读取Azure Key Vault下载的.pfx文件时遇CryptographicException求助

问题背景 #

通过Azure CLI从Azure Key Vault下载PFX文件：

az keyvault secret download -f jul15.pfx -n dlis-api-call-xxxx --vault-name dlisIpsTrial --subscription XXXXXXX

在C#代码中尝试加载该证书时触发错误：

var handler = new WebRequestHandler();
var certificate = new X509Certificate2("jul15.pfx"); // 此处报错
handler.ClientCertificates.Add(certificate);
handler.SslProtocols = SslProtocols.Tls12;

错误信息：

System.Security.Cryptography.CryptographicException: Cannot find the requested object.

   at System.Security.Cryptography.CryptographicException.ThrowCryptographicException(Int32 hr)
   at System.Security.Cryptography.X509Certificates.X509Utils._QueryCertFileType(String fileName)
   at System.Security.Cryptography.X509Certificates.X509Certificate.LoadCertificateFromFile(String fileName, Object password, X509KeyStorageFlags keyStorageFlags)
   at System.Security.Cryptography.X509Certificates.X509Certificate2..ctor(String fileName)
   at MultiMedia.Dlis.QueryDlisTool.Program.MakeRequest(Options options, String address, Byte[] imageBytes, NormalizedRectangle_1 crop, HashSet`1 requestedOutputs) in E:\DlisIps\src\MultiMedia.Dlis.QueryDlisTool\Program.cs:line 210
   at MultiMedia.Dlis.QueryDlisTool.Program.Run(Options options, Byte[] imageBlob, NormalizedRectangle_1 crop, Dictionary`2 outputFeatures) in E:\DlisIps\src\MultiMedia.Dlis.QueryDlisTool\Program.cs:line 120

同时手动安装该PFX文件时也出现错误。

解决方案 #

1. 验证并修复PFX文件格式 #

从Azure Key Vault以Secret方式下载的PFX，可能是Base64编码的文本而非二进制PFX文件：

• 用文本编辑器打开jul15.pfx，如果显示一串Base64字符，需先解码：

  certutil -decode jul15.pfx jul15_decoded.pfx
  

  后续操作使用解码后的jul15_decoded.pfx。

2. 加载证书时指定密码与存储标志 #

Azure Key Vault中的PFX证书默认带密码，加载时必须指定正确密码，同时添加存储标志避免权限问题：

// 替换为证书对应的密码
var certPassword = "your-cert-password";
var certificate = new X509Certificate2(
    "jul15_decoded.pfx", 
    certPassword, 
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
);

3. 使用证书专用命令下载 #

如果目标是Key Vault中的Certificate资源，而非Secret，应使用专门的证书下载命令直接获取标准PFX：

az keyvault certificate download -f jul15_correct.pfx -n dlis-api-call-xxxx --vault-name dlisIpsTrial --subscription XXXXXXX --pfx --password "your-cert-password"

该命令直接生成带密码的标准二进制PFX，无需额外解码。

4. 排查手动安装错误 #

• 确认证书密码正确（创建证书时设置的密码，可通过Key Vault证书属性查看）；
• 用OpenSSL验证PFX有效性：

  openssl pkcs12 -info -in jul15_decoded.pfx
  

  若能正常输出证书信息，说明文件有效，否则需重新从Key Vault下载。

内容的提问来源于stack exchange，提问作者Sudharshann D