x509certificate - Service Fabric Local Cluster 无法获取证书私钥

Question

对于我尝试运行的每个使用一个或多个 SecretsCertificate 实例的 Service Fabric 应用程序，该应用程序无法在我的本地 Service Fabric 集群中启动，并在 SF 中的节点 > 应用程序上出现以下错误探索者:

• 错误事件:SourceId='System.Hosting', Property='Activation:1.0'。
激活期间出错。无法配置证书权限。错误 E_FAIL。

Service Fabric 还将一些相关项目记录到事件查看器 > 应用程序和服务日志 > Microsoft-Service Fabric > 管理部分:

• CryptAcquireCertificatePrivateKey 失败。错误:0x8009200b
• 无法获取证书的私钥文件名。错误:0x8009200b
• 所有获取私钥文件名的尝试均失败。
• 获取证书私钥失败。
• 指纹:4XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXC。错误:E_FAIL
• 获取私钥文件失败。 x509FindValue:4XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXC，x509StoreName:我的，findType:FindByThumbprint，错误 E_FAIL
• 指纹 4XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXC 的 ACLing 私钥文件名。 ErrorCode=E_FAIL
• ConfigureCertificateACLs: error=E_FAIL

我已删除并重新安装证书(已确认可在多个其他开发人员的本地 Service Fabric 集群开发环境中使用)，并将私钥设置为对 NETWORK SERVICE 具有明确的完全控制权限> 我的计算机上的用户，但没有帮助。

我已按照 this answer 中的说明进行操作尽管 SF 本地集群无法访问它，但它实际上正确地打印出了私钥详细信息。

我已经重新安装了 Microsoft Service Fabric SDK 和 Microsoft Visual Studio 2017 也没有解决这个问题。

在 C# 和 PowerShell 中重现此错误的所有尝试均无果而终，但 Service Fabric 服务似乎无法从我的证书存储访问私钥。

编辑:进一步进展，无解。

我能够使用 PowerShell Invoke-ServiceFabricDecryptText cmdlet 成功解密数据，但 SF Local Cluster 仍然有相同的错误。

我确定证书元数据中指定的文件(来自 previously referenced SO answer )PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName 在我的磁盘上的路径 C:\Documents 和Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys\ 或任何相邻路径。有人以前见过这个吗？

Answer 1

正如评论中所讨论的，该问题与(自签名)证书的创建方式有关。使用 Powershell 创建证书时，请确保使用:

So when I specified -Provider "Microsoft Enhanced Cryptographic Provider v1.0" for the New-SelfsignedCertificate command to create a cert, it works.

来源:https://github.com/Azure/service-fabric-issues/issues/235#issuecomment-292667379