Import-PfxCertificate导入PFX时无法定位私钥容器

两个异常现象均由旧API兼容性问题导致：

• Windows Server 2016自带PowerShell 5.1中，X509Certificate2.PrivateKey是已淘汰的兼容属性，仅支持传统CSP（加密服务提供程序）存储的密钥，完全无法识别CNG（下一代加密技术）存储的密钥。
• 使用原生Import-PfxCertificate导入PFX时，若私钥采用CNG格式（当前Let's Encrypt签发的ECC证书、新生成的RSA证书默认均使用CNG存储），系统会自动将私钥存入C:\ProgramData\Microsoft\Crypto\Keys路径；传统CSP格式的私钥才会存入C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys，这就是路径差异的来源。此时.HasPrivateKey属性会正常返回True，但.PrivateKey因无法识别CNG密钥直接返回$null。

全程不要使用已过时的.PrivateKey属性，改用官方推荐的扩展方法获取密钥信息，可同时兼容CSP、CNG两种存储模式，以及RSA、ECC两种证书类型。

1. 获取证书私钥的唯一容器名 #

$cert = Get-Item "Cert:\LocalMachine\My\$Thumbprint"

# 适配不同证书类型获取私钥对象
$privateKey = $null
try {
    $privateKey = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
}
catch {}
if (-not $privateKey) {
    try {
        $privateKey = [System.Security.Cryptography.X509Certificates.ECDsaCertificateExtensions]::GetECDsaPrivateKey($cert)
    }
    catch {}
}

# 适配不同存储模式获取唯一容器名
if ($privateKey -is [System.Security.Cryptography.RSACng] -or $privateKey -is [System.Security.Cryptography.ECDsaCng]) {
    # CNG存储密钥，对应Crypto\Keys路径
    $uniqueContainerName = $privateKey.Key.UniqueName
} else {
    # 传统CSP存储密钥，对应Crypto\RSA\MachineKeys路径
    $uniqueContainerName = $privateKey.CspKeyContainerInfo.UniqueKeyContainerName
}

2. 定位私钥文件完整路径 #

无需硬编码子路径，直接在Crypto目录下递归搜索容器名即可，自动适配两种存储位置：

$keyFullPath = Get-ChildItem -Path "C:\ProgramData\Microsoft\Crypto" -Recurse -File -Filter $uniqueContainerName | Select-Object -First 1 -ExpandProperty FullName

3. 复制旧私钥ACL到新私钥 #

拿到新私钥路径后，沿用原有ACL复制逻辑即可：

# 先通过上述相同逻辑获取旧证书私钥路径$oldKeyPath
$oldAcl = Get-Acl -Path $oldKeyPath
Set-Acl -Path $keyFullPath -AclObject $oldAcl

• 上述代码无需额外安装模块，Windows Server 2016默认环境即可直接运行。
• 导入PFX时添加-Exportable等参数不会影响密钥容器名的获取逻辑。
• 无需强行将CNG密钥转换为CSP存储，该操作会破坏密钥安全属性，且后续证书自动续期时会重复出现同类问题，兼容两种存储模式的代码可长期复用。

内容的提问来源于stack exchange，提问作者semifrodo