.NET应用部署IIS后调用MinIO SDK遇SSL连接建立失败问题

排查与解决方案 #

• MinIO证书未被IIS服务器信任
  本地开发环境通常已导入MinIO自签名证书，但IIS所在服务器的系统信任列表中无该证书，导致SSL验证失败。
  操作步骤：

  1. 导出MinIO的SSL证书（保存为.cer格式）
  2. 在IIS服务器上打开证书管理控制台，将证书导入本地计算机-受信任的根证书颁发机构

• .NET应用SSL验证策略限制
  默认.NET安全策略会拒绝自签名证书连接，可按需调整：

  • 测试环境临时禁用验证（生产环境不推荐）：

    var minio = new MinioClient()
        .WithEndpoint("你的MinIO地址")
        .WithCredentials("AccessKey", "SecretKey")
        .WithSSL()
        .WithHttpClient(() => new HttpClient(new HttpClientHandler
        {
            ServerCertificateCustomValidationCallback = (sender, cert, chain, errors) => true
        }))
        .Build();
    

  • 生产环境：使用CA颁发的可信证书，或把自签名证书导入服务器根证书库

• IIS服务器SSL/TLS版本不兼容
  MinIO通常要求TLS 1.2及以上版本，若IIS服务器出站请求禁用了对应版本则会报错。
  解决：通过注册表启用TLS 1.2：

  1. 打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
  2. 确认TLS 1.2的Client项中，Enabled值设为1，DisabledByDefault设为0

• 网络代理/防火墙拦截
  IIS服务器所在网络的防火墙或代理可能阻断了MinIO的443端口请求。
  解决：

  1. 检查防火墙规则，允许IIS服务器出站访问MinIO的443端口
  2. 若有代理，在应用中配置代理信息：

  var handler = new HttpClientHandler
  {
      Proxy = new WebProxy("http://代理地址:端口"),
      UseProxy = true
  };
  var minio = new MinioClient()
      .WithEndpoint("你的MinIO地址")
      .WithCredentials("AccessKey", "SecretKey")
      .WithSSL()
      .WithHttpClient(() => new HttpClient(handler))
      .Build();
  

内容的提问来源于stack exchange，提问作者Ehsan Lotfinia