.NET Framework迁移至.NET 7：RSA密钥权限授予方案咨询

放弃依赖aspnet_regiis的原因 #

• aspnet_regiis是.NET Framework专属工具，.NET 7环境下无法保证服务器预装.NET Framework，依赖它会导致部署兼容性问题，且无官方便携版本。

原生C#替代方案：直接修改密钥容器文件的ACL #

RSA机器级密钥容器存储在C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys目录下，aspnet_regiis本质是通过修改该目录下对应文件的权限实现授权。我们可以通过Windows API结合.NET的安全类直接完成这一操作：

步骤1：获取密钥容器对应的物理文件路径 #

调用Win32 API CryptGetProvParam获取容器对应的文件名：

using System;
using System.Runtime.InteropServices;
using System.Security.Cryptography;

public static string GetKeyContainerFilePath(string containerName)
{
    const uint PROV_RSA_FULL = 1;
    const uint CRYPT_MACHINE_KEYSET = 0x20;
    const uint PP_KEYSET_SEC_DESCR = 0x0000000F;

    IntPtr hProv = IntPtr.Zero;
    try
    {
        if (!CryptAcquireContext(ref hProv, containerName, null, PROV_RSA_FULL, CRYPT_MACHINE_KEYSET))
        {
            throw new System.ComponentModel.Win32Exception(Marshal.GetLastWin32Error());
        }

        uint dataSize = 0;
        CryptGetProvParam(hProv, PP_KEYSET_SEC_DESCR, IntPtr.Zero, ref dataSize, 0);
        IntPtr dataPtr = Marshal.AllocHGlobal((int)dataSize);
        try
        {
            if (!CryptGetProvParam(hProv, PP_KEYSET_SEC_DESCR, dataPtr, ref dataSize, 0))
            {
                throw new System.ComponentModel.Win32Exception(Marshal.GetLastWin32Error());
            }
            return Marshal.PtrToStringUni(dataPtr);
        }
        finally
        {
            Marshal.FreeHGlobal(dataPtr);
        }
    }
    finally
    {
        if (hProv != IntPtr.Zero)
        {
            CryptReleaseContext(hProv, 0);
        }
    }
}

[DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)]
private static extern bool CryptAcquireContext(ref IntPtr hProv, string pszContainer, string pszProvider, uint dwProvType, uint dwFlags);

[DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)]
private static extern bool CryptReleaseContext(IntPtr hProv, uint dwFlags);

[DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)]
private static extern bool CryptGetProvParam(IntPtr hProv, uint dwParam, IntPtr pbData, ref uint pdwDataLen, uint dwFlags);

步骤2：修改文件的ACL权限 #

使用.NET的FileSecurity类为目标用户添加读取权限：

using System.IO;
using System.Security.AccessControl;
using System.Security.Principal;

public static void GrantUserAccessToKeyContainer(string containerName, string userName)
{
    string filePath = GetKeyContainerFilePath(containerName);
    if (!File.Exists(filePath))
    {
        throw new FileNotFoundException("密钥容器文件不存在", filePath);
    }

    FileSecurity fileSecurity = File.GetAccessControl(filePath);
    NTAccount account = new NTAccount(userName);
    fileSecurity.AddAccessRule(new FileSystemAccessRule(
        account,
        FileSystemRights.Read,
        AccessControlType.Allow));
    File.SetAccessControl(filePath, fileSecurity);
}

使用说明 #

1. 确保代码以管理员权限运行，修改文件ACL需要足够权限。
2. 对于IIS应用池账户，通常格式为IIS APPPOOL\应用池名称，比如IIS APPPOOL\MyWebAppPool。
3. 在.NET 7中，推荐使用RSACng创建密钥容器，兼容性更好：

using (var rsa = new RSACng())
{
    var parameters = new CspParameters
    {
        KeyContainerName = "MyKey",
        Flags = CspProviderFlags.UseMachineKeyStore
    };
    rsa.PersistKeyInCsp = true;
    // 生成密钥并持久化
}

总结 #

直接修改密钥容器文件的ACL是.NET 7环境下最可靠的方案，完全摆脱对.NET Framework工具的依赖，且与aspnet_regiis的授权效果一致。

内容的提问来源于stack exchange，提问作者JulienG