能否用PowerShell从已有私钥生成自签名证书？命令报错求指导

直接使用New-SelfSignedCertificate的-ExistingKey参数加载PEM格式私钥不可行，你的命令报错正是因为参数使用错误：-ExistingKey要求传入的是密钥容器名称，而非PEM文件路径，系统找不到对应容器才会抛出错误。

正确实现步骤 #

由于PowerShell原生命令不直接支持PEM私钥，需要先将PEM私钥转换为Windows兼容的格式（如PFX），再生成或导入证书：

方法1：结合OpenSSL生成并导入

1. 用现有私钥生成自签名证书（PEM格式）

openssl req -x509 -key c:\cts_privkey.pem -out c:\cts_cert.pem -days 365 -subj "/CN=example.com"

2. 将私钥和证书打包为PFX格式

openssl pkcs12 -export -in c:\cts_cert.pem -inkey c:\cts_privkey.pem -out c:\cts_cert.pfx -password pass:自定义密码

3. 用PowerShell导入PFX到本地证书存储

Import-PfxCertificate -FilePath c:\cts_cert.pfx -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString "自定义密码" -AsPlainText -Force)

方法2：导入PEM私钥到密钥容器后生成证书

如果必须使用New-SelfSignedCertificate，需要先将PEM私钥导入到CSP密钥容器：

1. 先将PEM私钥转换为PFX（步骤同方法1的前两步）
2. 导入PFX并获取密钥容器名称：

$cert = Import-PfxCertificate -FilePath c:\cts_cert.pfx -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString "自定义密码" -AsPlainText -Force)
$containerName = $cert.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName

3. 使用容器名称生成新证书：

New-SelfSignedCertificate -ExistingKey $containerName -Provider "Microsoft Enhanced RSA and AES cryptographic Provider" -DnsName "example.com" -CertStoreLocation "cert:\LocalMachine\My"

总结 #

你最初的命令因参数类型不匹配失败，必须先将PEM私钥转换为Windows支持的格式或导入到密钥容器，才能基于它生成自签名证书。

内容的提问来源于stack exchange，提问作者tks.tman