使用dbAutoTrack PDFWriter签名PDF时为何报‘Keyset does not exist’异常？

基于.NET Framework 4.6和Visual Basic开发Web应用，使用dbAutoTrack的PDFWriter库生成带数字签名的PDF文件。用于签名的CA颁发证书（电子签章）以varbinary(max)格式存储在MS SQL Server数据库中，其RSA私钥大小为2048或4096位。

从数据库加载证书字节数组进行签名的代码如下：

Dim signature As New dbAutoTrack.PDFWriter.PDFDigitalSignature

signature.X509Certificate = New X509Certificate2(<certificate as byte[]>, <my password>, X509KeyStorageFlags.MachineKeySet)

signature.Date = DateTime.Now
signature.DetachSignature = False
signature.MaxSignatureSize = 6000
signature.RootTrusted = True
signature.Visible = False

Dim MergedDocument As New Document
...
MergedDocument.DigitalSignature = signature

调用MergedDocument.Generate()生成PDF时，会抛出**"Keyset does not exist"**异常。但从Windows证书存储加载证书时则无此异常，存储加载代码如下：

Dim store As X509Store = New X509Store(StoreLocation.LocalMachine)           
store.Open(OpenFlags.ReadOnly)

Dim certCollection As X509Certificate2Collection = store.Certificates
Dim currentCerts As X509Certificate2Collection = certCollection.Find(X509FindType.FindByTimeValid, DateTime.Now, False)

Dim signingCert = currentCerts.Find(X509FindType.FindByThumbprint, <certificate's thumbprint>, False)

Return signingCert(0)

已为Web应用的应用池赋予C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys文件夹的完全控制权限，但问题仍未解决。请问为何从数据库加载证书签名时会出现该异常？

核心原因 #

使用X509KeyStorageFlags.MachineKeySet从字节数组加载证书时，.NET会尝试将私钥写入机器级密钥存储，但Web应用池身份默认没有足够权限完成私钥的持久化操作——即便已赋予MachineKeys文件夹权限，私钥写入还涉及密钥容器的创建和访问控制，单纯的文件夹权限无法覆盖所有环节。而从证书存储加载时，私钥已预先存在，无需重新写入，因此不会触发权限问题。

解决步骤 #

1. 调整密钥存储标志
   将X509KeyStorageFlags.MachineKeySet替换为X509KeyStorageFlags.Exportable Or X509KeyStorageFlags.EphemeralKeySet：

   signature.X509Certificate = New X509Certificate2(<certificate as byte[]>, <my password>, X509KeyStorageFlags.Exportable Or X509KeyStorageFlags.EphemeralKeySet)
   

   • EphemeralKeySet让私钥仅保存在内存中，不写入磁盘的MachineKeys文件夹，彻底绕开磁盘写入权限问题；
   • Exportable确保私钥可被访问用于签名操作（部分库依赖此标志读取私钥）。

2. 补充应用池密钥容器权限
   如果坚持使用MachineKeySet，除了MachineKeys文件夹权限，需确保应用池身份拥有创建和访问RSA密钥容器的权限：

   • 执行命令：aspnet_regiis -pa "NetFrameworkConfigurationKey" "IIS APPPOOL\YourAppPoolName"，将YourAppPoolName替换为实际应用池名称；
   • 重启Web应用池后重试。

3. 验证证书完整性
   将从数据库读取的证书字节数组导出为.pfx文件，手动导入到证书存储验证是否能正常使用，排除证书本身损坏的可能。

内容的提问来源于stack exchange，提问作者Tony Palgr