使用Import-PFXCertificate导入PFX时PrivateKey属性为空如何解决

Windows Server 2016 自带 PowerShell 5.1 依赖 .NET Framework 4.x 运行时，其 X509Certificate2 对象的 .PrivateKey 属性仅支持识别传统CSP（加密服务提供程序）存储的RSA私钥。使用原生 Import-PfxCertificate cmdlet 导入PFX时，默认会优先将私钥存入CNG（下一代加密技术）密钥存储，此时 .HasPrivateKey 属性会正常返回$true，但旧版 .PrivateKey 属性无法识别CNG密钥，直接返回$null，并非私钥导入丢失。
通过certlm.msc手动导入时，默认会兼容旧版CSP存储逻辑，因此原有读取私钥路径的命令可以正常运行。

按优先级推荐以下三种可落地的方案，均支持SecureString类型的PFX密码输入：

• 方案1：导入时指定传统CSP密钥提供程序，完全兼容原有ACL复制逻辑
  导入PFX时通过参数强制指定使用旧版RSA SChannel CSP存储私钥，导入后私钥路径、容器名读取逻辑和certlm.msc导入的效果完全一致，不需要修改后续ACL复制代码：

  Import-PfxCertificate -FilePath "C:\your_path\letsencrypt_cert.pfx" `
    -CertStoreLocation Cert:\LocalMachine\My `
    -Password $yourSecureStringPfxPassword `
    -KeyStorageProvider "Microsoft RSA SChannel Cryptographic Provider" `
    -Exportable # 按需开启，若需要后续导出私钥则添加该参数
  

• 方案2：兼容CSP/CNG双类型私钥的通用容器名读取逻辑
  不修改导入逻辑，替换原有读取私钥容器名的代码，同时支持两种存储格式的私钥定位，适配后续Windows版本的默认加密逻辑变更：

  $cert = Get-Item "Cert:\LocalMachine\My\$Thumbprint"
  if ($cert.PrivateKey) {
      # 传统CSP私钥路径
      $containerName = $cert.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName
      $privateKeyPath = Join-Path "C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys" $containerName
  }
  else {
      # CNG格式私钥路径
      $rsaKey = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
      $containerName = $rsaKey.Key.UniqueName
      $privateKeyPath = Join-Path "C:\ProgramData\Microsoft\Crypto\Keys" $containerName
  }
  # 后续对$privateKeyPath执行ACL复制操作即可
  

• 方案3：SecureString传参调用certutil导入
  如果需要保留certutil的导入行为，可以通过内存转换的方式传递SecureString密码，避免明文密码出现在命令行或日志中：

  $passwordBstr = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($yourSecureStringPfxPassword)
  try {
      $plainPassword = [System.Runtime.InteropServices.Marshal]::PtrToStringBSTR($passwordBstr)
      certutil -f -p $plainPassword -importpfx "C:\your_path\letsencrypt_cert.pfx" NoExport
  }
  finally {
      # 立即释放内存中的明文密码，避免残留
      [System.Runtime.InteropServices.Marshal]::ZeroFreeBSTR($passwordBstr)
  }
  

注意：所有导入操作请确保在管理员上下文下执行，不要切换到用户级证书存储，否则私钥不会存入MachineKeys目录，会导致系统服务、IIS等组件无法读取私钥。

内容的提问来源于stack exchange，提问作者semifrodo