无需OpenSSL：导出带私钥的Base64编码X.509证书及PFX转PEM方案

一、把带私钥的Root CA（.cer关联私钥）导出为Base64编码的PEM格式 #

先澄清个关键点：.cer文件本身只存储证书公钥部分，你提到的“带私钥的Root CA证书”应该是指该证书对应的私钥已存在Windows证书存储中（比如本地计算机的根证书库）。MMC导出失败的话，用PowerShell会更靠谱，步骤如下：

1. 定位目标证书的指纹（Thumbprint）
   以管理员身份打开PowerShell，执行命令找到你的CA证书：

   Get-ChildItem -Path Cert:\LocalMachine\Root | Where-Object { $_.Subject -match "你的CA证书主题名" }
   

   把你的CA证书主题名换成实际内容（比如CN=My Internal Root CA），输出里的Thumbprint字段就是证书的唯一标识，复制下来备用。

2. 导出包含私钥的临时PFX文件
   用刚才的指纹导出带私钥的PFX（需要设置一个临时密码保护文件）：

   $cert = Get-ChildItem -Path Cert:\LocalMachine\Root\你的证书指纹
   Export-PfxCertificate -Cert $cert -FilePath "C:\temp\root_ca_temp.pfx" -Password (ConvertTo-SecureString "临时密码" -AsPlainText -Force)
   

3. 转换为Base64编码的PEM格式
   继续用PowerShell读取临时PFX，输出标准PEM格式：

   # 读取PFX字节数据
   $pfxBytes = Get-Content -Path "C:\temp\root_ca_temp.pfx" -Encoding Byte
   # 转换为带换行的Base64
   $base64Pfx = [System.Convert]::ToBase64String($pfxBytes, [System.Base64FormattingOptions]::InsertLineBreaks)
   # 组合成PEM格式并保存
   @"
   -----BEGIN PRIVATE KEY-----
   $base64Pfx
   -----END PRIVATE KEY-----
   "@ | Out-File -Path "C:\temp\root_ca_with_key.pem" -Encoding ASCII
   

   如果需要同时包含证书和私钥的完整PEM，追加证书部分即可：

   $certBase64 = [System.Convert]::ToBase64String($cert.RawData, [System.Base64FormattingOptions]::InsertLineBreaks)
   @"
   -----BEGIN CERTIFICATE-----
   $certBase64
   -----END CERTIFICATE-----
   -----BEGIN PRIVATE KEY-----
   $base64Pfx
   -----END PRIVATE KEY-----
   "@ | Out-File -Path "C:\temp\root_ca_full.pem" -Encoding ASCII
   

二、Windows下无需OpenSSL将PFX转PEM格式 #

这里提供两种实用方法，均为Windows自带工具：

方法1：PowerShell一键脚本 #

这个脚本可以直接提取PFX里的证书和私钥，输出标准PEM文件：

# 配置参数，替换成你的路径和密码
$pfxFilePath = "C:\your\path\cert.pfx"
$pfxPassword = "你的PFX保护密码"
$outputPemPath = "C:\your\output\cert_full.pem"

# 加载PFX文件（确保私钥可导出）
$securePwd = ConvertTo-SecureString $pfxPassword -AsPlainText -Force
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2(
    $pfxFilePath, 
    $securePwd, 
    [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable
)

# 提取证书的Base64编码
$certBase64 = [System.Convert]::ToBase64String($cert.RawData, [System.Base64FormattingOptions]::InsertLineBreaks)
# 提取私钥的Base64编码（PKCS#8通用格式）
$privateKeyBytes = $cert.PrivateKey.ExportPkcs8PrivateKey()
$privateKeyBase64 = [System.Convert]::ToBase64String($privateKeyBytes, [System.Base64FormattingOptions]::InsertLineBreaks)

# 组合成完整的PEM内容
$pemContent = @"
-----BEGIN CERTIFICATE-----
$certBase64
-----END CERTIFICATE-----
-----BEGIN PRIVATE KEY-----
$privateKeyBase64
-----END PRIVATE KEY-----
"@

# 保存到文件
$pemContent | Out-File -Path $outputPemPath -Encoding ASCII

运行前记得替换参数里的路径和密码，以管理员身份运行PowerShell即可。

方法2：使用内置certutil命令 #

certutil是Windows自带的证书管理工具，也能完成转换，不过默认只导出证书部分：

:: 第一步：把PFX转成DER格式临时文件
certutil -encodehex -f "C:\your\path\cert.pfx" "C:\temp\cert.der" 0x00000001

:: 第二步：把DER转成Base64 PEM
certutil -encode "C:\temp\cert.der" "C:\your\output\cert.pem"

如果需要提取私钥，还是推荐PowerShell方法，因为certutil提取私钥的步骤相对繁琐。

小提示 #

• MMC导出失败通常是因为没有私钥访问权限，或者私钥被标记为不可导出。此时PowerShell需要管理员权限，并且可以在MMC里右键证书→所有任务→管理私钥，给当前用户添加读取权限。
• 如果需要RSA特定格式的私钥（头部是BEGIN RSA PRIVATE KEY），可以把脚本里的ExportPkcs8PrivateKey()换成ExportRSAPrivateKey()。

内容的提问来源于stack exchange，提问作者Prakash