以Windows服务运行时无法建立HTTPS连接问题求助

问题详情 #

两款基于ASP.NET Core 3.1开发的应用：

• 接口软件：通常以Windows服务运行，使用Kestrel Web服务器
• 模拟器：用于测试上述接口服务，同样基于Kestrel

共同特性：

• 可互相作为客户端与服务器进行通信
• 自动从当前用户或本地计算机证书存储中选择合适证书

已生成localhost自签名证书并安装至Local Machine\Root CA中。

异常现象：

• 两款应用以普通进程运行时，双向通信完全正常
• 接口软件以Windows服务启动后，模拟器可正常连接接口，但接口通过继承System.ServiceModel.ClientBase<T>的客户端连接模拟器时失败，报错：

Could not establish trust relationship for the SSL/TLS secure channel with authority 'localhost:44357'

原因分析 #

Windows服务默认以Local System账户运行，该账户的证书信任上下文与当前登录用户不同。尽管自签名证书已安装在本地计算机根证书存储，但WCF客户端在Local System账户环境下验证证书时，可能无法正确读取或信任该证书。

解决步骤 #

1. 给Local System账户授予证书读取权限 #

• 打开certlm.msc（本地计算机证书管理器）
• 定位到Local Machine\Root下的localhost自签名证书，右键选择所有任务→管理私钥
• 添加NT AUTHORITY\SYSTEM账户，勾选读取权限

2. 测试环境下临时绕过证书验证 #

仅适用于测试场景，在WCF客户端初始化前添加证书验证回调：

System.Net.ServicePointManager.ServerCertificateValidationCallback += 
    (sender, cert, chain, sslPolicyErrors) => 
    {
        // 仅信任目标localhost自签名证书
        return cert.Subject.Equals("CN=localhost") && sslPolicyErrors == System.Net.Security.SslPolicyErrors.None;
    };

3. 配置WCF客户端使用本地计算机证书存储 #

修改WCF客户端配置文件，确保其从本地计算机存储读取证书：

<behaviors>
  <endpointBehaviors>
    <behavior name="ClientBehavior">
      <clientCredentials>
        <clientCertificate storeLocation="LocalMachine" storeName="My" x509FindType="FindBySubjectName" findValue="localhost" />
        <serviceCertificate>
          <authentication certificateValidationMode="PeerTrust" />
        </serviceCertificate>
      </clientCredentials>
    </behavior>
  </endpointBehaviors>
</behaviors>

4. 更换服务运行账户 #

将Windows服务的运行账户改为Network Service，该账户对本地证书存储的访问权限更适配此类场景，且安全性优于Local System账户。

内容的提问来源于stack exchange，提问作者Paul