如何将DOD根证书添加至本地IIS以实现C#&ASP.NET MVC认证？

一、确认DOD根证书的安装存储区 #

DOD根证书必须安装到本地计算机的「受信任的根证书颁发机构」，而非当前用户存储区，步骤如下：

• 按下Win+R输入mmc打开控制台，依次点击「文件」→「添加/删除管理单元」，选择「证书」后点击「添加」
• 选择「计算机账户」→「本地计算机」完成添加，展开「证书(本地计算机)」→「受信任的根证书颁发机构」→「证书」，确认DOD根证书已存在。若不存在，右键「所有任务」→「导入」，重新导入下载的证书文件

二、IIS「服务器证书」界面的澄清 #

DOD根证书是客户端认证的信任锚，不需要直接添加到IIS的「服务器证书」界面——该界面用于存储网站绑定的SSL服务端证书。你需要确保网站已绑定合法的SSL服务端证书，且该证书的链能追溯到已安装的DOD根证书。

三、配置IIS客户端证书验证规则 #

• 打开IIS管理器，找到目标网站，右键选择「编辑绑定」
• 选中HTTPS绑定并点击「编辑」，确认已绑定网站的SSL服务端证书，点击「查看」→「详细信息」→「证书路径」，验证证书链是否完整（若链断裂，需安装对应中间证书）
• 返回网站主页，打开「SSL设置」，勾选「要求SSL」，在「客户端证书」选项中选择「接受」（允许但不强制客户端提供CAC证书）或「要求」（强制客户端认证），最后点击「应用」

四、修复证书链不完整问题 #

• 打开「证书(本地计算机)」→「中级证书颁发机构」，确认DOD系列中间证书已安装。若缺失，从证书安装包中提取对应中间证书，导入到该存储区
• 运行命令提示符，执行certutil -verify -urlfetch <你的服务端证书文件路径>，根据输出提示补充缺失的证书节点

五、常见问题排查 #

• 客户端访问提示证书验证失败：需确保客户端设备也安装了DOD根证书，客户端需信任该根证书才能完成双向认证
• IIS应用程序池权限问题：将应用程序池身份添加到「本地计算机\IIS_IUSRS」组，确保其具备读取证书存储区的权限

内容的提问来源于stack exchange，提问作者tvbRPTI2754