Команда get-pfxCertificate не работает с действительным сертификатом, в то время как import-pfxCertificate работает.

На чтение 3 мин Опубликовано 10.01.2025

Вопрос или проблема

У меня есть файл PFX, который заведомо исправен, с правильным паролем. Я могу импортировать его, используя интерфейс сертификатов Windows или командлет import-pfxcertificate. Однако get-pfxcertificate выдает ошибку. Есть идеи?

PS > $password = read-host -AsSecureString
****************

PS > Import-PfxCertificate C:\Users\mfinnigan\Desktop\test.pfx -Password $password cert:\CurrentUser\my

   PSParentPath: Microsoft.PowerShell.Security\Certificate::CurrentUser\my

Thumbprint                                Subject              EnhancedKeyUsageList
----------                                -------              --------------------
<snip>                                    CN=<snip>            Client Authentication

PS > get-pfxCertificate C:\Users\mfinnigan\Desktop\test.pfx -Password $password
Get-PfxCertificate: An error occurred during encode or decode operation.

ОК, я нашел проблему. Хранимое значение файла закодировано в base64. Интересно, что Import-PfxCertificate может с этим справиться, предполагаю, что он выполняет декодирование, если это необходимо, тогда как get-pfxcertificate этого не делает. Было бы очень полезно, если бы эти особенности были задокументированы где-то, поэтому, надеюсь, этот вопрос-ответ будет важен для кого-то в будущем.

Ответ или решение

Проблема, которую вы описали, связана с различиями в обработке PFX-файлов командами Import-PfxCertificate и Get-PfxCertificate в PowerShell. Несмотря на то, что у вас есть проверенный PFX-файл с правильным паролем, команда Get-PfxCertificate возвращает ошибку: "An error occurred during encode or decode operation," что предполагает проблемы с кодированием или декодированием данных PFX-файла.

Основной причиной этой ошибки является то, что ваш PFX-файл закодирован в формате Base64. Интересной особенностью является то, что команда Import-PfxCertificate, похоже, автоматически обрабатывает Base64-кодированные данные, вероятно, выполняя их декодирование на лету перед импортом сертификата. С другой стороны, Get-PfxCertificate требует, чтобы на вход поступал уже декодированный PFX-файл.

Для решения этой проблемы, прежде чем использовать Get-PfxCertificate, вам необходимо вручную декодировать Base64-кодированный PFX-файл. Это можно сделать с помощью встроенной в PowerShell функциональности декодирования, например:

$base64EncodedCert = Get-Content -Path "C:\Users\mfinnigan\Desktop\test.pfx" -Raw
$decodedCert = [System.Convert]::FromBase64String($base64EncodedCert)
Set-Content -Path "C:\Users\mfinnigan\Desktop\decoded_test.pfx" -Value $decodedCert -Encoding Byte

# Теперь выполните Get-PfxCertificate на декодированном файле
Get-PfxCertificate C:\Users\mfinnigan\Desktop\decoded_test.pfx -Password $password

Этот подход позволит вам избежать ошибки кодирования/декодирования, так как вы предоставляете Get-PfxCertificate уже правильно декодированный PFX-файл.

Важно отметить, что различия в поведении команд Import-PfxCertificate и Get-PfxCertificate не задокументированы в явной форме, что создаёт сложности для пользователей, неожиданно столкнувшихся с этой проблемой. Надеемся, что в будущем документация будет дополнена этими нюансами, что сделает использование данных команд более предсказуемым.

Если у вас возникнут дальнейшие вопросы в области работы с сертификатами или PowerShell, не стесняйтесь обращаться к профессиональному сообществу или проверенным источникам, чтобы находить быстрые и эффективные решения.