我可以从Azure Key Vault创建CSR吗？

Question

在key Vault中生成公钥以及随后的CSR是否可能？我在文档中没有看到任何关于生成相应公钥的提及？（或者我只是不明白HSM的本质？）

似乎可以在其他地方创建密钥和CSR，并将私钥导入到密钥库HSM中。这显然不如在HSM之外从未存在过的私钥好。

Answer 1

下面是一种在Windows上执行此操作的方法

>

使用Azure Key Vault SDK for.NET在Azure Key Vault中的HSM中创建密钥对

// Assuming you have a keyVaultClient object using the SDK
var keyBundle = keyVaultClient.CreateKeyAsync(keyVaultUri, "myKey01", "RSA-HSM", 2048).GetAwaiter().GetResult();

获取所创建密钥对的公钥作为CSP blob

var rsaCryptoProvider = new RSACryptoServiceProvider();
var rsaParameters = new RSAParameters()
{
    Modulus = keyBundle.Key.N,
    Exponent = keyBundle.Key.E
};
rsaCryptoProvider.ImportParameters(rsaParameters);
var cspBlob = rsaCryptoProvider.ExportCspBlob(false);

[DllImport("ncrypt.dll", CharSet = CharSet.Unicode), SuppressUnmanagedCodeSecurity]
private static extern ErrorCode NCryptOpenStorageProvider(
    [Out] out SafeNCryptProviderHandle phProvider,
    string pszProviderName,
    uint dwFlags);

SafeNCryptProviderHandle providerHandle = null;
var result = NCryptOpenStorageProvider(
    out providerHandle,
    null,
    0);

b.使用NCryptImportKey（SO上的链接限制，搜索MSDN）

[DllImport("ncrypt.dll", CharSet = CharSet.Unicode), SuppressUnmanagedCodeSecurity]
private static extern int NCryptImportKey(
    SafeNCryptProviderHandle hProvider,
    IntPtr hImportKey,     // NCRYPT_KEY_HANDLE
    string pszBlobType,
    IntPtr pParameterList, // NCryptBufferDesc *
    [Out] out SafeNCryptKeyHandle phKey,
    [MarshalAs(UnmanagedType.LPArray)] byte[] pbData,
    int cbData,
    uint dwFlags);

将cspBlob从（2）导入到密钥服务提供程序中

SafeNCryptKeyHandle keyHandle;
var result = NCryptImportKey(
    providerHandle,
    IntPtr.Zero,
    "CAPIPUBLICBLOB",
    IntPtr.Zero,
    out keyHandle,
    cspBlob,
    cspBlob.Length,
    0x00000040);

c.keyHandle现在可以与CryptExportPublicKeyInfo一起使用-（SO上的链接限制，搜索MSDN）为CSR对象创建CERT_PUBLIC_KEY_INFO结构。请参阅文档中提供的示例。

填写PKCS10(CSR)的其他字段，并对其进行ASN1编码。

使用apporriate哈希html" target="_blank">算法创建（5）的编码结果的哈希。使用（1）中创建的密钥对的私钥对哈希签名

var signature=KeyVaultClient.SignAsync（KeyBundle.KeyIdentifier.Identifier,“rs256”,hash）.GetAwaiter（）.GetResult（）；