azure - Service Fabric 群集节点无法从证书获取私钥

Question

我有一个运行单个应用程序的 5 节点服务结构集群。我使用自签名证书对我的应用程序设置进行了加密。该证书已上传到 keyvault，并且我已将此 URL 馈送到我的应用程序中。我可以看到证书正在我的虚拟机上安装，并且运行 Invoke-ServiceFabricDecryptText 也会返回正确的解密值。但是，当查看我的管理控制台时，我看到以下错误:

Error event: SourceId='System.Hosting', Property='Activation:1.0'.
There was an error during activation.Failed to ACL folders or certificates required by application. Error:0x80090014

查看节点日志，我看到这些与上述错误相对应的条目:

2016-9-7 20:09:44.541,Informational,2148,2580,Common.CryptoUtility,GetCertificate(LocalMachine, MY, FindByThumbprint:)
2016-9-7 20:09:44.541,Informational,2148,2580,Common.CryptoUtility,GetCertificate: match found: thumbprint = [thumbprint], expiration = 2017-09-02 16:08:04.000
2016-9-7 20:09:44.541,Error,2148,2580,Common.CryptoUtility,CryptAcquireCertificatePrivateKey failed. Error:0x80090014
2016-9-7 20:09:44.541,Error,2148,2580,Common.SecurityUtility,Failed to get the Certificate's private key. [thumbprint]. Error: 0x80090014
2016-9-7 20:09:44.541,Warning,2148,2580,Hosting.ProcessActivationManager,ACLing private key filename for thumbprint [thumbprint]. ErrorCode=0x80090014

我迷茫了。

Answer 1

最终成为一个糟糕的证书。我最初上传到 Keyvault 的证书是使用 Posh 中的 New-SelfSignedCertificate 的现有证书。然后，我通过使用 Invoke-AddCertToKeyVault 命令和 -CreateSelfSignedCertificate 开关动态添加第二个 key 保管库，它成功了。