TLS客户端凭据创建失败：SSPI错误10013（权限不足或凭据不可用）

Question

常见问题：在Windows平台使用SChannel（如HttpClient、WinHTTP或自定义TLS客户端）发起HTTPS请求时，偶发“TLS客户端凭据创建失败：SSPI错误10013（权限不足或凭据不可用）”。该错误并非源于网络或证书链问题，而是SChannel在调用`AcquireCredentialsHandle()`时无法访问当前用户上下文的凭据缓存（如CredCache或LSA密钥存储）。典型诱因包括：①服务以LocalSystem或NetworkService身份运行，但未启用“作为服务登录”权限且未配置用户凭据委托；②应用池/服务运行账户无交互式登录会话，导致无法初始化Schannel所需的加密子系统上下文；③启用了FIPS策略但客户端证书或密钥不满足FIPS合规要求；④多线程环境下重复/并发调用凭据初始化未加锁，引发SSPI内部状态竞争。需结合Event Viewer（Security/SChannel日志）、Process Monitor跟踪LsaLookupLogonSession调用，并验证服务账户权限与凭据生命周期管理策略。

Answer 1

```html

一、现象层：错误表征与典型日志特征

SSPI错误代码 0x80090345（十进制10013）在Windows事件查看器中常以“AcquireCredentialsHandle failed: 0x80090345”形式出现在Security或System日志中，SChannel子系统（Event ID 36870/36871）会记录“无法获取客户端凭据句柄”。该错误不伴随证书链验证失败（如0x80090325）或网络超时，表明问题发生在TLS握手前的凭据准备阶段。

二、机制层：SChannel凭据生命周期与上下文依赖

SChannel依赖Windows安全支持提供程序接口（SSPI）的凭据缓存机制：
• 用户模式凭据由LSA（Local Security Authority）管理，存储于CredCache（CredEnumerateW可枚举）；
• AcquireCredentialsHandle()需访问当前登录会话的LogonSession（通过LsaLookupLogonSession），而LocalSystem无交互式会话ID，NetworkService仅拥有受限会话上下文；
• FIPS 140-2启用后，SChannel强制使用BCRYPT_RSA_ALGORITHM等合规算法，若私钥为旧版RSA-CSP生成（非CNG密钥），将触发凭据初始化失败。

三、诊断层：四维定位法（日志+工具+策略+线程）

维度	关键工具/命令	判定依据
日志分析	Event Viewer → Security日志 + SChannel日志（启用审核策略）	查找Event ID 36870 + “Logon session not found” 或 “FIPS mode rejected key”
系统调用追踪	Process Monitor过滤：Operation is NtOpenKey AND Path contains "LSA" 或 Process Name is w3wp.exe AND Stack contains LsaLookupLogonSession	观察STATUS_NO_SUCH_LOGON_SESSION返回值

四、根因层：四大典型诱因深度解析

1. 服务账户权限缺失：LocalSystem虽权限高，但无LogonSession；NetworkService默认无“作为服务登录”权限（SeServiceLogonRight），导致LSA拒绝凭据查询。
2. 会话上下文隔离：IIS应用池以ApplicationPoolIdentity运行时，其SID动态生成且无交互会话，SChannel无法绑定到有效LogonSessionId。
3. FIPS策略冲突：注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FipsAlgorithmPolicy\Enabled = 1启用后，若客户端证书私钥为SHA1-RSA（非SHA256-RSA）或密钥长度<2048bit，则AcquireCredentialsHandle直接返回10013。
4. 并发凭据竞争：多线程反复调用AcquireCredentialsHandle未加锁，SSPI内部全局状态（如CredCache引用计数）被破坏，触发随机性失败。

五、解决方案层：分级修复策略

graph LR A[检测到10013错误] --> B{是否启用FIPS？} B -->|是| C[验证证书密钥合规性
使用certutil -dump + openssl pkey -in -text -noout] B -->|否| D[检查服务账户权限] C --> E[重签FIPS兼容证书
密钥：RSA-2048+SHA256，算法：BCRYPT_RSA_ALGORITHM] D --> F[授予SeServiceLogonRight
secedit /export /cfg policy.inf && echo “SeServiceLogonRight = *S-1-5-20” >> policy.inf] F --> G[配置凭据委托
域环境需在AD中启用“信任此计算机用于委派”] G --> H[部署单例凭据句柄缓存
全局static SECURITY_HANDLE g_hCred; 加CRITICAL_SECTION保护]

六、加固层：生产环境最佳实践清单

• 禁用IIS匿名身份验证对SChannel的影响：确保web.config中<authentication mode="Windows"/>启用；
• 使用CryptAcquireContext预检密钥容器可用性，避免运行时失败；
• 在服务启动时调用InitializeSecurityContext空握手验证凭据句柄有效性；
• 对.NET应用，强制指定ServicePointManager.SecurityProtocol = Tls12并禁用弱协议；
• 通过sc qprivs YourServiceName验证服务特权集完整性；
• 在Process Monitor中设置高级过滤：Path contains “CNG” AND Result is “NAME NOT FOUND”定位密钥存储缺失。

```