Azure经典云服务工作进程通过证书连接密钥库问题排查

你遇到的核心问题是经典云服务的证书部署需要额外的配置步骤，仅仅在门户上传证书是不够的，云服务不会自动将证书加载到虚拟机的证书存储中。另外，工作进程的运行上下文也和本地不同，需要调整证书查找的位置。

为什么证书未显示？ #

经典云服务对证书的部署有严格的配置要求：

1. 缺少服务定义与配置文件的声明：
   你在门户上传证书后，必须在ServiceDefinition.csdef和ServiceConfiguration.cscfg中明确声明证书信息，云服务部署时才会将证书安装到虚拟机的证书存储里。没有这些配置，上传的证书只是保存在云服务的资产中，不会被加载到系统存储。
2. 运行上下文的存储位置差异：
   本地你用的是StoreLocation.CurrentUser，但Azure经典云服务的工作进程是运行在LocalSystem账户下，对应的证书存储位置是LocalMachine，而不是当前用户存储。即使证书被正确安装，你之前的遍历代码如果没检查LocalMachine位置，也会漏掉，但本质问题还是配置缺失导致证书没被安装。

正确的实现步骤 #

1. 配置服务定义与配置文件 #

• 修改ServiceDefinition.csdef：在你的Worker Role节点下添加证书声明，指定存储位置和名称：

<WorkerRole name="YourWorkerRoleName" vmsize="Small">
  <!-- 其他配置 -->
  <Certificates>
    <Certificate name="MyFineCertificate" storeLocation="LocalMachine" storeName="My" />
  </Certificates>
</WorkerRole>

• 修改ServiceConfiguration.cscfg：添加证书的指纹信息（你上传到门户的证书指纹）：

<Role name="YourWorkerRoleName">
  <!-- 其他配置 -->
  <Certificates>
    <Certificate name="MyFineCertificate" thumbprint="YOUR_CERTIFICATE_THUMBPRINT" thumbprintAlgorithm="sha1" />
  </Certificates>
</Role>

注意：证书指纹可以在Azure门户的云服务证书面板中复制，确保算法和证书匹配（一般是sha1）。

2. 调整证书获取代码 #

将证书查找的存储位置改为LocalMachine，并且用指纹查找更可靠（避免Subject重复的问题）：

private static X509Certificate2 GetCertificate() {
    var certStore = new X509Store(StoreName.My, StoreLocation.LocalMachine);
    certStore.Open(OpenFlags.ReadOnly);
    // 替换为你的证书指纹
    var results = certStore.Certificates.Find(X509FindType.FindByThumbprint, "YOUR_CERT_THUMBPRINT", false);
    if (results.Count == 0) {
        throw new InvalidOperationException("Certificate not found in LocalMachine store");
    }
    return results[0];
}

3. 验证Key Vault权限 #

确保你的AD应用（对应代码中的clientId）在Key Vault的访问策略中拥有必要的权限（比如Get Secrets/Keys/Certificates），否则即使证书认证通过，也无法访问密钥库资源。

关于实现方向的确认 #

你的方向是完全正确的：因为Azure经典云服务确实不支持托管标识（托管标识仅适用于ARM部署的资源，而经典云服务属于ASM模型），所以使用客户端证书认证是访问Key Vault的合理方案，只要完成上述配置，就能在云服务中正常运行。

内容的提问来源于stack exchange，提问作者invisiblesquirrel