使用Azure应用认证+Python连接SharePoint证书格式报错排查

核心错误原因 #

你遇到的ValueError: Could not deserialize key data和error:0480006C:PEM routines::no start line，本质是当前使用的PEM文件只包含证书公钥，缺少私钥部分。office365库的客户端证书认证需要同时拥有证书和对应的私钥才能完成签名验证。

你之前通过Export-Certificate+certutil导出的PEM只是证书本身（公钥），没有包含创建证书时生成的私钥，所以库无法解析出用于身份验证的密钥数据。

修正步骤 #

方法1：将PFX转换为包含私钥的PEM文件 #

使用OpenSSL工具把已有的PFX文件（带私钥）转换为包含私钥和证书的完整PEM文件：

openssl pkcs12 -in "d:\azure cert\mycertificate.pfx" -out "d:\azure cert\mycertificate_with_key.pem" -nodes

• -nodes参数表示不加密私钥，避免后续代码中额外处理密码（若需加密可去掉该参数，同时在代码里补充密码参数）。
• 执行后生成的PEM文件会同时包含-----BEGIN PRIVATE KEY-----和-----BEGIN CERTIFICATE-----两个块。

方法2：直接使用PFX文件并指定密码 #

若不想转换格式，可直接使用原始PFX文件，在代码中补充证书密码参数：

from office365.runtime.auth.client_credential import ClientCredential
from office365.sharepoint.client_context import ClientContext
import os 

def create_client_with_private_key():
    cert_credentials = {
        'tenant': tenant,
        'client_id': appid,
        'thumbprint': thumb,
        'cert_path': path,
        'cert_password': '你的PFX密码'  # 替换为创建PFX时设置的密码
    }
    return ClientContext(siteurl).with_client_certificate(**cert_credentials)

siteurl = 'https://mytenant.sharepoint.com/sites/mysite'
appid = '<AppID guid>'
tenant = '<TenantID>'
thumb = '<certificate thumbprint>'
path = "d:\azure cert\mycertificate.pfx"  # 使用PFX文件路径

ctx = create_client_with_private_key()
current_web = ctx.web.get().execute_query()
print("{0}".format(current_web.url))

额外验证点 #

1. 确认Azure应用注册中的证书配置：
   • 你通过New-AzureADApplicationKeyCredential上传的证书公钥是正确的，需确保证书有效期与设置的EndDate一致。
2. 检查证书指纹：
   • 代码中填写的thumb必须与证书指纹完全一致（注意去掉Windows证书管理器中显示的指纹空格，大小写需匹配）。

内容的提问来源于stack exchange，提问作者Robbert