径或任务自带的文件复制功能实现）。
  2. 执行证书导入命令：

$pfxPath = "C:\TargetDir\YourCertificate.pfx"
$pfxPassword = "SuperSecret"
$certStore = "Cert:\LocalMachine\My"

# 导入证书到本地机器个人存储
Import-PfxCertificate -FilePath $pfxPath -Password (ConvertTo-SecureString $pfxPassword -AsPlainText -Force) -CertStoreLocation $certStore

备选方案：直接用Azure Key Vault任务下载 #

• 添加Azure Key Vault任务，配置Key Vault名称，选择目标证书，设置代理机器上的下载路径。
• 注意：Key Vault任务下载的PFX默认无密码，需先通过脚本添加密码，再执行后续复制和导入操作。

方向正确性说明 #

你的整体思路是正确的：通过Key Vault集中管理证书，再用脚本/管道自动化部署到Windows Server。核心问题是原脚本未正确获取证书私钥，修正后即可生成可用PFX；管道部署需结合Azure任务和目标机器执行环节，完成端到端的证书分发与导入。

内容的提问来源于stack exchange，提问作者mikedopp