创建RSACng时密钥创建参数作用及CngKeyCreationOptions相关疑问

CngKeyCreationParameters 的核心作用 #

CngKeyCreationParameters 是 .NET 加密库中为 CNG (Cryptography Next Generation) 体系密钥创建提供配置的参数容器，你可以通过它指定密钥的存储位置、读写权限、生命周期规则、导出限制等属性，确保最终创建的密钥符合业务安全和使用场景要求。

CngKeyCreationOptions 各枚举值的实际含义 #

该枚举支持按位或组合多个选项，常用值的具体作用如下：

• None：默认配置，无特殊规则。密钥默认存储到当前用户的私有密钥存储区，创建时如果存在同名密钥直接抛出冲突异常。
• MachineKey：将密钥存储到本地计算机的全局密钥存储区，而非当前用户的私有存储区。
• OverwriteExistingKey：创建时如果目标存储区已存在同名密钥，直接覆盖原有密钥，不抛出冲突异常。
• Exportable：标记密钥为可导出状态，后续可以导出私钥明文；不设置该选项时，私钥创建后无法导出，只能在对应存储区中使用。
• UseProtectedKey：使用 DPAPI 对密钥做额外加密保护，只有对应安全上下文（创建密钥的用户/机器）才能解密读取密钥内容。
• RequireVBS：要求密钥必须存储在基于虚拟化的安全（VBS）隔离区域中，实现硬件级别的密钥防窃取。
• UseArchivableKey：允许密钥被系统归档，方便后续密钥丢失后的恢复操作。

创建新密钥时提示密钥已存在的原因 #

CNG 密钥支持自定义命名持久化存储，只要你创建密钥时指定了 KeyName 参数，系统会先在你指定的存储区（用户私有区/机器全局区）检索是否存在同名的密钥：

• 只要检索到同名密钥且你没有开启 OverwriteExistingKey 选项，就会抛出已存在的异常。
• 常见触发场景包括：之前运行同逻辑代码创建过同名密钥未清理、其他程序使用了相同的密钥名、创建机器级密钥时全局存储区已有其他用户创建的同名密钥。

注意：用户私有存储区和机器全局存储区是完全隔离的，两个存储区之间的同名密钥不会冲突。

选项对密钥创建过程的影响 #

不同选项会直接改变创建时的校验逻辑和最终密钥的属性：

1. OverwriteExistingKey 开关的影响
   未开启时，创建前会先做同名密钥校验，存在则直接终止创建流程并抛出 CryptographicException；开启后会跳过冲突校验，直接覆盖原有同名密钥。
2. MachineKey 开关的影响
   开启时系统会尝试写入机器全局存储区，如果当前进程没有管理员权限，会直接抛出权限不足异常；创建完成后的密钥对所有登录该设备的用户可见，只有你创建时指定了访问权限的用户可以读写私钥，适合服务、后台进程等需要跨用户调用密钥的场景。
3. 多选项组合的影响
   你可以通过按位或组合多个选项，比如 CngKeyCreationOptions.OverwriteExistingKey | CngKeyCreationOptions.MachineKey 就代表：强制写入全局存储区，遇到同名密钥直接覆盖。

内容的提问来源于stack exchange，提问作者lee23