Come serializzare e deserializzare un certificato PFX in Azure Key Vault?

Question

Ho un mucchio di stringhe e certificati pfx, che voglio memorizzare in Azure Key vault, dove solo gli utenti/app consentiti potranno riceverli. Non è difficile memorizzare una stringa come Segreto, ma come posso serializzare un certificato in modo tale da poterlo recuperare e deserializzare come oggetto X509Certificate2 in C#?

Ho provato a memorizzarlo come chiave. Ecco il codice PowerShell Azure

$securepfxpwd = ConvertTo-SecureString -String 'superSecurePassword' -AsPlainText -Force 
$key = Add-AzureKeyVaultKey -VaultName 'UltraVault' -Name 'MyCertificate' -KeyFilePath 'D:\Certificates\BlaBla.pfx' -KeyFilePassword $securepfxpwd 

Ma quando ho cercato di ottenere con il metodo GetKeyAsync, non ho potuto usarlo.

Answer 1

Ecco uno script PowerShell per te. Sostituisci il percorso del file, la password, il nome del vault, il nome segreto.

$pfxFilePath = 'C:\mycert.pfx' 
$pwd = '123' 
$flag = [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable 
$collection = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2Collection 
$collection.Import($pfxFilePath, $pwd, $flag) 
$pkcs12ContentType = [System.Security.Cryptography.X509Certificates.X509ContentType]::Pkcs12 
$clearBytes = $collection.Export($pkcs12ContentType) 
$fileContentEncoded = [System.Convert]::ToBase64String($clearBytes) 
$secret = ConvertTo-SecureString -String $fileContentEncoded -AsPlainText –Force 
$secretContentType = 'application/x-pkcs12' 
Set-AzureKeyVaultSecret -VaultName 'myVaultName' -Name 'mySecretName' -SecretValue $Secret -ContentType $secretContentType 

Questa è una domanda comune, quindi la lucideremo e la rilasciamo come aiuto.

Lo script sopra rimuove la password perché non c'è alcun valore nell'avere un PFX protetto da password e quindi memorizzare la password accanto ad esso.

Answer 2

Ecco lo script per il caricamento del certificato PFX in Python usando CLI azzurro

azure keyvault secret set --vault-name <Valut name> --secret-name <Secret Name> --value <Content of PFX file> 

Ottenere il contenuto del file PFX in python

fh = open(self.getPfxFilePath(), 'rb') 
    try: 
     ba = bytearray(fh.read()) 
     cert_base64_str = base64.b64encode(ba) 
     password = self.getPassword() 
     json_blob = { 
      'data': cert_base64_str, 
      'dataType': 'pfx', 
      'password': password 
     } 
     blob_data= json.dumps(json_blob) 
     content_bytes= bytearray(blob_data) 
     content = base64.b64encode(content_bytes) 
     return content 
    finally: 
     fh.close 
    fh.close() 

Answer 3

La domanda iniziale chiesto come recuperare la stored PFX come un oggetto X509Certificate2. Utilizzando un processo Base64 simile a quello pubblicato da Sumedh Barde sopra (che ha il vantaggio di rimuovere la password), il codice seguente restituirà un oggetto X509. In un'applicazione reale, lo KeyVaultClient deve essere memorizzato nella cache se si stanno recuperando più segreti e anche i singoli segreti devono essere memorizzati nella cache.

public static async Task<X509Certificate2> GetSecretCertificateAsync(string secretName) 
{ 
    string baseUri = @"https://xxxxxxxx.vault.azure.net/secrets/"; 

    var provider = new AzureServiceTokenProvider(); 
    var client = new KeyVaultClient(new KeyVaultClient.AuthenticationCallback(provider.KeyVaultTokenCallback)); 
    var secretBundle = await KeyVaultClient.GetSecretAsync($"{baseUri}{secretName}").ConfigureAwait(false); 
    string pfx = secretBundle.Value; 

    var bytes = Convert.FromBase64String(pfx); 
    var coll = new X509Certificate2Collection(); 
    coll.Import(bytes, null, X509KeyStorageFlags.Exportable); 
    return coll[0]; 
}