上传至Azure Key Vault的证书以机密下载后内容异常问题

当你通过Azure门户上传PFX证书到Key Vault时，Key Vault会自动拆解处理证书：它会生成包含公钥和证书链的证书对象，同时将私钥以机密对象形式存储，但这个机密里的内容并不是你上传的原始PFX文件。

具体来说，机密中存储的是经过ASN.1 DER编码的PKCS#8格式私钥，再附加证书链内容，属于PKCS#8+证书链的组合结构，和你上传的PKCS#12格式（PFX）完全不同。即便字节数一致，文件结构不匹配，自然无法直接作为PFX使用。

方法一：直接下载带私钥的PFX（推荐） #

使用CertificateClient的DownloadCertificateAsync方法，前提是上传证书时必须勾选允许导出私钥选项：

public async Task SaveCertificateWithPrivateKeyAsync(string certName)
{
    var cert = await _certificateClient.DownloadCertificateAsync(certName);
    // 如需密码保护PFX，可传入自定义密码字符串
    var pfxBytes = cert.Export(X509ContentType.Pfx);
    File.WriteAllBytes("C:\\certificates\\test.pfx", pfxBytes);
}

方法二：将机密内容转为PFX（仅当无法使用CertificateClient时） #

如果只能通过SecretClient获取内容，需要手动把PKCS#8私钥+证书链重新封装成PKCS#12格式（PFX），示例代码如下：

using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;

public async Task ConvertSecretToPfxAsync(string key, string pfxPassword)
{
    var secret = await _secretClient.GetSecretAsync(key);
    var secretBytes = Convert.FromBase64String(secret.Value.Value);
    
    // 解析PKCS#8格式私钥
    var privateKey = RSA.Create();
    privateKey.ImportPkcs8PrivateKey(secretBytes, out _);
    
    // 获取对应证书对象的证书链
    var cert = await _certificateClient.GetCertificateAsync(key);
    var certCollection = new X509Certificate2Collection(cert.Certificate);
    
    // 将私钥和证书链合并为PFX
    var pfxBytes = certCollection.Export(X509ContentType.Pfx, pfxPassword);
    File.WriteAllBytes("C:\\certificates\\test.pfx", pfxBytes);
}

上传证书到Key Vault时，必须在上传界面勾选允许导出私钥，否则无论是DownloadCertificateAsync还是手动转换，都无法获取可导出的私钥。

内容的提问来源于stack exchange，提问作者SBFrancies