.NET Core 6.0中Kestrel作为Windows Service运行时HTTPS配置异常求助

问题根源 #

直接运行.exe时使用当前登录用户身份，能访问你生成的开发者HTTPS证书；但Windows服务默认以Local System账户运行，该账户无法访问当前用户的证书存储，导致Kestrel找不到HTTPS证书抛出异常。

解决方案 #

方案1：为Windows服务指定有权限访问证书的账户 #

• 打开服务控制台（运行services.msc）
• 找到目标服务，右键选择「属性」
• 切换到「登录」选项卡，选择「此账户」，输入你平时运行.exe的用户账户和密码
• 点击「应用」后重启服务

方案2：配置Kestrel显式指定证书（生产环境推荐） #

在appsettings.json的Kestrel配置中，直接指定证书信息，确保服务账户能访问该证书：

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://*:5001",
      "Certificate": {
        // 方式1：使用本地证书文件
        "Path": "C:\\certificates\\your-service-cert.pfx",
        "Password": "cert-password"
        // 方式2：使用本地机器证书存储中的证书
        // "Subject": "CN=your-service-domain",
        // "Store": "My",
        // "Location": "LocalMachine"
      }
    }
  }
}

如果使用证书存储方式，需给Local System账户授予证书读取权限：

• 运行certlm.msc打开本地机器证书管理器
• 找到目标证书，右键→「所有任务」→「管理私钥」
• 添加NT AUTHORITY\SYSTEM账户，授予「读取」权限

方案3：将开发者证书导入到Local Machine存储（仅测试环境） #

• 导出当前用户的开发者证书：运行certmgr.msc，找到「个人→证书」中的ASP.NET Core HTTPS Development Certificate，右键导出为带私钥的PFX文件
• 导入到本地机器存储：运行certlm.msc，右键「个人→证书」→「所有任务」→「导入」，选择导出的PFX文件，导入到本地机器
• 给Local System账户授予该证书的私钥读取权限（同方案2的权限配置步骤）

验证 #

修改配置或服务账户后，重启Windows服务，查看事件查看器确认无证书异常，同时访问Blazor站点验证HTTPS正常运行。

内容的提问来源于stack exchange，提问作者TheMax370