C#读取X509证书私钥报错：非管理员权限下已赋权仍无法访问

1. 确认私钥权限配置路径正确 #

多数用户会误配置证书本身的ACL而非私钥的专属权限，正确操作流程：

• 按下Win+R输入mmc打开控制台，点击「文件」→「添加/删除管理单元」
• 选择「证书」→「添加」→ 选择「计算机账户」→ 下一步 → 选择「本地计算机」→ 完成
• 定位到「个人」→「证书」找到目标证书，右键点击「所有任务」→「管理私钥」
• 在弹出的权限面板中添加你的普通用户账户，勾选读取权限即可，不需要完全控制
• 点击应用后重启控制台程序测试

2. 检查私钥存储类型与导入配置 #

如果你的证书使用CNG（新一代加密）存储私钥，或导入时配置错误也会导致权限不生效：

• 重新导入证书：右键证书文件选择「安装证书」→ 选择「本地计算机」→ 下一步
• 到私钥配置步骤时，勾选「允许导出私钥」以及「授予本地计算机所有用户访问私钥权限」选项
• 完成导入后重新配置私钥权限测试
• 可在代码中增加判断验证私钥存储类型：

if (cer.GetRSAPrivateKey() is RSACng cngKey)
{
    Console.WriteLine("当前私钥为CNG存储");
    // 可额外输出CNG密钥的权限信息排查
}

3. 直接验证底层私钥文件权限 #

LocalMachine级别的RSA私钥默认存储在C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys目录下：

• 找到和证书对应的私钥文件（可通过证书指纹搜索对应文件名）
• 右键文件查看「属性」→「安全」，确认你的普通用户账户拥有读取和读取并执行权限
• 如果没有手动添加后再次测试程序

4. 代码优化建议 #

你当前的代码未释放私钥资源，也没有空值判断，建议调整如下：

var store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);

X509Certificate2Collection cers = store.Certificates.Find(X509FindType.FindBySubjectName, "cert", false);
if (cers.Count > 0)
{
    X509Certificate2 cer = cers[0];
   
    try
    {
        if (cer.HasPrivateKey)
        {
            using (var rsaKey = cer.GetRSAPrivateKey())
            {
                if (rsaKey != null)
                {
                    Console.WriteLine("Private key:");
                    Console.WriteLine(rsaKey.ToXmlString(false));
                }
            }
        }
    }
    catch (CryptographicException)
    {      
        string currentUser = System.Security.Principal.WindowsIdentity.GetCurrent().Name;
        Console.WriteLine("This cert has a private key and this user, " + currentUser + ", was unable to access it.");
    }
};
store.Close();

90%以上的该类问题都是第一次配置权限时选错了入口，没有进入「管理私钥」面板配置导致的，优先验证第一步即可。

内容的提问来源于stack exchange，提问作者emaybert