如何在Linux上为ASP.NET Core配置带中级证书的HTTPS

针对你遇到的问题，有三种可行的解决方案：

1. 合并服务器证书与中级证书到同一文件 #

ASP.NET Core的Kestrel支持读取包含完整证书链的文件，只需将服务器证书和中级证书按顺序合并：

• 打开服务器证书文件（.crt/.pem格式），将内容复制到新文件顶部
• 将中级证书的内容追加到该新文件底部，保存为combined-cert.pem
• 在appsettings.json中配置Kestrel：

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://*:443",
      "Certificate": {
        "Path": "/path/to/combined-cert.pem",
        "KeyPath": "/path/to/private-key.key",
        "Password": "your-cert-password-if-any"
      }
    }
  }
}

2. 代码手动构建证书链 #

在Program.cs中通过代码加载并组装完整证书链：

var builder = WebApplication.CreateBuilder(args);

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(443, listenOptions =>
    {
        // 加载服务器证书
        var serverCert = new X509Certificate2("/path/to/server-cert.crt", "cert-password");
        // 加载中级证书
        var intermediateCert = new X509Certificate2("/path/to/intermediate-ca.crt");
        
        // 构建证书链
        var certChain = new X509Chain();
        certChain.ChainPolicy.ExtraStore.Add(intermediateCert);
        certChain.Build(serverCert);

        listenOptions.UseHttps(new HttpsConnectionAdapterOptions
        {
            ServerCertificate = serverCert,
            CertificateChain = certChain.ChainElements.Cast<X509ChainElement>().Select(e => e.Certificate).ToList()
        });
    });
});

var app = builder.Build();

// 中间件配置...

app.Run();

3. 将中级证书安装到Linux系统信任存储 #

把中级证书加入系统信任链后，ASP.NET Core会自动识别，无需额外配置：

• Ubuntu/Debian：
  1. 将中级证书复制到/usr/local/share/ca-certificates/，后缀改为.crt
  2. 执行命令：sudo update-ca-certificates
• RHEL/CentOS：
  1. 将中级证书复制到/etc/pki/ca-trust/source/anchors/
  2. 执行命令：sudo update-ca-trust extract

注意事项 #

• 确保应用进程拥有证书和私钥文件的读取权限
• 若私钥已加密，需正确配置密码参数
• 合并证书时务必保持「服务器证书在前，中级证书在后」的顺序

内容的提问来源于stack exchange，提问作者Nadav Popplewell