基于Azure Key Vault的PKI客户端证书签发技术咨询

问题背景 #

我需要签发用于身份认证的客户端证书，需用根证书或中间证书签名，因此要安全存储签名证书。我用Azure订阅的Azure Key Vault存储证书，原本以为签名证书不会出现在本地机器（甚至不会短暂驻留内存），但发现Azure Key Vault不对证书对象提供类似Key资源的加密操作，必须从Vault下载完整证书，导致私钥离开“安全位置”。我对这种“安全性”存疑，认为私钥不应被导出，但当前确实可以导出。

我需要.NET解决方案，已查阅Azure SDK for .Net和Azure Key Vault REST API，但未找到所需功能。是否找错了方向，或者Azure Key Vault本就不支持这种用法？

最初设想的简化流程（暂不涉及服务认证）：

1. 在Vault中创建根证书（或根证书与中间证书）
2. 创建密钥对（例如使用RSA.Create()）
3. 创建证书请求（例如使用System.Security.Cryptography.X509Certificates.CertificateRequest）
4. 通过Azure SDK（或同类工具）将请求发送至Vault，由根证书（或中间证书）签名
5. 获取已签名的请求并生成已签名的客户端证书

但目前看来该流程无法实现。

核心结论 #

Azure Key Vault 不支持直接使用存储的证书私钥对外部生成的CSR（证书签名请求）进行签名，这是由证书资源的设计逻辑决定的：证书私钥仅用于与自身绑定的生命周期操作，无法像Key资源那样暴露通用签名API。不过可以通过以下两种方案实现安全的客户端证书签发。

方案1：完全在Key Vault内生成客户端证书（推荐） #

此方案全程由Key Vault处理密钥生成与签名，私钥始终留在Vault中，无需导出，安全性最高：

• 在Vault中创建根/中间证书时，设置Exportable = false，确保私钥无法导出
• 通过Azure SDK for .NET的CertificateClient提交客户端证书创建请求，指定用Vault内的根/中间证书作为签发者
• Key Vault自动完成密钥对生成、签名流程，返回仅含公钥的客户端证书（若需客户端使用私钥，可配置为允许导出，但建议仅在必要时开启）

示例代码片段：

using Azure.Security.KeyVault.Certificates;
using Azure.Identity;

var vaultUri = new Uri("https://your-vault-name.vault.azure.net/");
var client = new CertificateClient(vaultUri, new DefaultAzureCredential());

// 定义客户端证书策略，指定签发者为Vault内的根证书
var certPolicy = new CertificatePolicy(
    issuerName: "Self",
    subject: "CN=ClientAuthCertificate"
)
{
    IssuerCertificateName = new CertificateName("YourRootCertificateName"), // Vault中根证书的名称
    Exportable = false, // 禁止导出客户端证书私钥
    KeyType = KeyType.Rsa,
    KeySize = 2048,
    ValidityInMonths = 12
};

// 发起证书创建异步请求
var createOperation = await client.StartCreateCertificateAsync("ClientAuthCert", certPolicy);
await createOperation.WaitForCompletionAsync();

// 获取生成的客户端证书
var certificate = await client.GetCertificateAsync("ClientAuthCert");

方案2：用Key Vault的Key资源模拟CSR签名（自定义场景） #

若必须本地生成CSR，可将根证书的私钥以Key资源形式存储在Vault中（导入时设置Exportable = false），调用Key的签名API完成CSR签名：

1. 提取根证书的私钥（仅执行一次，导入后删除本地私钥），以PKCS#8格式导入到Key Vault作为Key资源
2. 本地生成密钥对和CSR（使用CertificateRequest类）
3. 提取CSR中待签名的TBSCertificate部分（ASN.1 DER编码）
4. 使用KeyClient调用SignAsync方法，用Vault中的私钥对该部分签名
5. 手动将签名结果组装为完整的X.509客户端证书

注意：此方案需要手动处理X.509证书的ASN.1编码逻辑，实现复杂度较高，仅适合必须自定义CSR的场景。

安全性优化要点 #

创建根/中间证书时，务必将Exportable属性设为false，此时即使拥有Vault的管理员权限，也无法导出私钥，彻底避免私钥离开安全边界。之前能导出私钥是因为创建证书时默认允许导出，调整配置即可解决安全性顾虑。

内容的提问来源于stack exchange，提问作者Apolonius