powershell - Windows Server 2008 R2 中的私钥被意外删除

Question

我在开发应该在其中一个步骤中安装证书的安装时遇到一个奇怪的问题。

该问题与在 Windows Server 2008 R2 上为帐户(例如 IIS_IUSRS)授予证书的私钥访问权限有关。私钥存储在位置 C:\Users\All Users\Microsoft\Crypto\RSA\MachineKeys。

自定义 C# 安装项目导入证书，并在安装过程中授予帐户访问证书私钥的权限。一段时间(2-3 秒)后，私钥文件会自动从 MachineKeys 文件夹中删除。因此，安装的 Web 应用程序无法访问特定证书并显示以下错误消息:

“System.Security.Cryptography.CryptographicException: key 集不存在”。此错误仅发生在 Windows Server 2008 R2 上，而对于 Windows Server 2003，一切正常。

我的问题是，为什么私钥会被删除，哪个进程会这样做？

谢谢

2012 年 5 月 17 日更新

我还没有找到所描述问题的解决方案，并且在我询问的其他论坛(forums.asp.net、social.msdn.microsoft.com)上也没有发布任何回复。那么，任何人都可以提出任何其他资源或建议以进一步解决此问题吗？

再次感谢

Answer 1

这也发生在我身上 - 我的安装脚本会添加证书并授予对 PK 文件的访问权限，并且该应用程序可以正常工作。后来，在我关闭 PowerShell 编辑器后，我重新启动了该应用程序，但由于找不到 key 集而失败。
在导入证书时添加 PersistKeySet 标志解决了这个问题。这是用于添加具有持久性的证书和私钥的 PowerShell 代码:

param(
    [string]$certStore = "LocalMachine\TrustedPeople",
    [string]$filename = "sp.pfx",
    [string]$password = "password",
    [string]$username = "$Env:COMPUTERNAME\WebSiteUser"
)

    function getKeyUniqueName($cert) {
         return $cert.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName
    }
    
    function getKeyFilePath($cert) {             
         return "$ENV:ProgramData\Microsoft\Crypto\RSA\MachineKeys\$(getKeyUniqueName($cert))"
    }

$certFromFile = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($filename, $password)
$certFromStore = Get-ChildItem "Cert:\$certStore" | Where-Object {$_.Thumbprint -eq $certFromFile.Thumbprint}
$certExistsInStore = $certFromStore.Count -gt 0
$keyExists = $certExistsInStore -and ($certFromStore.PrivateKey -ne $null) -and (getKeyUniqueName($cert) -ne $null) -and (Test-Path(getKeyFilePath($certFromStore)))

if ((!$certExistsInStore) -or (!$keyExists)) {

    $keyFlags = [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::MachineKeySet 
    $keyFlags = $keyFlags -bor [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::PersistKeySet
    $certFromFile.Import($filename, $password, $keyFlags)

    $store = Get-Item "Cert:\$certStore"
    $store.Open("ReadWrite")

    if ($certExistsInStore) {
        #Cert is in the store, but we have no persisted private key
        #Remove it so we can add the one we just imported with the key file
        $store.Remove($certFromStore)
    }

    $store.Add($certFromFile)
    $store.Close()

    $certFromStore = $certFromFile
    "Installed x509 certificate"
}

$pkFile = Get-Item(getKeyFilePath($certFromStore))
$pkAcl = $pkFile.GetAccessControl("Access")
$readPermission = $username,"Read","Allow"
$readAccessRule = new-object System.Security.AccessControl.FileSystemAccessRule $readPermission
$pkAcl.AddAccessRule($readAccessRule)
Set-Acl $pkFile.FullName $pkAcl
"Granted read permission on private key to web user"