IIS下使用MSDeploy同步应用池时密码损坏问题排查

问题背景 #

使用MSDeploy命令同步应用池配置：

msdeploy -verb:sync -source:apppoolconfig -dest:apppoolconfig,computername=compname

此前运行正常，近期目标服务器同步后的应用池密码加密串异常（长度远大于源服务器），手动重置密码后恢复正常；改用备份恢复方式问题依旧，移除新增的应用池也未解决。

排查步骤 #

• 验证MSDeploy版本一致性
  源和目标服务器的MSDeploy版本差异可能导致加密处理逻辑不一致，运行以下命令确认版本：

  msdeploy -version
  

  确保两边使用同一大版本（如v3.6），若版本不同，升级至一致版本后重新测试。

• 检查加密密钥同步状态
  IIS应用池密码采用服务器本地CNG密钥（IISWASOnlyCngProvider）加密，MSDeploy无法自动同步该密钥，目标服务器无对应密钥时会生成无效加密串：

  1. 源服务器导出密钥：

     aspnet_regiis -px "iisWasOnlyCngKey" "iis_key.xml" -pri
     

  2. 将iis_key.xml复制到目标服务器，导入密钥：

     aspnet_regiis -pi "iisWasOnlyCngKey" "iis_key.xml"
     

  3. 重启IIS服务：

     iisreset
     

  完成后重新执行MSDeploy同步测试。

• 排查应用池配置污染
  即使移除了新增应用池，可能残留异常配置节点：

  1. 运行命令查看所有应用池的进程模型配置：

     appcmd list apppool /config
     

  2. 检查是否存在其他应用池使用非IISWASOnlyCngProvider的加密提供器，或配置格式异常，若有则修复对应配置后重新同步。

• 优化MSDeploy同步参数
  原命令仅同步基础应用池配置，添加扩展链接参数确保关联配置完整传递：

  msdeploy -verb:sync -source:apppoolconfig -dest:apppoolconfig,computername=compname -enableLink:AppPoolExtension
  

• 检查目标服务器CNG提供器状态
  确认目标服务器的CNG密钥存储中存在iisWasOnlyCngKey：

  1. 运行命令查看CNG密钥：

     certutil -csp "Microsoft Software Key Storage Provider" -key
     

  2. 若密钥不存在，按上述步骤导入源服务器的密钥；若存在，检查密钥权限是否允许IIS进程访问。

• 排查系统更新影响
  近期Windows/IIS/.NET相关更新可能修改加密逻辑：

  1. 对比源和目标服务器的更新记录，找出差异更新项；
  2. 对可疑更新执行回滚操作，测试同步是否恢复正常。

内容的提问来源于stack exchange，提问作者Patrick