AKS使用AKV Secrets Store CSI驱动时Kestrel抛异常问题

问题根因 #

你的配置存在两处遗漏，是AKS集群通过CSI Secrets Store驱动挂载AKV证书给Kestrel使用时的典型问题：

• Kestrel证书配置不匹配挂载文件格式：CSI驱动默认拉取AKV证书对象时，会将公钥证书、私钥拆分为两个独立的PEM文件存储，你当前仅在appsettings.json中配置了证书公钥文件路径，未指定私钥路径，Kestrel无法找到匹配的私钥完成加载。
• 挂载文件权限不符合运行时要求：ASP.NET Core 6.0+官方镜像默认使用UID 1654的非root用户app运行服务，而CSI驱动默认挂载的证书文件权限为0600、属主为root，非root用户无读取权限，即使路径配置正确也会加载失败。你用Busybox验证时Pod默认以root身份运行，因此可以正常看到私钥文件，和dotnet进程的运行权限场景不一致。

修复方案 #

1. 更新SecretProviderClass配置

在证书对象的配置段添加两个参数，调整输出格式和文件权限：

• 配置format: pfx，让驱动直接输出包含完整公私钥的PFX格式单文件，避免公私钥拆分
• 配置filePermission: 0644，授予所有用户文件读取权限，保证非root运行的dotnet进程可以正常读取
  配置示例片段：

objects: |
  array:
    - objectName: <你的AKV证书名称>
      objectType: certificate
      objectEncoding: base64
      filePermission: 0644
      format: pfx

2. 更新Kestrel证书配置

修改appsettings.json中的证书配置，路径指向挂载目录下的PFX文件，补充密码配置（AKV默认导出的PFX密码为空，若自行设置了证书密码则填写对应值）：

"Certificates": {
  "Default": {
    "Path": "/mnt/certs/<你设置的证书挂载文件名>.pfx",
    "Password": ""
  }
}

如果要保留PEM拆分格式，无需修改SecretProviderClass的format配置，只需在Kestrel配置中额外增加KeyPath字段指向私钥文件路径即可，同样需要配置filePermission: 0644保证权限。

3. 重新部署生效

更新SecretProviderClass、应用配置、Deployment清单后，执行滚动更新重启Pod即可。可以通过进入容器检查挂载文件权限、查看服务启动日志验证修复结果，正常情况下Kestrel会成功绑定HTTPS端口，不再抛出证书加载错误。

内容的提问来源于stack exchange，提问作者ibocon