Windows Server 2022上CryptAcquireContext返回0x80090016(NTE_BAD_KEYSET)问题

针对你遇到的老软件在Server 2022上调用CryptAcquireContext(&hCryptProvider, NULL, MS_STRONG_PROV, PROV_RSA_FULL, CRYPT_SILENT)返回0x80090016(NTE_BAD_KEYSET)的问题，结合Server 2022的安全与兼容性变化，给出以下可行解决方向：

• 替换旧加密服务提供者（CSP）
  MS_STRONG_PROV是较老旧的CryptoAPI CSP，Server 2022对这类旧CSP的默认支持已收紧。建议替换为更现代的兼容CSP，比如MS_ENH_RSA_AES_PROV（支持RSA和AES算法，新系统兼容性更好）。修改代码参数示例：

  // 替换原调用参数
  if (!CryptAcquireContext(&hCryptProvider, NULL, MS_ENH_RSA_AES_PROV, PROV_RSA_AES, CRYPT_SILENT)) {
      DWORD err = GetLastError();
      // 错误处理逻辑
  }
  

  该改动无需大幅重构代码，即可适配Server 2022环境。

• 检查并修复密钥容器权限
  NTE_BAD_KEYSET大多与密钥容器权限配置相关，即便使用管理员账户，Server 2022的权限模型也更严格：

  1. 打开管理员命令提示符，运行certutil -key -machine查看机器级密钥容器，或certutil -key -user查看当前用户级容器；
  2. 找到对应容器的存储文件（机器级容器在C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys目录，用户级在C:\Users\<用户名>\AppData\Roaming\Microsoft\Crypto\RSA\<用户SID>目录）；
  3. 使用icacls命令给管理员组添加完全控制权限，示例：

     icacls "C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys\abcdef123456..." /grant Administrators:F
     

• 尝试创建新密钥容器
  若原有密钥容器损坏或不存在，可添加CRYPT_NEWKEYSET标志尝试创建新容器（注意：此操作会生成空容器，若软件依赖旧容器内的密钥，需先备份原有密钥）：

  // 先尝试获取，失败则创建新容器
  if (!CryptAcquireContext(&hCryptProvider, NULL, MS_STRONG_PROV, PROV_RSA_FULL, CRYPT_SILENT)) {
      DWORD err = GetLastError();
      if (err == NTE_BAD_KEYSET) {
          if (!CryptAcquireContext(&hCryptProvider, NULL, MS_STRONG_PROV, PROV_RSA_FULL, CRYPT_SILENT | CRYPT_NEWKEYSET)) {
              // 创建失败的错误处理
          }
      }
  }
  

• 临时启用旧CSP兼容性（不推荐）
  若必须保留MS_STRONG_PROV，可通过组策略启用旧加密算法支持：

  1. 运行gpedit.msc打开本地组策略编辑器；
  2. 导航到计算机配置 > 管理模板 > 系统 > 加密；
  3. 找到“启用弱加密算法（不推荐）”策略，设置为“启用”后重启服务器。
     此方法会降低系统安全性，仅作为临时过渡方案。

内容的提问来源于stack exchange，提问作者tunafish24