如何将证书从一个 Azure Key Vault 复制到另一个？答案

【问题标题】：How to copy a certificate from one Azure Key Vault to another?如何将证书从一个 Azure Key Vault 复制到另一个？
【发布时间】：2019-08-18 10:03:54
【问题描述】：

我正在尝试将证书从一个密钥保管库复制到另一个密钥保管库，而不将其保留在本地计算机上。我看起来像 Azure KeyVault CLI 只支持这样的基于文件的证书导入：

# download cert 
az keyvault certificate download --file $certFileName --vault-name $sourceAkv -n $certName

# import cert 
az keyvault certificate import --file $certFileName --vault-name $destAkv -n $certName

有什么方法可以传递一个对象或字符串吗？在 Azure Powershell 模块中，这是可能的：

Import-AzureKeyVaultCertificate -VaultName $DestinationVaultName -Name $CertificateName -CertificateString $secretText.SecretValueText

想法？

【问题讨论】：

还有问题吗？或者如果它有帮助，你可以接受它。
所以您正在寻找使用 Azure CLI 的解决方案？

标签： azure certificate azure-keyvault

【解决方案1】：

我发现类似的东西可以在 PowerShell 中将证书和密钥导出为对象，然后将其导入另一个密钥库，而无需将其保存为临时 PFX 文件。

$CertName = 'mycert'
$SrcVault = 'mysourcekeyvault'
$DstVault = 'mydestinationkeyvault'
$cert = Get-AzKeyVaultCertificate -VaultName $SrcVault -Name $CertName
$secret = Get-AzKeyVaultSecret -VaultName $SrcVault -Name $cert.Name
$secretValueText = '';
$ssPtr = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($secret.SecretValue)
try {
    $secretValueText = [System.Runtime.InteropServices.Marshal]::PtrToStringBSTR($ssPtr)
}
finally {
    [System.Runtime.InteropServices.Marshal]::ZeroFreeBSTR($ssPtr)
}
$secretByte = [Convert]::FromBase64String($secretValueText)
$x509Cert = new-object System.Security.Cryptography.X509Certificates.X509Certificate2
$x509Cert.Import($secretByte, "", "Exportable,PersistKeySet")
Import-AzKeyVaultCertificate -VaultName $DstVault -Name $CertName -CertificateCollection $x509Cert

【讨论】：

【解决方案2】：

似乎没有办法只将证书上下文导入 Azure Keyvault，就像你说的那样。它只有依赖于证书文件的参数。

【讨论】：