如何在Docker容器中为ASP.NET Core配置SSL证书

当前环境 #

• Docker Desktop 运行 Visual Studio 多项目解决方案（沙箱非生产环境，优先简化配置）
• 两个 Windows 容器：
  • service01（主机名 service01.local）
  • service02（主机名 service02.local）
• Visual Studio 生成的默认 SSL 证书可通过 https://localhost:10433 正常访问 service01，浏览器显示连接安全

遇到的问题 #

1. 主机通过 https://localhost:10433 访问 service01 正常；
2. 主机通过 https://service01.local 访问时，浏览器提示证书无效；
3. service02 通过 https://service01.local 访问失败，curl 报错：

   curl: (60) schannel: SEC_E_UNTRUSTED_ROOT (0x80090325) - The certificate chain was issued by an authority that is not trusted.
   

4. IdentityServer 仅能通过 HTTP 端口正常工作，使用容器主机名或 HTTPS 端口时出现连接拒绝异常

原因分析 #

• https://localhost:10433 可用：主机已信任 VS 生成的 CN 为 localhost 的证书；
• https://service01.local 证书无效：证书 CN 与主机名不匹配；
• service02 访问失败：容器未信任该证书，且证书 CN 与目标主机名不匹配；
• IdentityServer HTTPS 失败：未配置有效的受信任 HTTPS 证书

已尝试方法 #

1. 尝试生成 CN 为 service01.local 的自签证书，但基础 ASP.NET Core 镜像无 PowerShell，无法执行证书部署脚本；
2. 配置 HttpClientHandler 忽略 SSL 错误可让普通 HttpClient 生效，但 IdentityServer 强制要求有效 HTTPS 连接，因此报错；
3. 改用 https://localhost:端口 访问可正常使用 SSL，但无法通过容器名访问；
4. 编写 PowerShell 脚本生成包含 CA 证书、服务端证书的 PFX 文件，配置 launchSettings.json 后主机浏览器可识别 service01.local 的证书，但无法将 CA 证书导入无 PowerShell/certutil/openssl 的 Windows 容器

解决方案（沙箱环境优先简化） #

方案1：切换带工具的基础镜像并导入CA证书（推荐，兼顾安全性与易用性） #

针对 Windows 容器，改用含 PowerShell/certutil 的 Server Core 基础镜像（适合开发沙箱，无需极致精简），步骤如下：

1. 修改 service01 的 Dockerfile

   • 更换基础镜像为带工具的版本（以 .NET 6 为例）：

     FROM mcr.microsoft.com/dotnet/aspnet:6.0-windowsservercore-ltsc2022 AS base
     WORKDIR /app
     EXPOSE 80
     EXPOSE 443
     
     # 复制CA证书并导入受信任根
     COPY ./path/to/your-ca-cert.cer C:/temp/your-ca-cert.cer
     RUN certutil -addstore -f "Root" C:/temp/your-ca-cert.cer
     
     FROM mcr.microsoft.com/dotnet/sdk:6.0-windowsservercore-ltsc2022 AS build
     # 原有构建逻辑...
     

   • 将你之前生成的 CA 证书（.cer 文件）复制到 Docker 上下文目录，确保 COPY 路径正确

2. 配置 service01 使用匹配主机名的证书
   在 appsettings.json 中配置 Kestrel 使用 CN 为 service01.local 的 PFX 证书：

   "Kestrel": {
     "Endpoints": {
       "Https": {
         "Url": "https://0.0.0.0:443",
         "Certificate": {
           "Path": "/app/service01-cert.pfx",
           "Password": "your-cert-password"
         }
       }
     }
   }
   

3. 配置主机与容器的 DNS 解析

   • 在主机的 hosts 文件（C:\Windows\System32\drivers\etc\hosts）中添加：

     127.0.0.1 service01.local service02.local
     

   • Docker 容器间可通过主机名直接解析，无需额外配置

4. 同步配置 service02
   重复步骤1，将相同的 CA 证书导入 service02 容器的受信任根，确保 service02 信任 service01 的证书

方案2：沙箱临时禁用SSL验证（快速测试，仅用于非生产） #

如果需要最快完成测试，可临时绕过 SSL 验证，同时调整 IdentityServer 配置：

1. service02 忽略 SSL 错误
   配置 HttpClient 时跳过证书验证：

   var handler = new HttpClientHandler();
   handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;
   var httpClient = new HttpClient(handler);
   

2. 调整 IdentityServer 允许非HTTPS（仅沙箱使用）
   在 service01 的 Program.cs 中修改 IdentityServer 配置：

   builder.Services.AddIdentityServer(options =>
   {
       options.IssuerUri = "http://service01.local";
       options.PublicOrigin = "http://service01.local";
       options.RequireSsl = false; // 禁用HTTPS强制要求
   })
   // 其他原有配置（客户端、资源等）...
   

   注意：此方案仅用于快速测试，生产环境绝对禁用

方案3：使用Traefik自动生成证书（多容器场景适配） #

如果后续需要扩展更多容器，可使用 Traefik 作为反向代理，自动生成并管理自签证书：

1. 部署 Traefik 容器，配置自动证书生成；
2. 所有服务容器通过 Traefik 暴露，容器间通过 Traefik 的服务名访问；
3. 主机导入 Traefik 的 CA 证书，实现全链路 HTTPS 信任

验证步骤 #

1. 重启所有容器后，从主机访问 https://service01.local，浏览器应显示安全连接；
2. 在 service02 容器内执行 curl https://service01.local，无 SSL 错误；
3. 测试 IdentityServer 认证流程，HTTPS 连接应正常生效

内容的提问来源于stack exchange，提问作者lkujala