IIS部署Asp.net Core签名服务无法识别USB Token证书，求配置方案

问题根源 #

直接通过dotnet MyWebApi.DLL --urls=http://localhost:22000运行时，程序以当前登录用户身份执行，该用户已获得USB Token的访问授权；而IIS应用池默认使用ApplicationPoolIdentity这类系统内置账户，没有访问USB Token设备及对应证书的权限，导致signtool.exe返回no certificates were found that met错误。

具体配置步骤 #

1. 切换应用池运行身份（最直接的解决方式） #

• 打开IIS管理器，找到对应应用池，右键选择「高级设置」
• 在「进程模型」区域，将「标识」改为「本地用户」，选择你之前直接运行dotnet命令时使用的登录账户（或已授权访问USB Token的本地账户）
• 输入该账户的用户名和密码，保存配置

2. 给应用池内置账户授权（无需切换用户） #

如果不想使用本地用户，可给ApplicationPoolIdentity授予证书访问权限：

• 运行certmgr.msc打开证书管理器，找到USB Token中的目标证书，右键选择「所有任务」→「管理私钥」
• 在权限窗口点击「添加」，输入格式为IIS AppPool\<你的应用池名称>的身份，点击「检查名称」确认身份有效
• 给该身份勾选「读取」权限，保存设置

3. 优化signtool调用参数 #

确保调用signtool时明确指定证书信息，避免依赖自动检测：

# 通过证书指纹指定
signtool sign /sha1 <你的证书SHA1指纹> /t <时间戳服务器地址> <待签名文件路径>

# 或指定USB Token的加密服务提供程序和密钥容器
signtool sign /csp <Token对应的CSP名称> /kc <密钥容器名称> /t <时间戳服务器地址> <待签名文件路径>

可通过signtool find /all命令，在应用池身份下测试是否能识别到证书（用runas /user:"IIS AppPool\<应用池名称>" cmd.exe打开命令行执行该命令）

4. 验证权限配置 #

• 用应用池身份运行命令行：runas /user:"IIS AppPool\<应用池名称>" cmd.exe
• 在该命令行中执行signtool签名测试，确认能找到证书并完成签名

Windows Service部署补充 #

Windows Service默认使用Local Service或Network Service身份，同样存在权限问题，解决逻辑一致：

• 将服务的运行身份改为有权访问USB Token的本地用户
• 或给服务运行身份授予证书私钥的读取权限

内容的提问来源于stack exchange，提问作者BigHead