如何在OpenShift4 Pod中为Current User安装X509证书至个人存储？

问题描述 #

需要在OpenShift4 Pod中将证书安装到Current User的个人存储，用于MQ连接的SSL认证，但运行.NET 6控制台代码时出现权限错误。

代码示例 #

private static void InstallCertificate(string cerFileName, string friendlyName)
{
    X509Store store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
    store.Open(OpenFlags.ReadOnly);
    try
    {
        X509Certificate2 certificate = new X509Certificate2(cerFileName, "<<CertificatePassword>>");
        if (RuntimeInformation.IsOSPlatform(OSPlatform.Windows) && !string.IsNullOrEmpty(friendlyName))
        {
            certificate.FriendlyName = friendlyName;
        }
        store.Open(OpenFlags.ReadWrite);
        store.Add(certificate);
    }
    catch (Exception ex)
    {
        Console.WriteLine($"Error in adding cert: {ex.Message}");
    }
    store.Close();
}

错误信息 #

无法将X509证书添加到存储中
详细错误堆栈：

System.Security.Cryptography.CryptographicException: 无法将X509证书添加到存储中。
 ---> System.UnauthorizedAccessException: 访问路径 '/.dotnet/corefx/cryptography/x509stores/my' 被拒绝。
 ---> System.IO.IOException: 权限被拒绝
   --- 内部异常堆栈跟踪结束 ---
   在 System.IO.FileSystem.CreateDirectory(String fullPath)
   在 System.IO.Directory.CreateDirectory(String path)
   在 Internal.Cryptography.Pal.DirectoryBasedStoreProvider.AddCertToStore(ICertificatePal certPal)
   在 Internal.Cryptography.Pal.DirectoryBasedStoreProvider.Add(ICertificatePal certPal)
   --- 内部异常堆栈跟踪结束 ---
   在 Internal.Cryptography.Pal.DirectoryBasedStoreProvider.Add(ICertificatePal certPal)
   在 System.Security.Cryptography.X509Certificates.X509Store.Add(X509Certificate2 certificate)

问题原因 #

在Linux环境（OpenShift4 Pod默认使用Linux镜像）中，.NET Core的CurrentUser证书存储默认指向~/.dotnet/corefx/cryptography/x509stores/目录，但Pod中运行程序的用户通常没有该目录的读写权限，无法创建或写入证书文件，从而触发权限拒绝错误。

解决方法 #

1. 指定自定义证书存储路径 #

通过环境变量指定一个程序有读写权限的目录，比如Pod的临时目录或挂载的持久化目录：

• 在Pod部署配置中添加环境变量：

  env:
    - name: DOTNET_SYSTEM_X509CERTS_CURRENT_USER_STORE_PATH
      value: "/tmp/dotnet-certs"
  

• 启动程序前确保目录存在并设置权限，可在启动脚本中添加：

  mkdir -p /tmp/dotnet-certs/my
  chmod 700 /tmp/dotnet-certs
  

• 重新运行程序，证书会被写入指定目录，避免权限问题。

2. 直接加载证书文件（无需安装到存储） #

如果仅用于MQ连接，可跳过存储安装步骤，直接在代码中加载证书使用：

private static X509Certificate2 LoadCertificate(string cerFileName, string password)
{
    return new X509Certificate2(cerFileName, password);
}

// 在MQ连接逻辑中使用证书
var sslCert = LoadCertificate("mq-cert.cer", "<<CertificatePassword>>");
// 示例：将证书传入MQ客户端的SSL配置
// mqClient.SslSettings.ClientCertificate = sslCert;

3. 调整Pod运行用户权限 #

若必须使用默认存储路径，可修改Pod的SecurityContext并在镜像中预先配置目录权限：

• 在Pod部署配置中添加SecurityContext：

  securityContext:
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
  

• 在Dockerfile中预先创建目录并设置权限：

  RUN mkdir -p /.dotnet/corefx/cryptography/x509stores/my \
      && chown -R 1000:1000 /.dotnet
  

内容的提问来源于stack exchange，提问作者titan