Добрый день.

ОС: Windows 7 x32
Token: Aktiv Rutoken ECP
Crypto pro: 4.0

Пытаемся использовать подпись через MS Crypto API под сетевой службой (Network Service).
Пин-код контейнера сохраняем в контекст сертификата.
На Windows 10 x64 все отлично работает.
На Windows 7 x32 выдается ошибка:
signtsf.c:468:Cryptographic context could not be acquired.
Error number 0x80090016 (-2146893802).
Набор ключей не существует. (ошибка взята из утилиты csptest, запущенной с правами network service-а, но если вызывать через API - тоже самое).

Пробовали давать права методами:
1. https://support.cryptopr...sluzhbkh-windows-iis-etc
2. https://docs.microsoft.c...cess?redirectedfrom=MSDN

Однако, они работают только для контейнеров вроде локального диска. Для нашего сертификата не работают (никаких ошибок не возникает, однако эффекта нет).
Например, в методе из п.1. Network Service - запись на секунду появляется в списке, после подтверждения и открытия окна управления приватными ключами список разрешений возвращается в первозданное состояние.

Замечание: если в Windows 7 запустить службу с правами LocalService - все работает.

Вопрос в том, как заставить это работать на Windows 7 с правами NetworkService-а.

Спасибо.

На Network Service. Целевая служба запускается под этой учетной записью. Главный нюанс в том, что в Win10 для работы достаточно просто сохранить пин в контекст сертификата (как вариант), либо использовать прямо при подписи. Очевидно, в Win7 Network Service не может достучаться до контейнеров, расположенных на токене (не видит либо самого токена, либо контейнера). Пытался изучать разницу в работе через procmon, но не осилил.

Большое спасибо. Это помогает, НО с БОЛЬШИМ НО.
После включения работы через службу нужно обязательно хотя бы один раз "подписаться" через админскую учетную запись или Local Service-ную (ту, у которой изначально был доступ). Если этого не сделать - не работает. Перезагрузка не помогает. Более того - после перезагрузки опять потребуется один раз подписать через админскую учетку.

Т.е. в моем случае помогает включение службы и однократная подпись под другой учетной записью.
Мне трудно это объяснить, но два раза воспроизвелось именно так.

В чем может быть проблема?

Да, это правда. Без данного обращения работать не будет.
Исправить это в обозримой перспективе не представляется возможным, т.к. связано с ограничениями ОС Windows на доступ к смарт-картам.

Наша строгая рекомендация - перестать пользоваться NetworkService для работы с ключами, т.к. то, что из него удаётся получить доступ к картам в Win10 больше похоже на ошибку операционной системы, чем на новую фичу.