如何在Windows Server 2016上用SSL托管ASP.NET Core 7.0 gRPC服务器？

1. IIS 10托管ASP.NET Core 7.0 gRPC控制台服务器的可行性与步骤 #

完全可以托管，核心是确保IIS支持HTTP/2并正确配置反向代理，具体步骤如下：

前置准备 #

• 安装IIS必需组件：
  打开「控制面板 > 程序 > 启用或关闭Windows功能」，勾选以下项目：
  • Web服务器(IIS) > Web服务器 > 应用程序开发 > ASP.NET Core模块（需对应.NET 7版本）
  • Web服务器(IIS) > Web服务器 > 性能 > HTTP/2协议
• 确认gRPC控制台项目已配置Web主机，比如Program.cs需包含类似代码：

  var builder = WebApplication.CreateBuilder(args);
  builder.Services.AddGrpc();
  var app = builder.Build();
  app.MapGrpcService<YourGrpcService>();
  app.Run();
  

发布与部署 #

• 在VS2022中右键项目选择「发布」，目标选「文件夹」，设置路径后完成发布。
• 在IIS中新建网站：
  • 自定义网站名称，物理路径指向发布文件夹。
  • 配置HTTPS绑定：端口默认443，填写主机名，选择SSL证书，勾选「启用HTTP/2」。
• 配置应用程序池：
  • 新建应用程序池，.NET CLR版本选「无托管代码」（ASP.NET Core自托管，IIS仅做反向代理）。
  • 将网站关联到该应用程序池。

验证 #

启动网站后，用gRPC客户端（如Grpcui或自定义客户端）访问https://你的域名/你的gRPC服务名，确认调用正常。

2. 将控制台程序安装为服务并配置自动更新的SSL证书 #

提供两种方案，分别对应复用IIS证书和独立自动获取证书：

方案一：复用IIS中已配置的Let’s Encrypt证书 #

Let’s Encrypt证书安装后会存在Windows「本地计算机 > 个人 > 证书」存储中，可直接让Kestrel读取：

1. 获取证书指纹：
   打开「管理控制台」，添加「证书」管理单元（选本地计算机），找到目标证书，复制指纹（去掉空格）。
2. 修改Program.cs配置Kestrel：

   var builder = WebApplication.CreateBuilder(args);
   builder.WebHost.ConfigureKestrel(options =>
   {
       options.ListenAnyIP(5001, listenOptions =>
       {
           listenOptions.Protocols = HttpProtocols.Http2;
           listenOptions.UseHttps(httpsOptions =>
           {
               var certThumbprint = "你的证书指纹";
               httpsOptions.ServerCertificate = new X509Certificate2(
                   StoreName.My,
                   StoreLocation.LocalMachine,
                   certThumbprint,
                   X509KeyStorageFlags.MachineKeySet);
           });
       });
   });
   builder.Services.AddGrpc();
   // 其他业务配置
   

3. 安装为Windows服务：
   • 发布程序：dotnet publish -c Release
   • 创建服务：sc create "你的服务名称" binPath="发布目录下的.exe路径"
   • 设置自动启动：sc config "你的服务名称" start= auto
   • 启动服务：sc start "你的服务名称"
4. 证书更新：多数IIS Let’s Encrypt工具（如WinACME）会自动更新证书并同步到存储，若指纹不变，服务重启后即可读取新证书；若指纹变更，需更新代码中指纹并重启服务。

方案二：独立使用自动更新的SSL证书（不依赖IIS） #

用WinACME工具独立管理证书：

1. 安装WinACME：下载解压后，在命令行运行wacs.exe。
2. 配置证书获取：
   • 选择「N: Create new certificate (default settings)」，再选「M: Manual input」输入域名。
   • 选验证方式（推荐TLS-ALPN-01或HTTP-01，需对应开放443/80端口）。
   • 设置证书存储到「本地计算机 > 个人」，并开启自动更新任务。
3. 配置Kestrel读取证书（同方案一步骤2）。
4. 安装为Windows服务（同方案一步骤3）。
5. 自动更新：WinACME会创建定时任务更新证书，可在配置中添加脚本，更新完成后自动重启服务（如sc restart "你的服务名称"）。

注意事项 #

• gRPC必须使用HTTPS，HTTP/2为强制要求，Kestrel必须配置HTTPS监听。
• 确保服务账户有证书存储的读取权限，可在证书属性「安全」选项卡中添加账户权限。

内容的提问来源于stack exchange，提问作者Exquirentibus