Le rétablissement de la connexion à la clé privée échoue avec le message d'erreur "Cannot find object or property. 0x80092004 (-2146885628 CRYPT_E_NOT_FOUND)"

Supposons le scénario suivant :

Une autorité de certification est migré vers un autre serveur ou restauré à partir de la sauvegarde.
Un module de sécurité matériel (HSM) est utilisé pour protéger la clé privée du certificat de l'autorité de certification.
Le certificat d'autorité de certification doit maintenant être installé sur le système cible. être restauré et associé à la clé privée.
L'opération échoue avec le message d'erreur suivant :

Cannot find the certificate and private key for decryption.
CertUtil: -repairstore command FAILED: 0x80092004 (-2146885628 CRYPT_E_NOT_FOUND)
CertUtil: Cannot find object or property.

certutil ^
-csp "Utimaco CryptoServer Key Storage Provider" ^
-repairstore my 4E82984CF51ACB39D1FE1C86BB11F54BE67B85D2

Cause

Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.

L'erreur se situe dans l'environnement du Hardware Security Module ou de son Fournisseur de stockage de clés (pas de connexion à la clé privée).

Si les clés privées ne sont pas stockées sur le HSM lui-même (par ex. Thales/nCipher et Utimaco Hardware Security Module), il faut s'assurer que la clé est également disponible sur le nouveau système.

Pour les modules Utimaco Hardware Security, les fichiers de clés doivent par exemple être placés dans le dossier suivant (si la configuration par défaut reste inchangée) :

%ProgramData%\Utimaco\CNG\keys

La plupart des fabricants de HSM proposent également un outil permettant de vérifier l'accès aux clés privées, par exemple le cngtool d'Utimaco.