PowerShell 7.4跨Windows服务器证书认证报错求助

错误1："Authentication failed because the platform does not support ephemeral keys" #

该错误出现在直接用CreateFromPemFile加载PEM证书和私钥的场景下，核心原因是Windows Server的Schannel组件对临时密钥（Ephemeral Keys）的支持逻辑与Windows Desktop不同，且PEM格式的私钥无法被Server环境的系统加密API正确识别为SSL/TLS认证可用的密钥对象。

解决步骤： #

1. 将PEM证书、私钥及根CA证书转换为PFX（PKCS#12）格式（需提前安装OpenSSL）：

   openssl pkcs12 -export -in cert.pem -inkey cert.key -out cert.pfx -certfile cacert.pem
   

   转换时设置的密码需留存，后续导入证书会用到。
2. 放弃直接从文件加载证书的方式，改用Windows证书存储管理证书，这是Windows Server环境的标准实践。

错误2："The credentials supplied to the package were not recognized" (0x8009030D) #

导入PFX到证书库后出现该错误，本质是运行脚本的账户无证书私钥访问权限，或证书存储配置不当。

解决步骤： #

1. 正确导入PFX证书：
   以管理员身份运行PowerShell，执行导入命令：

   $pfxPath = "G:\cert.pfx"
   $pfxPassword = ConvertTo-SecureString "你的PFX密码" -AsPlainText -Force
   Import-PfxCertificate -FilePath $pfxPath -CertStoreLocation Cert:\LocalMachine\My -Password $pfxPassword -Exportable
   

   必须添加-Exportable参数，确保私钥可被系统API访问。

2. 配置私钥访问权限：

   • 打开证书管理器（运行certlm.msc），定位到本地计算机\个人\证书下的目标证书。
   • 右键证书 → 所有任务 → 管理私钥。
   • 添加运行脚本的账户（如NT AUTHORITY\NETWORK SERVICE或当前管理员账户），授予读取权限。

3. 优化证书获取逻辑：
   建议用证书指纹精准定位，避免返回多个结果：

   # 替换为你的证书指纹（可在证书详情中查看）
   $certThumbprint = "1234567890ABCDEF1234567890ABCDEF12345678"
   $cert = Get-ChildItem Cert:\LocalMachine\My\$certThumbprint
   

根链证书验证优化 #

原脚本的自定义验证回调可优化为提前加载CA证书，避免每次验证重复读取文件：

# 提前加载CA证书到变量
$CACert = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromCertFile("G:\cacert.pem")

$callback = {
    param(
        $sender,
        [System.Security.Cryptography.X509Certificates.X509Certificate]$certificate,
        [System.Security.Cryptography.X509Certificates.X509Chain]$chain,
        [System.Net.Security.SslPolicyErrors]$sslPolicyErrors
    )

    # 清空旧的额外存储，避免重复添加
    $chain.ChainPolicy.ExtraStore.Clear()
    $chain.ChainPolicy.ExtraStore.Add($CACert)
    # 允许自定义根CA验证
    $chain.ChainPolicy.VerificationFlags = [System.Security.Cryptography.X509Certificates.X509VerificationFlags]::AllowUnknownCertificateAuthority
    
    return $chain.Build($certificate)
}

[System.Net.ServicePointManager]::ServerCertificateValidationCallback = $callback

额外注意事项 #

• 运行脚本必须使用管理员权限，访问LocalMachine证书存储及修改私钥权限均需该权限。
• Windows Server 2012需安装最新的.NET Framework和PowerShell 7.4补丁，避免兼容性问题。
• 可通过$cert.HasPrivateKey验证证书是否正确关联私钥，返回$true即为正常状态。

内容的提问来源于stack exchange，提问作者Kelvin Wong