AWS Fargate部署.NET Core API的SSL配置异常问题

错误原因 #

Interop+Crypto+OpenSslCryptographicException: error:2006D080:BIO routines:BIO_new_file:no such file 本质是Kestrel无法找到你指定的PFX文件——S3的URL/ARN不能直接作为容器内的本地文件路径使用，容器文件系统与S3完全隔离，必须将证书文件拉取到容器本地，或通过其他方式传递证书数据。

可行解决方案 #

方案一：将PFX打包进Docker镜像（适合证书不频繁更新的场景） #

1. 修改Dockerfile，在final阶段添加证书复制和权限设置：

   FROM base AS final
   WORKDIR /app
   # 创建证书目录并复制本地PFX文件
   RUN mkdir -p /app/certs
   COPY ./WebAPI.pfx /app/certs/WebAPI.pfx
   # 确保非root用户appuser有读取权限
   RUN chown -R appuser /app/certs
   COPY --from=publish /app/publish .
   ENTRYPOINT ["dotnet", "WebAPI.dll"]
   

2. 更新任务定义中的ASPNETCORE_Kestrel__Certificates__Default__Path值为容器内的本地路径：/app/certs/WebAPI.pfx
3. 重新构建并推送镜像至ECR，更新任务定义后重新部署

方案二：启动时从S3下载证书（适合证书需要定期更新的场景） #

1. 给ECS执行角色（my-esc-roles）添加S3读取权限：允许s3:GetObject操作访问你的证书存储桶mycert
2. 修改Dockerfile，在base阶段安装AWS CLI（基础镜像默认不含）：

   FROM mcr.microsoft.com/dotnet/aspnet:6.0 AS base
   WORKDIR /app
   EXPOSE 8080
   EXPOSE 8081
   ENV ASPNETCORE_URLS=http://+:8080;https://+:8081
   # 安装AWS CLI
   RUN apt-get update && apt-get install -y --no-install-recommends awscli && rm -rf /var/lib/apt/lists/*
   # 创建非root用户并设置权限
   RUN adduser -u 5678 --disabled-password --gecos "" appuser && chown -R appuser /app
   USER appuser
   

3. 修改任务定义中容器的command，先下载证书再启动API：

   "command": [
       "sh",
       "-c",
       "mkdir -p /app/certs && aws s3 cp s3://mycert/WebAPI.pfx /app/certs/WebAPI.pfx && dotnet WebAPI.dll"
   ]
   

4. 更新ASPNETCORE_Kestrel__Certificates__Default__Path为容器内路径：/app/certs/WebAPI.pfx
5. 重新构建镜像、更新任务定义并部署

方案三：使用AWS Secrets Manager存储证书（安全推荐方案） #

1. 将PFX文件转换为Base64编码：

   base64 -i WebAPI.pfx > WebAPI.base64
   

2. 在AWS Secrets Manager中创建新密钥，将Base64内容作为值存入（密钥名称比如WebAPICert）
3. 修改任务定义的secrets配置，添加证书数据的环境变量，移除原有的SSLPath配置：

   "secrets": [                
       {
           "valueFrom": "LiveDb",
           "name": "LiveDb"
       },
       {
           "valueFrom": "SSLPassword",
           "name": "ASPNETCORE_Kestrel__Certificates__Default__Password"
       },
       {
           "valueFrom": "arn:aws:secretsmanager:us-east-1:你的账号ID:secret:WebAPICert-随机后缀",
           "name": "ASPNETCORE_Kestrel__Certificates__Default__Data"
       }
   ]
   

4. 确保ECS执行角色有访问该Secrets Manager密钥的权限（secretsmanager:GetSecretValue）
5. 更新任务定义并重新部署——Kestrel会直接读取Data字段的Base64证书数据，无需本地文件

额外注意点 #

• Fargate使用awsvpc网络模式时，任务定义中的hostPort可以设置为0（或省略），ALB目标组应直接指向容器的8080和8081端口，而非主机端口
• 若使用非root用户，务必确保证书文件/目录的读取权限正确分配

内容的提问来源于stack exchange，提问作者ypbr