IIS部署C#/MVC应用加载Google API p12证书提示找不到指定文件怎么办

• 修改X509KeyStorageFlags枚举配置
  该报错本质是默认的X509KeyStorageFlags.Exportable会尝试将证书私钥写入当前用户的证书存储区，IIS未开启「Load User Profile」时应用池身份的用户配置文件未加载，就会触发找不到文件的错误。
  将构造函数的第三个参数调整为如下组合即可：

var certificate = new X509Certificate2(
    Path.Combine(AppDomain.CurrentDomain.BaseDirectory, serviceAccountCertPath),
    serviceAccountCertPassword,
    X509KeyStorageFlags.Exportable | X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet
);

新增的X509KeyStorageFlags.MachineKeySet会指定将私钥存储到计算机级的证书存储区，不需要加载用户配置文件即可正常读取。建议配合using语句使用证书实例，避免残留无用的密钥文件。

• 改用字节数组加载证书
  可以先将证书文件读取为字节数组，再传入构造函数，绕过部分文件路径关联的权限校验逻辑：

// 先读取证书文件字节流
byte[] certBuffer = File.ReadAllBytes(Path.Combine(AppDomain.CurrentDomain.BaseDirectory, serviceAccountCertPath));
var certificate = new X509Certificate2(
    certBuffer,
    serviceAccountCertPassword,
    X509KeyStorageFlags.Exportable | X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet
);

• 补充对应目录权限
  调整存储标记后需要确认两个位置的权限配置：

1. 右键p12证书文件→属性→安全→添加当前站点对应的IIS应用池身份（格式为IIS AppPool\你的应用池名称），授予「读取」权限
2. 给计算机级密钥存储目录C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys，授予同应用池身份「读取+写入」权限

• 替代方案：使用JSON格式服务账号密钥
  如果条件允许，可从Google Cloud控制台重新下载JSON格式的服务账号密钥，无需处理X509证书加载逻辑，直接调用Google官方认证类库的GoogleCredential.FromFile()方法加载即可，可彻底规避该类证书加载问题。

内容的提问来源于stack exchange，提问作者Gratzy