ASP.NET Windows服务读取本地证书存储证书启动Kestrel失败排查

问题原因 #

你遇到的报错90%以上是Windows服务的运行账号没有读取LocalMachine/My证书存储中对应证书私钥的权限，其次是证书安装位置有误。你直接加载pfx文件可以正常运行，说明证书本身的内容、密钥用法、私钥都没有问题。

解决步骤 #

• 首先确认证书安装路径正确：按Win+R输入certlm.msc打开本地计算机证书管理器，依次展开个人→证书，确认目标证书存在于该列表下，证书在有效期内、信任链完整。如果找不到证书，说明你之前安装证书时选择了「当前用户」存储，重新安装时选择「本地计算机」即可。
• 授予服务账号私钥读取权限：在certlm.msc中找到目标证书，右键点击选择「所有任务」→「管理私钥」，在弹出的权限配置窗口中添加你的Windows服务运行所用的账号：
  • 如果服务用内置的本地系统账号运行，添加SYSTEM账号
  • 如果服务用自定义的域账号或本地账号运行，添加对应的账号名
    给该账号勾选读取权限，点击确定保存配置。
• 确认配置文件写法正确：Subject字段直接填写证书主题中CN的取值即可，无需加CN=前缀。如果同一存储下存在多个同主题的证书，可临时添加"AllowInvalid": true配置测试是否能找到证书，验证通过后生产环境记得改回false避免信任无效证书。

内容的提问来源于stack exchange，提问作者Nicolas