如何在Azure Key Vault中完整无损存储私钥？

之前操作报错/内容异常的核心原因 #

• 直接在Azure门户文本框粘贴私钥上传时，门户前端输入控件会自动格式化多行文本，插入额外空格、修改换行格式，导致存储的私钥内容被篡改。
• 不带-Raw参数执行Get-Content读取私钥时，PowerShell会把文件内容按行拆分为字符串数组，传给az cli时数组元素会被识别为独立的命令参数，因此只会识别开头的-----BEGIN PRIVATE KEY-----字段，后续密钥内容被判定为非法参数抛出unrecognized arguments报错。
• 之前参考的SecureString方案存在两个错误：一是ConvertTo-SecureString直接传入了文件路径而非文件内容，二是az cli本身不识别PowerShell的SecureString对象，直接传入该对象只会存储对象默认的字符串输出结果[System.Secure.String]，不会读取实际私钥内容。

可直接复用的正确操作 #

方案1：零转义问题的最稳妥方案（推荐） #

直接使用az cli内置的文件读取参数上传，全程不需要手动读取、转义文件内容，完全避免参数解析、格式篡改问题，存储内容和本地文件完全一致：

az keyvault secret set --name private_key --file C:\Dev\private.key --vault-name testing-kv

方案2：PowerShell读取内容后上传 #

如果需要先在脚本中处理私钥内容再上传，读取文件时必须加-Raw参数将整个文件读取为单个完整字符串，保留所有原始换行、格式，不需要转换为SecureString：

# 读取私钥为完整原始字符串，保留所有原始格式
$privateKey = Get-Content -Path C:\Dev\private.key -Raw
# 上传至Key Vault
az keyvault secret set --name private_key --value $privateKey --vault-name testing-kv

存储结果验证 #

上传完成后执行以下命令取回密钥，对比文件哈希确认内容无篡改：

# 取回存储的密钥写入本地文件
az keyvault secret show --name private_key --vault-name testing-kv --query value -o tsv > C:\Dev\retrieved_private.key
# 分别计算原文件、取回文件的SHA256哈希，哈希值完全一致即为无损存储
Get-FileHash C:\Dev\private.key
Get-FileHash C:\Dev\retrieved_private.key

注意事项 #

• 禁止通过Azure门户的Secret文本输入框直接粘贴多行私钥内容，避免前端自动格式化破坏内容。
• Azure CLI是跨平台工具，仅接受纯文本参数，不要传入PowerShell专属的SecureString、PSObject等类型对象。
• 读取多行文本类文件传给外部命令时，必须加-Raw参数读取为单个字符串，避免内容被拆分为多个参数。

内容的提问来源于stack exchange，提问作者abautista