NCryptImportKey 函数 （ncrypt.h）

NCryptImportKey 函数从内存 BLOB 导入加密 API：下一代（CNG）密钥。

语法

SECURITY_STATUS NCryptImportKey(
  [in]           NCRYPT_PROV_HANDLE hProvider,
  [in, optional] NCRYPT_KEY_HANDLE  hImportKey,
  [in]           LPCWSTR            pszBlobType,
  [in, optional] NCryptBufferDesc   *pParameterList,
  [out]          NCRYPT_KEY_HANDLE  *phKey,
  [in]           PBYTE              pbData,
  [in]           DWORD              cbData,
  [in]           DWORD              dwFlags
);

参数

[in] hProvider

密钥存储提供程序的句柄。

[in, optional] hImportKey

加密导入密钥 BLOB 中的密钥数据的加密密钥的句柄。 这必须是 NCryptExportKey 函数的 hExportKey 参数中传递的同一密钥的句柄。 如果此参数为 NULL，则假定密钥 BLOB 未加密。

[in] pszBlobType

一个以 null 结尾的 Unicode 字符串，其中包含指定密钥 BLOB 格式的标识符。 这些格式特定于特定的密钥存储提供程序。 有关Microsoft提供程序支持的 BLOB 格式，请参阅 “备注”。

[in, optional] pParameterList

指向包含密钥参数信息的缓冲区数组的 NCryptBufferDesc 结构的地址。

[out] phKey

接收密钥句柄 的NCRYPT_KEY_HANDLE 变量的地址。 使用此句柄后，请将其传递给 NCryptFreeObject 函数来释放它。

[in] pbData

包含要导入的密钥 BLOB 的缓冲区的地址。 cbData 参数包含此缓冲区的大小。

[in] cbData

pbData 缓冲区的大小（以字节为单位）。

[in] dwFlags

修改函数行为的标志。 这可以是零，也可以是以下一个或多个值的组合。 有效标志集特定于每个密钥存储提供程序。

返回值

返回一个状态代码，指示函数的成功或失败。

可能的返回代码包括但不限于以下代码：

注解

服务不得从其 StartService 函数调用此函数。 如果服务从 其 StartService 函数调用此函数，可能会发生死锁，并且服务可能会停止响应。

以下部分介绍特定于Microsoft密钥存储提供程序的行为：

• Microsoft软件 KSP
• Microsoft智能卡 KSP

Microsoft软件 KSP

pszBlobType 参数Microsoft软件 KSP 支持以下常量。

如果未提供密钥名称，则 Microsoft Software KSP 会将密钥视为临时密钥，并且不会永久存储密钥。 对于 NCRYPT_OPAQUETRANSPORT_BLOB 类型，密钥名称在导出时存储在 BLOB 中。 对于其他 BLOB 格式，名称可以在 pParameterList 参数中的NCRYPTBUFFER_PKCS_KEY_NAME缓冲区参数中提供。

在 Windows Server 2008 和 Windows Vista 上，只有导入为 PKCS #7 信封 BLOB（NCRYPT_PKCS7_ENVELOPE_BLOB）或 PKCS #8 私钥 BLOB（NCRYPT_PKCS8_PRIVATE_KEY_BLOB）的密钥才能使用上述方法持久保存。 若要在这些平台上持久保存通过其他 BLOB 类型导入的密钥，请使用 密钥导入和导出中记录的方法。

ML-KEM 和 ML-DSA 密钥支持以下 BLOB 类型：

此 KSP 支持以下标志。

Microsoft智能卡 KSP

此 KSP 支持的关键 BLOB 格式和标志集与 Microsoft 软件 KSP 支持的集相同。

在 Windows Server 2008 和 Windows Vista 上，Microsoft智能卡 KSP 将所有密钥导入Microsoft软件 KSP。 因此，无法使用此 API 将密钥保存到智能卡上，在尝试将密钥保存在 Microsoft Software KSP 中时，上述部分中的指南适用。

在 Windows Server 2008 R2 和 Windows 7 上，Microsoft智能卡密钥存储提供程序可以将私钥导入智能卡，前提是满足以下条件：

• 卡上的密钥容器名称有效。
• 智能卡支持导入私钥。
• 以下两个注册表项设置为 DWORD：0x1
  • HKLM\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\Microsoft Base Smart Card Crypto Provider\AllowPrivateExchangeKeyImport
  • HKLM\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\Microsoft Base Smart Card Crypto Provider\AllowPrivateSignatureKeyImport

如果密钥容器名称为 NULL，Microsoft智能卡 KSP 会将密钥视为临时密钥，并将其导入Microsoft软件 KSP。

VBS 密钥的其他硬件要求

尽管计算机上安装了适当的 OS，但必须满足以下附加硬件要求才能使用 VBS 生成和保护密钥。

• 已启用 VBS （请参阅基于虚拟化的安全性 （VBS）
• 已启用 TPM
  • 对于裸机环境，需要 TPM 2.0。
  • 对于 VM 环境，支持 vTPM（虚拟 TPM）。
• BIOS 应使用 SecureBoot 配置文件升级到 UEFI

有关硬件要求的详细信息：

• VBS 需要运行多个硬件要求，包括 Hyper-V（Windows 虚拟机监控程序）、64 位体系结构和 IOMMU 支持。 可在 此处找到 VBS 硬件要求的完整列表。
• 可在此处找到高度安全的设备的要求。

要求

另请参阅

NCryptBuffer

NCryptCreatePersistedKey