Service群集节点无法从证书中获取私钥

Question

我有一个5节点服务fabric集群，运行一个应用程序。我有我的应用程序设置加密使用自签名证书。这个证书被上传到密钥库，并且我已经将这个URL输入到我的应用程序中。我可以看到cert正在我的VM上安装，运行Invoke-ServiceFabricDecryptText也会返回正确的解密值。但是，在查看我的管理控制台时，我看到了以下错误：

Error event: SourceId='System.Hosting', Property='Activation:1.0'.
There was an error during activation.Failed to ACL folders or certificates required by application. Error:0x80090014

查看节点日志，我看到这些条目与上面的错误相对应：

2016-9-7 20:09:44.541,Informational,2148,2580,Common.CryptoUtility,GetCertificate(LocalMachine, MY, FindByThumbprint:)
2016-9-7 20:09:44.541,Informational,2148,2580,Common.CryptoUtility,GetCertificate: match found: thumbprint = [thumbprint], expiration = 2017-09-02 16:08:04.000
2016-9-7 20:09:44.541,Error,2148,2580,Common.CryptoUtility,CryptAcquireCertificatePrivateKey failed. Error:0x80090014
2016-9-7 20:09:44.541,Error,2148,2580,Common.SecurityUtility,Failed to get the Certificate's private key. [thumbprint]. Error: 0x80090014
2016-9-7 20:09:44.541,Warning,2148,2580,Hosting.ProcessActivationManager,ACLing private key filename for thumbprint [thumbprint]. ErrorCode=0x80090014

我不知所措。

Answer 1

最后却成了个坏证书。我最初上传到密钥库的证书是一个现有的证书，使用的是新的-SelfSignedCertificate。然后，我通过使用Invoke-AddCertToKeyVault命令(带有-CreateSelfSignedCertificate开关)动态地将第二个键添加到Vault中，它工作了。

Answer 2

这通常意味着当前未创建群集证书。因为它的私钥是不可收回的。

如果您使用ServiceFabricRPHelpers.psm1 (Invoke-AddCertToKeyVault和-CreateSelfSignedCertificate)创建一个自签名证书，您应该知道它会创建这样的无效证书，除非安装了PSPKI3.2.5版本。即使您使用PSPKI3.2.6版本(或者没有安装PSPKI )，它也会创建无效的证书，因为ServiceFabricRPHelpers.psm1中有一个错误。我在这里解决了这个问题(但还没有合并) https://github.com/ChackDan/Service-Fabric/pull/31

作为解决办法，1.从https://pspki.codeplex.com/releases/view/625365 2安装最新的PSPKI。

一旦修复合并，我将更新这个线程..。