如何通过代码为IIS新站点分配现有SSL证书？C#批量绑定遇异常

问题根因 #

你遇到的问题是未为HTTPS绑定启用SNI（服务器名称指示） 导致的，这是IIS的设计机制而非Bug：在未启用SNI的情况下，同一个端口（默认443）下的所有HTTPS绑定会共享同一张证书，最终生效的是最后一次配置的证书。

你手动修改证书时弹出的全局覆盖提示也和该逻辑直接相关：IIS检测到同端口下存在多个无SNI标记的HTTPS绑定，修改证书默认会覆盖所有对应绑定。

修复方案 #

代码层面修改 #

Microsoft.Web.Administration 库的Bindings.Add方法提供了启用SNI的重载，你只需要在新增HTTPS绑定时增加第四个参数，显式要求启用SNI即可：

// 第四个参数设为true即启用SNI，每个站点的证书绑定会独立存储不会互相覆盖
site.Bindings.Add($"*:443:{domain.Domain}", domain.Certificate.GetCertHash(), "MY", true);

修改后重新执行站点创建逻辑即可恢复正常。

手动修改的处理方式 #

如果需要在IIS管理器中手动调整证书，勾选绑定编辑界面的「需要服务器名称指示」选项，就不会弹出全局覆盖的提示，可以单独为每个站点配置独立证书。

注意事项 #

• 需要IIS 8及以上版本原生支持SNI，IIS 7.5需要单独安装对应补丁才能正常使用该特性
• 测试环境的访问客户端需要支持SNI，目前主流浏览器、HTTP客户端均已支持，仅Windows XP下的老旧IE版本不兼容，对测试场景一般无影响
• 如果你使用的是覆盖所有域名的通配符证书或多域名SAN证书，也可以不开启SNI直接共享同一张证书，不需要做上述修改

内容的提问来源于stack exchange，提问作者Wim ten Brink