使用Import-AzKeyVaultCertificate的-CertificateString参数导入证书报错

你遇到的错误核心是Base64字符串格式不符合Azure Key Vault的解析要求——虽然证书本身有效（手动导入正常），但Base64转换或读取过程中可能引入了无效字符，导致Key Vault无法识别证书格式。以下是具体原因和修复方案：

常见原因1：Base64字符串包含换行符 #

使用Out-File导出Base64字符串时，默认会在字符串末尾添加换行符，长Base64内容还可能被自动换行。这些换行符会被Key Vault判定为无效格式，触发400错误。

修复方法： #

转换时添加-NoNewLine参数避免生成换行：

$fileContentBytes = Get-Content ".\myCert.pfx" -Encoding Byte
[System.Convert]::ToBase64String($fileContentBytes) | Out-File ".\pfx-base64.txt" -NoNewLine

如果已经生成了带换行的文件，读取时清除所有空白字符（换行、空格等）：

$certString = (Get-Content ".\pfx-base64.txt" -Raw) -replace '\s', ''

常见原因2：手动复制字符串时引入截断或格式错误 #

如果是手动复制pfx-base64.txt中的内容到命令行，很可能不小心截断了字符串，或者引入了空格、换行等无效字符，导致证书内容不完整。

修复方法： #

不要手动复制，直接通过PowerShell读取文件内容并传入参数，避免人为操作失误：

$Secure_String_Pwd = ConvertTo-SecureString "MySecretPassword" -AsPlainText -Force
$certString = (Get-Content ".\pfx-base64.txt" -Raw) -replace '\s', ''
Import-AzKeyVaultCertificate -VaultName "MyKeyVault" -Name "cert-signing" -CertificateString $certString -Password $Secure_String_Pwd

额外验证步骤 #

可以先验证Base64字符串是否能正确还原为PFX文件，确认转换过程没有问题：

$testBytes = [System.Convert]::FromBase64String($certString)
[IO.File]::WriteAllBytes(".\test-restored.pfx", $testBytes)

如果还原后的PFX能正常打开（输入密码后无错误），说明Base64字符串是有效的，此时再重新执行导入命令即可。

内容的提问来源于stack exchange，提问作者Vivendi