无法为Microsoft Power Apps上传SSL证书：转3DES格式后仍报错

问题背景 #

我在Combell购买了通配符SSL证书，需部署到Microsoft Power Apps。由于Combell证书采用AES-256加密，不符合Power Apps要求的3DES加密标准，我通过以下OpenSSL命令将下载的.pem文件转换为3DES加密的.pfx文件：

openssl pkcs12 -keypbe PBE-SHA1-3DES -certpbe PBE-SHA1-3DES -export -in my_encrypted_pem.pem -out my_new_pkcs12.pfx -name “my-name”

转换后确认证书符合Microsoft的SSL要求，但在Power Apps管理中心上传时仍失败，系统提示“密码不正确或证书加密不受支持”（错误信息为荷兰语）。已确认密码无误且证书为3DES加密，无法定位问题，寻求解决方案。

排查与解决步骤 #

• 验证PFX文件的加密算法
  用OpenSSL命令检查生成的PFX文件实际加密算法，确认密钥和证书部分均为3DES：

  openssl pkcs12 -info -in my_new_pkcs12.pfx
  

  查看输出中的Encryption Algorithm字段，需显示PBE-SHA1-3DES。若不符，重新执行转换命令，注意使用英文双引号（原命令中的“my-name”是中文引号，可能导致参数解析错误）。

• 确认PEM文件完整性与密钥匹配
  确保.pem文件包含完整证书链（服务器证书+中间证书+根证书），且私钥与证书匹配：

  # 提取证书公钥哈希
  openssl x509 -noout -modulus -in my_encrypted_pem.pem | openssl md5
  # 提取私钥公钥哈希
  openssl rsa -noout -modulus -in my_encrypted_pem.pem | openssl md5
  

  两个命令输出的哈希值必须完全一致，否则说明私钥与证书不匹配，需重新从Combell获取正确的证书文件。

• 重新生成PFX文件，优化参数
  尝试简化参数并明确指定消息认证算法，避免潜在兼容性问题：

  openssl pkcs12 -export -in my_encrypted_pem.pem -out my_new_pkcs12.pfx -keypbe PBE-SHA1-3DES -certpbe PBE-SHA1-3DES -macalg SHA1
  

  添加-macalg SHA1可适配部分对消息认证码有严格要求的系统。

• 排除密码编码问题
  荷兰语环境下可能存在特殊字符编码冲突，尝试使用纯英文数字组成的密码重新生成PFX文件，再进行上传测试。

内容的提问来源于stack exchange，提问作者lucasov_appsaloon