Die Wiederherstellung der Verbindung zum privaten Schlüssel schlägt fehl mit Fehlermeldung "Cannot find object or property. 0x80092004 (-2146885628 CRYPT_E_NOT_FOUND)"

Folgendes Szenario angenommen:

• Eine Zertifizierungsstelle wird auf einen anderen Server migriert oder aus der Sicherung wiederhergestellt.
• Zum Schutz des privaten Schlüssels des Zertifizierungsstellen-Zertifikats kommt ein Hardware Security Modul (HSM) zum Einsatz.
• Das Zertifizierungsstellen-Zertifikat soll nun auf dem Zielsystem wiederhergestellt und mit dem privaten Schlüssel verbunden werden.
• Der Vorgang schlägt mit folgender Fehlermeldung fehl:

Cannot find the certificate and private key for decryption.
CertUtil: -repairstore command FAILED: 0x80092004 (-2146885628 CRYPT_E_NOT_FOUND)
CertUtil: Cannot find object or property.

certutil ^
-csp "Utimaco CryptoServer Key Storage Provider" ^
-repairstore my 4E82984CF51ACB39D1FE1C86BB11F54BE67B85D2

Ursache

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Der Fehler ist im Umfeld des Hardware Security Moduls bzw. dessen Key Storage Provider zu suchen (keine Verbindung zum privaten Schlüssel).

Wenn die privaten Schlüssel nicht auf dem HSM selbst gespeichert werden (z.B. Thales/nCipher und Utimaco Hardware Security Module), muss sichergestellt sein, dass der Schlüssel auch auf dem neuen System verfügbar ist.

Bei Utimaco Hardware Security Modulen müssen die Schlüsseldateien beispielsweise im folgenden Ordner (wenn die Standardeinstellung unverändert bleibt) abgelegt werden:

%ProgramData%\Utimaco\CNG\keys

Die meisten HSM-Hersteller bieten auch ein entsprechendes Werkzeug an, um den Zugriff auf die privaten Schlüssel überprüfen zu können, beispielsweise bei Utimaco das cngtool.