如何为.NET Framework 4.7.8配置Windows容器的HTTPS/SSL连接

DevOps 小满

2026-6-18

.NET Framework 4.7.8 Windows容器HTTPS访问故障解决

问题背景

我正在容器化仅支持Windows容器的旧版本.NET Framework 4.7.8应用，镜像已基于对应基础镜像构建完成，容器能正常运行。原代码web.config里的HTTPS重定向配置移除后，HTTP可以正常访问网页，但HTTPS始终无法访问。目前web.config已启用SSL，SSL证书.pfx文件已复制到容器并完成导入，确认证书已加载且SSL标志设为1，用Docker Compose部署也无法解决问题。

现有Dockerfile

# 使用Docker Hub上官方的Microsoft ASP.NET镜像  
FROM mcr.microsoft.com/dotnet/framework/aspnet:4.8-windowsservercore-ltsc2019  

# 安装额外依赖  
RUN powershell -Command \
    Install-WindowsFeature NET-Framework-45-ASPNET; \
    Install-WindowsFeature Web-Asp-Net45  

ADD https://download.microsoft.com/download/D/8/1/D81E5DD6-1ABB-46B0-9B4B-21894E18B77F/rewrite_x86_en-US.msi C:\\temp\\rewrite_x86_en-US.msi
RUN powershell -Command \
    Start-Process -Wait -FilePath \"C:\\temp\\rewrite_x86_en-US.msi\" -ArgumentList \"/quiet\"

# 设置容器内工作目录  
WORKDIR /inetpub/wwwroot  

# 复制发布后的应用文件到容器  
COPY . .  
# 复制SSL/TLS证书到容器  
COPY localhost.pfx /inetpub/wwwroot/localhost.pfx  

# 设置证书密码为环境变量  
ENV CERT_PASSWORD=*******  

# 导入SSL证书  
RUN powershell -Command ' $SecurePassword=ConvertTo-SecureString -String $env:CERT_PASSWORD -AsPlainText -Force; Import-PfxCertificate -FilePath ''C:\inetpub\wwwroot\localhost.pfx'' -CertStoreLocation Cert:\LocalMachine\My -Password $SecurePassword '

# 暴露HTTP和HTTPS端口  
EXPOSE 80 443

# 定义容器入口点  
ENTRYPOINT [\"C:\\ServiceMonitor.exe\", \"w3svc\"]

排查与修复步骤

1. 配置IIS站点HTTPS绑定

现有Dockerfile仅完成证书导入，但未给IIS默认站点配置HTTPS绑定。在证书导入步骤后添加以下命令：

RUN powershell -Command \
    # 查找导入的localhost证书
    $cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -match "CN=localhost" }; \
    # 为默认站点添加HTTPS绑定
    New-WebBinding -Name "Default Web Site" -Protocol https -Port 443 -SslFlags 1; \
    # 将证书关联到绑定
    Get-WebBinding -Name "Default Web Site" -Protocol https | Set-WebBinding -PropertyName CertificateHash -Value $cert.GetCertHashString() -PropertyName CertificateStoreName -Value "My"

2. 确保端口映射正确

直接运行容器时，需映射宿主机端口到容器的443端口：
```
docker run -d -p 80:80 -p 443:443 your-image-tag
```

使用Docker Compose时，在docker-compose.yml中配置端口映射：

services:
  dotnet-app:
    image: your-image-tag
    ports:
      - "80:80"
      - "443:443"
    environment:
      - CERT_PASSWORD=your-cert-password

3. 授予证书读取权限给IIS_IUSRS

IIS进程需要读取证书的权限，否则无法使用证书加密流量。在Dockerfile中添加以下命令：

RUN powershell -Command \
    $cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -match "CN=localhost" }; \
    $certPath = "Cert:\LocalMachine\My\$($cert.Thumbprint)"; \
    $acl = Get-Acl -Path $certPath; \
    $rule = New-Object System.Security.AccessControl.CryptoKeyAccessRule("IIS_IUSRS", "Read", "Allow"); \
    $acl.AddAccessRule($rule); \
    Set-Acl -Path $certPath -AclObject $acl

4. 验证web.config的SSL配置

确保web.config中包含正确的SSL启用配置：

<configuration>
  <system.web>
    <httpRuntime targetFramework="4.7.8" />
    <!-- 根据业务需求调整认证授权规则 -->
    <authentication mode="Forms" />
  </system.web>
  <system.webServer>
    <security>
      <access sslFlags="Ssl" />
    </security>
  </system.webServer>
</configuration>

5. 查看容器内IIS日志定位错误

进入容器查看IIS请求日志，获取具体错误信息：

# 进入容器终端
docker exec -it your-container-id powershell
# 查看最新的20条日志记录
Get-Content C:\inetpub\logs\LogFiles\W3SVC1\u_ex*.log -Tail 20

内容的提问来源于stack exchange，提问作者Fitness Freak