Azure WebApp中Blazor+Duende IdentityServer证书查找失败求助

核心问题定位与修复步骤 #

1. 修正证书存储位置配置 #

你创建证书时指定的存储区是LocalMachine\My，但appsettings.json里配置的是CurrentUser\My，两者完全不匹配。Azure App Service上传的PFX证书默认会加载到LocalMachine\My存储区，因此需修改配置：

"IdentityServer": { 
  "Key": { 
    "Type": "Store", 
    "StoreName": "My", 
    "StoreLocation": "LocalMachine",  // 改为LocalMachine
    "Name": "CN=certName" 
  } 
}

2. 改用证书指纹定位（更可靠） #

通过主题CN查找证书可能存在同名冲突，建议改用唯一的证书指纹：

• 从Azure门户获取证书的指纹（去掉所有空格）
• 修改配置为按指纹查找：

"IdentityServer": { 
  "Key": { 
    "Type": "Store", 
    "StoreName": "My", 
    "StoreLocation": "LocalMachine", 
    "Name": "Thumbprint",  // 指定查找方式为指纹
    "Value": "你的证书指纹（无空格）" 
  } 
}

3. 确认证书加载配置生效 #

• 在Azure App Service的「配置-应用设置」中，确保WEBSITE_LOAD_CERTIFICATES设置为目标证书的指纹（或*加载所有证书）
• 注意：修改该配置后必须重启App Service才会生效

4. Azure KeyVault证书的额外配置（若使用） #

• 给App Service启用系统分配的托管标识
• 在KeyVault的访问策略中，为该托管标识添加「证书权限（Get）」和「密钥权限（Get）」——IdentityServer需要访问证书对应的私钥，而私钥存储在KeyVault的密钥区域
• 调整配置为从KeyVault加载：

"IdentityServer": {
  "Key": {
    "Type": "KeyVault",
    "Vault": "https://你的keyvault名称.vault.azure.net/",
    "Name": "证书名称"
  }
}

5. 验证证书是否存在 #

可添加一段调试代码，在应用启动时遍历LocalMachine\My存储区的证书，确认目标证书已被加载：

using System.Security.Cryptography.X509Certificates;

var store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);
foreach (var cert in store.Certificates)
{
    Console.WriteLine($"Subject: {cert.Subject}, Thumbprint: {cert.Thumbprint}");
}
store.Close();

内容的提问来源于stack exchange，提问作者Solalem