从Azure Key Vault取私钥后调用generatePrivate抛InvalidKeyException异常

错误根源 #

java.security.InvalidKeyException: unknown version: 3 是因为你从Azure Key Vault获取的私钥字节流不符合PKCS#8格式要求：

• PKCS#8是通用私钥封装格式，版本字段固定为1；而Key Vault存储的RSA私钥可能是原始PKCS#1格式（版本为0），或是包含证书的PKCS#12（PFX）文件内容，这两种情况都会导致PKCS8EncodedKeySpec解析失败。

解决方案 #

方案1：将PKCS#1格式私钥转换为PKCS#8 #

如果存储的是PKCS#1格式RSA私钥，用BouncyCastle库转换格式后再解析：

import org.bouncycastle.asn1.pkcs.RSAPrivateKey;
import org.bouncycastle.crypto.params.RSAPrivateKeyParameters;
import org.bouncycastle.crypto.util.PrivateKeyInfoFactory;
import org.bouncycastle.jce.provider.BouncyCastleProvider;

import java.security.Security;
import java.security.PrivateKey;
import java.security.spec.PKCS8EncodedKeySpec;
import java.security.KeyFactory;

// 注册BouncyCastle提供者
Security.addProvider(new BouncyCastleProvider());

// 解析PKCS#1私钥
RSAPrivateKey pkcs1Key = RSAPrivateKey.getInstance(privateKeyBytes);
RSAPrivateKeyParameters keyParams = new RSAPrivateKeyParameters(
    pkcs1Key.getModulus(), pkcs1Key.getPrivateExponent()
);

// 转换为PKCS#8格式
org.bouncycastle.asn1.pkcs.PrivateKeyInfo pkcs8Info = PrivateKeyInfoFactory.createPrivateKeyInfo(keyParams);
byte[] pkcs8Bytes = pkcs8Info.getEncoded();

// 生成PrivateKey对象
PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(pkcs8Bytes);
PrivateKey privateKeyParent = KeyFactory.getInstance("RSA", "BC").generatePrivate(keySpec);

方案2：如果存储的是PKCS#12（PFX）文件 #

若Key Vault中存储的是带密码的PFX文件（Base64编码），用KeyStore加载：

import java.security.KeyStore;
import java.security.PrivateKey;
import java.io.ByteArrayInputStream;

// 解码Base64得到PFX字节流
byte[] pfxBytes = Base64.getDecoder().decode(privateKeyBase64);

// 加载PKCS12格式的KeyStore
KeyStore keyStore = KeyStore.getInstance("PKCS12");
// 传入PFX的密码（存储时设置的密码）
keyStore.load(new ByteArrayInputStream(pfxBytes), "your-pfx-password".toCharArray());

// 获取私钥（替换为实际的密钥别名）
PrivateKey privateKeyParent = (PrivateKey) keyStore.getKey("key-alias", "your-pfx-password".toCharArray());

方案3：改用Azure KeyClient直接获取私钥 #

避免用SecretClient存储私钥，改用KeyClient管理密钥更规范：

import com.azure.security.keyvault.keys.KeyClient;
import com.azure.security.keyvault.keys.KeyClientBuilder;
import com.azure.security.keyvault.keys.models.KeyVaultKey;
import com.azure.security.keyvault.keys.cryptography.KeyConverter;
import com.azure.identity.DefaultAzureCredentialBuilder;

import java.security.PrivateKey;

KeyClient keyClient = new KeyClientBuilder()
    .vaultUrl("https://your-vault-name.vault.azure.net/")
    .credential(new DefaultAzureCredentialBuilder().build())
    .buildClient();

KeyVaultKey key = keyClient.getKey(certificateName);
// 直接转换为Java PrivateKey对象
PrivateKey privateKeyParent = KeyConverter.toPrivateKey(key.getKey());

注意事项 #

• 确认Key Vault中存储的私钥格式：上传时检查是PKCS#1、PKCS#8还是PFX格式；
• 使用BouncyCastle时，需在项目中添加对应依赖（如Maven的bcpkix-jdk15on）。

内容的提问来源于stack exchange，提问作者Sam