如何用LocalMachine中带不可导出私钥的证书签名ClickOnce清单？

问题根源 #

LocalMachine存储的证书私钥默认受系统权限保护，普通用户进程无访问权限；同时证书私钥的访问权限可能未开放给当前用户，这就是证书放到CurrentUser存储中能正常签名的核心原因。

解决步骤 #

1. 以管理员身份运行命令行 #

无论使用Mage还是SignTool，必须右键点击命令提示符/PowerShell，选择「以管理员身份运行」后再执行签名命令——普通权限下无法访问LocalMachine存储中的证书私钥。

2. 配置证书私钥的访问权限 #

若管理员权限下仍报错，需手动开放私钥的读取权限：

• 按下Win+R，输入certlm.msc打开LocalMachine证书管理器
• 依次展开「个人」→「证书」，找到哈希值为2735a4e7135477fe264c6611a02f7e8ad7a5eab2的目标证书
• 右键证书→「所有任务」→「管理私钥」
• 在弹出的权限窗口中，添加当前用户（或运行签名命令的用户），并授予「读取」权限，保存设置

3. 修正SignTool命令参数 #

你的SignTool命令中/csp和/k参数无需额外指定（除非确认证书在特定密钥容器中），简化后的命令如下：

SignTool sign /sm /sha1 2735A4E7135477FE264C6611A02F7E8AD7A5EAB2 "C:\GMSProjects\WebSites\Website_Test\Non_Export_Local\ClickOnce\Siemens.ClickOnce_10_0_0033_0\Siemens.Gms.ApplicationFramework.exe.manifest"

/sm参数已明确指定读取LocalMachine存储，直接通过哈希定位证书即可。

4. 给Mage命令添加LocalMachine指定参数 #

Mage默认仅读取CurrentUser存储，需添加-Machine参数强制其从LocalMachine存储中查找证书：

mage -Sign "C:\GMSProjects\WebSites\Website_Test\Test_2\ClickOnce\Siemens.ClickOnce_10_0_0033_0\Siemens.Gms.ApplicationFramework.exe.manifest" -CertHash 2735a4e7135477fe264c6611a02f7e8ad7a5eab2 -Machine

同样需以管理员身份运行该命令。

验证方法 #

签名完成后，右键清单文件→属性→「数字签名」标签，确认已成功添加目标证书的签名；同时可查看证书属性的「私钥」选项卡，确认私钥仍处于「不可导出」状态。

内容的提问来源于stack exchange，提问作者Darshika Siemens