ASP.NET Core 6作为Windows服务运行时的HTTPS证书错误排查

原因分析 #

直接运行.exe时使用的是当前登录用户账户，而ASP.NET Core开发者证书默认安装在当前用户的个人证书存储中；Windows服务默认以Local System账户运行，该账户无法访问当前用户的证书存储，因此出现找不到证书的错误。

解决方案 #

方案1：将开发者证书迁移到Local Machine存储 #

1. 打开当前用户证书管理器：按下Win+R，输入certmgr.msc回车，依次展开个人 > 证书，找到ASP.NET Core HTTPS Development Certificate。
2. 右键证书选择所有任务 > 导出，按向导导出为PFX格式（设置密码保存）。
3. 打开本地计算机证书管理器：按下Win+R输入mmc，点击文件 > 添加/删除管理单元，选择证书并添加计算机账户。
4. 在Local Machine的个人 > 证书目录下，右键选择所有任务 > 导入，导入刚才导出的PFX文件，指定存储位置为个人。
5. 配置证书私钥权限：右键导入的证书，选择所有任务 > 管理私钥，添加NT AUTHORITY\SYSTEM账户，勾选读取权限后保存。

方案2：代码中显式指定证书 #

修改Program.cs，直接指定证书文件路径和密码，避免依赖默认开发者证书：

var builder = WebApplication.CreateBuilder(args);

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(443, listenOptions =>
    {
        // 替换为你的证书路径和密码
        listenOptions.UseHttps("C:/certs/your-cert.pfx", "your-cert-password");
    });
});

// 其他服务配置...

var app = builder.Build();
// 中间件配置...
app.Run();

注意：确保证书文件存放路径安全，且Windows服务账户拥有该文件的读取权限。

方案3：修改服务运行账户 #

1. 打开服务管理器：Win+R输入services.msc回车，找到目标ASP.NET Core服务。
2. 右键选择属性，切换到登录选项卡，选择此账户，输入你平时运行exe的用户账户和密码，确认后重启服务。
3. 此时服务以该用户账户运行，可直接访问其证书存储中的开发者证书。

验证方法 #

修改完成后重启服务，通过事件查看器的应用程序日志确认HTTPS端点配置成功，或直接访问服务的HTTPS地址验证可用性。

内容的提问来源于stack exchange，提问作者mmm