无法将SSL证书导入IIS Docker容器，构建报错求解决方案

错误原因 #

构建报错unknown instruction: $password，核心问题是Dockerfile的换行转义处理错误：

• 已设置escape=，但PowerShell命令块的换行未用转义，导致Docker将$password`识别为独立指令
• 混用Linux风格路径（如/etc/ssl/certs/），Windows容器不兼容此类路径
• 证书存储路径错误，Windows证书存储需使用Cert:\LocalMachine\My这类格式，而非Linux式路径

修复后的完整Dockerfile #

# escape=`
FROM mcr.microsoft.com/dotnet/framework/aspnet:4.8

# 启用Web管理服务并配置远程管理
RUN powershell Install-WindowsFeature Web-Mgmt-Service; `
    New-ItemProperty -Path HKLM:\software\microsoft\WebManagement\Server -Name EnableRemoteManagement -Value 1 -Force; `
    Set-Service -Name wmsvc -StartupType automatic

# 创建管理员用户
RUN net user iisadmin Password1 /ADD
RUN net localgroup administrators iisadmin /ADD

# 创建Windows格式的目录
RUN powershell mkdir C:\volume -Force
RUN powershell mkdir C:\ssl\certs -Force

# 复制PFX证书到容器内
COPY Designvaultprivatekey.pfx C:\ssl\certs\

# 定义构建参数
ARG PFX_PASSWORD=test123

# 导入证书到Windows证书存储
RUN powershell -Command `
    $ErrorActionPreference = 'Stop'; `
    $password = ConvertTo-SecureString -String '$PFX_PASSWORD' -Force -AsPlainText; `
    Import-PfxCertificate -FilePath 'C:\ssl\certs\Designvaultprivatekey.pfx' -CertStoreLocation 'Cert:\LocalMachine\My' -Password $password;

关键修改点 #

• 换行转义：PowerShell命令块的每一行末尾添加`（与Dockerfile的escape设置匹配），确保Docker将整个命令块视为单个RUN指令
• 路径修正：将所有Linux风格路径替换为Windows容器支持的C:\开头路径
• 证书存储：使用Windows标准证书存储路径Cert:\LocalMachine\My（IIS默认使用此位置存储站点证书）
• 变量传递：直接通过$PFX_PASSWORD引用构建参数，简化变量处理逻辑

构建命令 #

使用原命令即可完成构建：

docker build --build-arg PFX_PASSWORD=test123 -t <imagename> .

额外提示 #

• 若需将证书导入到根证书存储，可将-CertStoreLocation改为Cert:\LocalMachine\Root
• 确保Designvaultprivatekey.pfx与Dockerfile在同一目录，否则需调整COPY指令的源路径
• 生产环境禁止硬编码密码，始终通过--build-arg传递敏感信息

内容的提问来源于stack exchange，提问作者sheik