.NET应用IIS部署时CngKey.Import报错：找不到指定文件

问题背景 #

本地运行正常的.NET应用，部署到IIS后调用RSA.ImportFromPem导入私钥时，抛出“系统找不到指定文件”错误，堆栈跟踪指向System.Security.Cryptography.CngKey.Import方法。

解决思路与方案 #

1. 调整IIS应用池身份权限 #

CNG密钥操作需要访问系统加密存储目录，默认的IIS应用池身份（如ApplicationPoolIdentity）权限不足：

• 打开IIS管理器，找到对应应用池，进入高级设置
• 将标识改为LocalSystem（测试场景使用，生产环境建议使用专用服务账户并最小化权限）
• 或者给当前应用池身份授予对C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys目录的读写权限：
  1. 右键该目录→属性→安全→编辑
  2. 添加应用池身份（格式为IIS APPPOOL\[你的应用池名称]）
  3. 勾选“读取”和“写入”权限

2. 替换RSACng为兼容的RSA实现 #

RSACng依赖系统CNG组件，在IIS环境下可能存在兼容性问题，改用旧版RSACryptoServiceProvider：

// 替换原代码中的RSA.Create()
var rsa = new RSACryptoServiceProvider();
rsa.ImportFromPem(_privateKey);

注：该方法在.NET 5+版本仍支持，若使用.NET Core早期版本，需对应调整密钥导入方式。

3. 修复私钥存储与格式问题 #

硬编码的私钥可能因字符串转义导致格式错误：

• 将私钥移至appsettings.json存储，避免硬编码的转义问题：

  "JwtSettings": {
    "PrivateKey": "-----BEGIN PRIVATE KEY-----XXXXXXX-----END PRIVATE KEY-----"
  }
  

• 在代码中通过配置读取：

  private readonly string _privateKey;
  public ApiController(IConfiguration config)
  {
      _privateKey = config["JwtSettings:PrivateKey"];
  }
  

• 确保私钥是标准PKCS#8格式的PEM，无多余空格或换行错误。

4. 启用IIS应用池加载用户配置文件 #

CNG组件可能依赖用户配置文件，默认IIS应用池未加载：

• 打开应用池高级设置，找到加载用户配置文件，设置为True
• 重启应用池后测试

内容的提问来源于stack exchange，提问作者Sonny Hansen