WCF客户端使用LocalMachine证书存储时TLS握手失败如何解决

• 私钥访问权限配置（90%以上该场景报错的根因） #

LocalMachine存储下的证书私钥默认仅授予本地管理员组、SYSTEM系统账户读取权限，WCF客户端进程的运行身份（例如IIS应用池账户、Windows服务自定义运行账户、普通域/本地用户账户）默认无权限读取私钥，会直接导致TLS握手失败抛出对应错误。
修复步骤：

1. 用管理员权限打开本地计算机证书管理器certlm.msc
2. 定位到个人\证书下的certTest证书，右键选择「所有任务>管理私钥」
3. 添加WCF客户端进程的运行账户，仅授予「读取」权限即可，无需授予更高权限。

• 证书导入规范 #

  导入LocalMachine存储的证书必须满足以下要求：

  • 必须导入带私钥的PFX格式证书，仅导入公钥CER格式证书会缺失私钥，无法完成TLS握手
  • 必须通过管理员权限打开的certlm.msc执行导入操作，不要通过当前用户证书管理器certmgr.msc跳转导入，避免私钥实际存储到CurrentUser路径下
  • 导入时确认存储位置选择「本地计算机」，不要误选「当前用户」

• 前置验证排查 #

  出现报错时可先做以下验证快速定位问题：

  1. 用管理员权限直接运行WCF客户端程序，如果运行正常可直接判定为私钥权限问题，按第一条方案修复即可
  2. 用客户端运行身份执行简单的证书读取测试，确认可枚举到LocalMachine\My存储下的目标证书，且HasPrivateKey属性为True
  3. 确认证书链验证正常：如果存在中间CA，需将中间CA证书存入LocalMachine的「中级证书颁发机构」存储，根CA证书确实存入LocalMachine的「受信任的根证书颁发机构」存储，未被组策略的不信任根证书列表拦截
  4. 可临时关闭证书吊销检查验证是否为CRL访问问题，在配置的clientCredentials节点下添加如下配置即可（生产环境不建议长期关闭，需排查CRL地址可达性）：

  <serviceCertificate>
    <authentication revocationMode="NoCheck"/>
  </serviceCertificate>
  

内容的提问来源于stack exchange，提问作者FluffyBike