.NET 6项目非管理员账户无法建立SSL连接问题求助

这是一个.NET 6项目，证书已从pfx文件导入至Local Computer存储。使用以下代码（省略无关部分），当服务账户加入本地管理员组时一切正常：

var certStore = new X509Store(storeName, storeLocation);
certStore.Open(OpenFlags.ReadOnly);
var _clientCertificate = certStore.Certificates
.Find(X509FindType.FindByThumbprint, thumbprint, false)
.FirstOrDefault();
...
BasicHttpsBinding binding = new BasicHttpsBinding(BasicHttpsSecurityMode.Transport);
binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Certificate;

var client = new Client(binding, endpoint);
client.ClientCredentials.ClientCertificate.Certificate = _clientCertificate;
...

当账户不在本地管理员组时，会抛出以下异常：

System.ServiceModel.Security.SecurityNegotiationException: Could not establish trust relationship for the SSL/TLS secure channel with authority 'other.service.com'.
 ---> System.Net.Http.HttpRequestException: The SSL connection could not be established, see inner exception.
 ---> System.Security.Authentication.AuthenticationException: Authentication failed, see inner exception.
 ---> System.ComponentModel.Win32Exception (0x8009030D): The credentials supplied to the package were not recognized
   at System.Net.SSPIWrapper.AcquireCredentialsHandle(ISSPIInterface secModule, String package, CredentialUse intent, SCHANNEL_CRED* scc)
   at System.Net.Security.SslStreamPal.AcquireCredentialsHandle(CredentialUse credUsage, SCHANNEL_CRED* secureCredential)
   at System.Net.Security.SslStreamPal.AcquireCredentialsHandleSchannelCred(SslStreamCertificateContext certificateContext, SslProtocols protocols, EncryptionPolicy policy, Boolean isServer)
   at System.Net.Security.SslStreamPal.AcquireCredentialsHandle(SslStreamCertificateContext certificateContext, SslProtocols protocols, EncryptionPolicy policy, Boolean isServer)

请问我遗漏了什么配置或权限？

问题核心是服务账户没有读取证书私钥的权限：管理员组默认拥有Local Computer存储中所有证书私钥的访问权限，所以账户在组内时能正常工作；移出后失去权限，导致SSL/TLS握手时无法调用私钥完成身份验证，触发0x8009030D（SEC_E_UNKNOWN_CREDENTIALS）错误。

手动配置私钥权限 #

1. 按下Win+R输入certlm.msc打开本地计算机证书管理器。
2. 在对应存储位置（如Personal）找到目标客户端证书，右键选择所有任务 > 管理私钥。
3. 点击添加，输入服务账户名称，为该账户分配读取权限后保存。

导入证书时直接指定权限（可选） #

使用certutil命令导入时，可直接设置私钥权限：

certutil -importpfx -privatekey My certificate.pfx ATTRIBUTE_KEY_CONTAINER:"MyKeyContainer" ATTRIBUTE_ACCESS:"DOMAIN\ServiceAccount:R"

或在图形化导入向导的私钥保护步骤中，勾选相关选项并配置账户权限。

补充：代码中仅读取了证书公钥部分，但SSL客户端认证必须访问私钥才能完成握手流程，这是容易忽略的权限点。

内容的提问来源于stack exchange，提问作者Nafas