.NET Core 6 Worker服务部署时Azure Key Vault证书读取异常

一、Local System账户读取LocalMachine证书失败的修复 #

1. 检查证书私钥权限 #

Local Machine存储区的证书私钥默认权限可能未对Local System开放，导致服务无法读取：

• 打开MMC，添加「证书」管理单元，选择「本地计算机」
• 定位到目标证书（通常在「个人」存储区），右键→「所有任务」→「管理私钥」
• 在权限窗口添加 NT AUTHORITY\SYSTEM 账户，授予读取权限

2. 确认证书查找逻辑的准确性 #

确保代码中查找证书的参数完全匹配：

• 证书指纹需去除所有空格，注意大小写（部分系统对指纹大小写敏感）
• 存储区名称和位置要对应（比如StoreName.My对应「个人」存储区，StoreLocation.LocalMachine对应本地计算机）
• 示例代码参考：

using var store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);
var targetCert = store.Certificates.Find(
    X509FindType.FindByThumbprint, 
    "你的证书指纹（无空格）", 
    validOnly: false // 如果证书未在信任链中，设为false跳过有效性验证
).OfType<X509Certificate2>().FirstOrDefault();

3. 验证Local System的证书访问权限 #

用psexec工具以Local System身份启动命令行，执行以下命令验证证书是否可被读取：

psexec -s cmd.exe
certutil -store My 你的证书指纹

如果命令返回证书信息，说明权限和安装位置没问题；否则需重新检查证书安装路径或权限配置。

二、错误日志出现开发路径的处理 #

1. 检查日志配置文件 #

排查appsettings.Production.json（或对应环境的配置文件），确认日志输出路径是否硬编码了开发环境的项目路径，替换为生产环境的绝对路径（比如C:\YourServiceLogs）。

2. 确认自包含部署的完整性 #

• 发布时确保勾选「自包含部署」，检查发布目录下是否包含完整的.NET运行时文件（如hostfxr.dll、coreclr.dll等）
• 服务的工作目录默认是安装目录（C盘根目录），代码中若使用相对路径读取配置/日志，需确保路径基于该目录，或改为绝对路径。

3. 清理残留部署文件 #

删除发布目录下的旧文件（尤其是旧配置文件），重新执行发布流程，避免开发环境配置残留。

内容的提问来源于stack exchange，提问作者OJB1