Импортированный сертификатом PS скрипт сломал закрытый ключ - PullRequest
0 голосов
/ 16 января 2019

Я выполняю интеграционные тесты CI в DevOps Azure, запуск происходит на выделенной виртуальной машине Azure с установленным агентом сборки. Эти тесты требуют, чтобы клиентский SSL-сертификат был установлен на этой виртуальной машине. На этапе сборки в CI у меня есть сценарий PS, который использует сертификат Azure KeyVault и импортирует его в LocalMachine / My store of VM. В то время как сертификат импортирован, и я вижу его в виртуальной машине, тесты из CI не с помощью сертификата. Обратите внимание, что при попытке вручную выполнить экспорт в виртуальную машину сертификат имеет параметр Экспорт с закрытым ключом , выделенный серым цветом.

Когда я запускаю тот же сценарий PS вручную с помощью виртуальной машины, а затем запускаю тесты CI (с отключенным шагом PS), тесты успешно проходят сертификат потребителя и проходят.

Что я должен изменить в своем сценарии PS ниже, чтобы он (работая удаленно) импортировал сертификат с включенной опцией Экспорт с закрытым ключом ?

$vaultName = "MyKeyVault-stest"
$secretName = "MyCertificate"

$kvSecret = Get-AzureKeyVaultSecret -VaultName $vaultName -Name $secretName
$kvSecretBytes = [System.Convert]::FromBase64String($kvSecret.SecretValueText)

$kvSecretPass = 'myPass'

#-----------------------------------------------------------------------------


$pfxCertObject=New-Object System.Security.Cryptography.X509Certificates.X509Certificate2 -ArgumentList @($kvSecretBytes, "", [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable)

$newcertbytes = $pfxCertObject.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Pkcs12, $kvSecretPass)

$newCert=New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$newCert.Import($newcertbytes,$kvSecretPass,[System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable)

#-------------------------------------------------------------------------------

$certStore = Get-Item "Cert:\LocalMachine\My"
$openFlags = [System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite
$certStore.Open($openFlags) 
$certStore.Add($newCert) 

Write-host $env:USERNAME
Write-host $(whoami)

1 Ответ

0 голосов
/ 16 января 2019

Если вы импортируете PFX, чтобы добавить его в постоянное хранилище, вы хотите указать флаг X509KeyStorageFlags.PersistKeySet. Если вы этого не сделаете, то в какой-то неопределенный момент позже сборщик мусора заметит, что никто не заботится о ключе, а затем попросит Windows удалить его ... и затем версия, добавленная в X509Store, больше не сможет найти свой ключ.

Другое чтение:

...