Azure托管ASP.NET Core 2.2 API中ProvisioningDeviceClient.Create()调用失败

从你的描述来看，本地运行正常但部署到Azure后出现Internal.Cryptography.CryptoThrowHelper+WindowsCryptographicException: Access is denied，核心问题出在证书存储的权限或者Azure沙箱的限制上，下面分两部分帮你梳理：

需要收集的额外信息 #

• Web App的证书配置与权限：
  • 确认你的PFX证书是如何部署到Azure的：是上传为Web App的SSL证书，还是放在应用的文件目录中？如果是前者，必须在应用设置中添加WEBSITE_LOAD_CERTIFICATES，值设为证书的指纹或者*（加载所有证书），否则应用无法访问证书存储中的证书。如果是后者，要检查证书文件的读取权限——Azure Web App的运行身份IIS APPPOOL\<你的应用名>是否能读取该文件。
  • 聚焦异常堆栈里的CertificateInstaller.EnsureChainIsInstalled方法，这个方法会尝试把证书链安装到本地机器存储，但Azure Web App的沙箱环境不允许写入系统证书存储，这很可能是触发权限拒绝的直接原因。
• 托管模式与运行身份：
  • 检查Web App的ASPNETCORE_HOSTING_MODEL应用设置，确认是InProcess还是OutOfProcess托管模式。不同模式下，应用的运行身份和权限范围有差异，OutOfProcess模式下可能会有更多权限限制。
• NuGet包版本兼容性：
  • 你使用的Microsoft.Azure.Devices.Provisioning.Client 1.2.2是2019年的旧版本，可能和当前Azure Web App的Windows Server环境、.NET Core 2.2运行时存在兼容性问题。可以尝试升级到该包的最新稳定版本，新版本大概率修复了旧版中自动安装证书到存储的逻辑。
• 沙箱限制验证：
  • 启用Azure Web App的详细诊断日志，捕获更完整的运行时上下文，确认是否触发了沙箱的其他权限限制。

Azure环境下的可用性确认 #

这个场景是完全支持的，但需要正确规避沙箱限制：

• 不要依赖SDK自动安装证书到系统存储：旧版的Provisioning Client会自动调用EnsureChainIsInstalled写入证书存储，这在Azure沙箱中是被禁止的。升级SDK版本后，新版本已经移除了这个自动安装的逻辑，改为仅在内存中使用证书。
• 正确配置证书访问权限：如果使用上传的SSL证书，必须设置WEBSITE_LOAD_CERTIFICATES应用设置；如果使用本地文件存储的PFX，确保文件路径在应用的wwwroot或私有目录下，且运行身份有读取权限。
• 确认证书部署完整性：虽然本地运行正常，但仍要验证部署到Azure的证书文件没有损坏，密码正确（如果有密码的话）。

另外，你可以尝试修改代码逻辑，手动加载证书链并跳过自动安装步骤——比如直接使用X509Certificate2加载证书后传入SecurityProviderX509Certificate，避免SDK触发写入存储的操作。

内容的提问来源于stack exchange，提问作者user2503078