Java Azure Function访问Key Vault证书及编码字符串转PFX/PEM方法咨询

你通过System.getenv()拿到的证书值是Key Vault自动做了Base64编码的PKCS#12（即PFX）格式二进制内容，转换步骤如下：

1. 先做Base64解码得到原始二进制证书字节流
2. 根据需要转换为PFX密钥存储对象或者导出为PEM格式

参考实现代码：

import java.util.Base64;
import java.io.ByteArrayInputStream;
import java.security.KeyStore;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import org.bouncycastle.openssl.jcajce.JcaPEMWriter;
import java.io.StringWriter;

// 读取环境变量中的编码证书
String encodedCertContent = System.getenv("你配置的Key Vault证书引用的环境变量名");
// Base64解码得到原始二进制
byte[] certBinary = Base64.getDecoder().decode(encodedCertContent);

// 方案1：直接生成PFX格式密钥存储对象
KeyStore pfxKeyStore = KeyStore.getInstance("PKCS12");
// 若证书设置了导出密码则传入密码，无密码可传null或空字符数组
pfxKeyStore.load(new ByteArrayInputStream(certBinary), null);
// 后续可直接从pfxKeyStore中提取公钥、私钥、证书链

// 方案2：转换为PEM格式证书
// 仅导出公钥证书
CertificateFactory cf = CertificateFactory.getInstance("X.509");
X509Certificate x509Cert = (X509Certificate) cf.generateCertificate(new ByteArrayInputStream(certBinary));
// 用BouncyCastle库转PEM字符串
StringWriter sw = new StringWriter();
try (JcaPEMWriter pemWriter = new JcaPEMWriter(sw)) {
    pemWriter.writeObject(x509Cert);
}
String pemCert = sw.toString();

提示：如果需要导出带私钥的PEM格式，可从上述生成的pfxKeyStore中读取对应别名的私钥条目，再用PEMWriter导出即可。

• 直接调用Azure Key Vault Java SDK获取证书：使用DefaultAzureCredential类通过托管标识完成认证，初始化CertificateClient后直接调用API拉取证书内容，不需要提前在应用配置中添加引用，适合证书需要动态更新、或者需要批量读取多个证书的场景，只需提前给托管标识授予Key Vault的证书读取权限即可。
• 导入证书到Function App私有证书存储：在Azure门户的Function App配置中，找到TLS/SSL设置，将Key Vault中的证书直接导入为应用私有证书，Java代码可直接读取系统的证书存储获取证书，不需要自行处理编码转换，适合用证书做双向TLS认证的场景。
• 证书挂载为本地文件：可在Function App配置中开启证书挂载功能，将Key Vault证书直接挂载为运行环境的本地文件，Java代码直接读取本地文件流即可加载证书，完全不需要处理编码、认证相关逻辑。

内容的提问来源于stack exchange，提问作者the_eagle