.NET 7 Windows Service微服务绑定X.509证书配置求助

我有一个以Windows Service运行的.NET 7迷你Web API（不使用IIS），本地运行无异常，但部署到生产服务器后出现无法找到指定证书的错误。

我已在服务器上完成localhost的X.509证书创建与添加操作（证书已导入到本地计算机的个人存储区）。

我的需求是：如何将该证书绑定到这个API？需要执行哪些配置步骤或添加哪些代码？目前仅找到基于IIS的解决方案，但该方案不适用于本项目，恳请提供帮助。

现有代码与配置 #

Program.cs 代码片段 #

var webApplicationOptions = new WebApplicationOptions
{
    Args = args,
    ContentRootPath = WindowsServiceHelpers.IsWindowsService()
        ? AppContext.BaseDirectory
        : default
};

var builder = WebApplication.CreateBuilder(webApplicationOptions);

builder.WebHost.ConfigureKestrel((context, serverOptions) =>
{
    var kestrelSection = context.Configuration.GetSection("Kestrel");
    serverOptions.Configure(kestrelSection);
});

builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();
builder.Services.AddCors();

builder.Services.AddHostedService<Worker>();

builder.Host
    .UseWindowsService()
    .UseSerilog((hostContext, logConfiguration) => logConfiguration.ReadFrom.Configuration(hostContext.Configuration))
    .ConfigureServices((hostContext, services) =>
    {
        
        services.AddWindowsService();
        services.AddHostedService<Worker>();
        services.AddMediatR(typeof(Program).Assembly);
        services.AddPersistenceServices(hostContext.Configuration);
        services.Configure<RabbitMqConfiguration>(config => hostContext.Configuration.GetSection(nameof(RabbitMqConfiguration)).Bind(config));
       
    });

var app = builder.Build();

app.UseSwagger();
app.UseSwaggerUI(options =>
{
    options.SwaggerEndpoint("/swagger/v1/swagger.json", "v1");
});

app.UseCors(p => p.WithOrigins("https://localhost:1234").AllowAnyHeader().AllowAnyMethod().AllowCredentials());

app.MapEndDebtorEndpoints();

app.Run();

appsettings.json 中的 Kestrel 配置 #

"Kestrel": {
  "Endpoints": {
    "Http": {
      "Url": "http://localhost:4321"
    },
    "Https": {
      "Url": "https://localhost:1234"
    }
  }
},

针对非IIS的Kestrel服务器，需要通过配置或代码指定证书的查找信息，以下是具体步骤：

1. 确认证书的关键信息与权限 #

• 打开服务器的证书管理器（运行certlm.msc），找到你创建的localhost证书，右键→所有任务→管理私钥，确保运行Windows Service的账号（默认是LocalSystem，若自定义账号需对应）拥有读取权限。
• 记录证书的指纹（Thumbprint）：双击证书→详细信息→找到指纹字段，复制时注意去掉中间的空格。

2. 修改 appsettings.json 配置Kestrel绑定证书 #

在现有的Https端点配置中添加证书查找参数，示例如下：

"Kestrel": {
  "Endpoints": {
    "Http": {
      "Url": "http://localhost:4321"
    },
    "Https": {
      "Url": "https://localhost:1234",
      "Certificate": {
        "StoreLocation": "LocalMachine",
        "StoreName": "My",
        "Thumbprint": "你的证书指纹（无空格）"
      }
    }
  }
},

• StoreLocation：根据你的证书存储位置选择LocalMachine（本地计算机）或CurrentUser（当前用户），从操作来看应该是LocalMachine。
• StoreName：证书所在的存储区，个人证书通常用My。
• Thumbprint：之前复制的证书指纹，务必去掉所有空格。

3. 可选：通过代码配置Kestrel（替代配置文件方式） #

如果需要更灵活的控制，可以在Program.cs的ConfigureKestrel方法中直接指定证书，示例：

builder.WebHost.ConfigureKestrel((context, serverOptions) =>
{
    serverOptions.ListenLocalhost(4321, o => o.Protocols = HttpProtocols.Http1AndHttp2);
    serverOptions.ListenLocalhost(1234, o =>
    {
        o.Protocols = HttpProtocols.Http1AndHttp2;
        o.UseHttps(httpsOptions =>
        {
            httpsOptions.ServerCertificate = new X509Certificate2(
                storeName: StoreName.My,
                storeLocation: StoreLocation.LocalMachine,
                thumbprint: "你的证书指纹（无空格）",
                keyStorageFlags: X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet
            );
        });
    });
});

注意：使用代码方式时，建议注释掉配置文件中Kestrel的Endpoints配置，避免冲突。

4. 验证Windows Service运行账号权限 #

• 如果你的Windows Service使用的是非默认账号，确保该账号对证书的私钥拥有读取权限（步骤1已提及）。
• 重启Windows Service，测试HTTPS端点是否正常访问。

内容的提问来源于stack exchange，提问作者bflow1