.NET 6微服务Docker部署：Identity Server无法被其他服务发现

1. 网络访问路径错误 #

容器内的localhost指向容器自身，而非宿主机，所以其他服务用https://localhost:端口肯定找不到Identity Server。

• 解决方式：
  • 用Docker Compose的话，给所有服务配置同一个自定义网络，直接用Identity Server的服务名作为域名访问，比如服务名是identity-server，其他服务就用https://identity-server:5001（对应容器内的HTTPS端口）。
  • 单独运行容器时，通过--network参数把所有服务加入同一网络，测试环境也可以用--network host模式（不推荐生产），此时用宿主机IP替换localhost。

2. HTTPS证书信任问题 #

容器默认不信任自签名证书，会导致请求被拦截。

• 解决方式：
  • 生成统一的自签名证书，将证书文件挂载到每个Linux容器的/usr/local/share/ca-certificates/目录，然后执行update-ca-certificates更新信任列表；Windows容器则挂载到对应证书存储目录。
  • 测试环境临时方案：在.NET的HttpClient配置中关闭证书验证：

    services.AddHttpClient("IdentityClient", client =>
    {
        client.BaseAddress = new Uri("https://identity-server:5001");
    }).ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
    {
        ServerCertificateCustomValidationCallback = (_, __, ___, ____) => true
    });
    

3. Identity Server配置错误 #

• 检查IssuerUri设置：不能写localhost，要改成容器可访问的地址，比如https://identity-server:5001。
• 核对客户端配置：确保其他服务的ClientId、允许的回调地址正确，且允许的访问范围包含容器内服务的地址。

4. 端口映射与访问端口混淆 #

如果用自定义网络，其他服务要访问Identity Server的容器内部端口，而非宿主机映射的端口。比如容器内部HTTPS端口是5001，即便宿主机映射到5002，其他服务仍要用https://identity-server:5001访问。

示例Docker Compose配置片段 #

version: '3.8'
services:
  identity-server:
    image: your-identity-image
    ports:
      - "5001:5001"
    networks:
      - ms-network
    environment:
      - ASPNETCORE_URLS=https://+:5001
      - ASPNETCORE_Kestrel__Certificates__Default__Path=/app/certs/your-cert.pfx
      - ASPNETCORE_Kestrel__Certificates__Default__Password=your-pass

  order-api:
    image: your-order-api-image
    networks:
      - ms-network
    environment:
      - IdentityServer__Authority=https://identity-server:5001
      - IdentityServer__RequireHttpsMetadata=true

networks:
  ms-network:
    driver: bridge

内容的提问来源于stack exchange，提问作者Idrismalekzad