为什么mage.exe需要管理特权才能访问证书，但signtool.exe不需要

Question

我正在PowerShell中执行CI构建任务，以使用signtool和mage对程序集和清单进行签名。

它工作得很好，除了我必须以管理员身份运行PowerShell才能使法师接受证书。我发现真正奇怪的是，signtool可以在没有特权的情况下使用同一证书。

证书是一个.pfx文件。

脚本：

signtool sign /f $certPath /p $certPassword /q /t $timestampUri "Example.dll"
mage -s "Example.dll.manifest" -CertFile $certPath -Password $certPassword -ti $timestampUri

没有特权：

Done Adding Additional Store
Successfully signed and timestamped: Example.dll
Unable to open certificate "D:\example.pfx":
Access denied.

具有特权：

Done Adding Additional Store
Successfully signed and timestamped: Example.dll
Example.dll.manifest successfully signed

有人知道这是怎么回事吗？

编辑：

我按照建议使用了Procmon。在CSV下登录 Procmon logs