.NET 5/6中导入带私钥X509证书时指定密钥存储提供程序

问题根源在于你混用了传统CSP体系（RSACryptoServiceProvider、CspParameters）和CNG KSP体系（Microsoft Key Storage Provider属于CNG范畴），两者不兼容，直接在CspParameters里指定KSP名称必然报错。要使用Microsoft Key Storage Provider，需全程基于CNG相关API实现：

具体步骤与代码 #

1. 将内存中的RsaCng密钥持久化到Microsoft Key Storage Provider的密钥容器中
2. 将持久化的CNG密钥与证书绑定
3. 导入带私钥的证书到Windows证书存储

using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;

// 假设myRsaCngKey是你内存中的RsaCng实例，cert是从CA获取的无关联私钥的证书
var cngKeyParams = new CngKeyCreationParameters
{
    Provider = CngProvider.MicrosoftSoftwareKeyStorageProvider, // 指定目标KSP
    KeyCreationOptions = CngKeyCreationOptions.MachineKey, // 对应原代码的机器级存储
    ExportPolicy = CngExportPolicies.None, // 对应原代码的不可导出设置
    KeyUsage = CngKeyUsages.AllUsages,
    Parameters =
    {
        new CngProperty("Length", BitConverter.GetBytes(2048), CngPropertyOptions.None) // 密钥长度需与原密钥一致
    }
};

// 生成持久化CNG密钥容器并导入内存中的RSA密钥参数
var exportedParams = myRsaCngKey.ExportParameters(true);
using var cngKey = CngKey.Create(CngAlgorithm.Rsa, Guid.NewGuid().ToString(), cngKeyParams);
using var tempRsa = new RSACng(cngKey);
tempRsa.ImportParameters(exportedParams);

// 绑定证书与CNG私钥
using var certWithPrivateKey = cert.CopyWithPrivateKey(tempRsa);

// 导入到Windows证书存储（示例为本地机器的Personal存储）
using var store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadWrite);
store.Add(certWithPrivateKey);
store.Close();

关键说明 #

• CngProvider.MicrosoftSoftwareKeyStorageProvider是"Microsoft Key Storage Provider"的官方CNG标识
• 必须通过CngKey.Create创建持久化密钥容器，证书存储只能识别持久化到KSP中的密钥，内存级RsaCng无法直接关联
• 若需使用硬件密钥存储（如HSM），可替换CngProvider为对应硬件KSP的标识

内容的提问来源于stack exchange，提问作者lee23