Windows容器内DotNet Core Kestrel绑定443端口报Object was not found错误如何解决

问题根因 #

报错Internal.Cryptography.CryptoThrowHelper+WindowsCryptographicException: Object was not found出现在PFX证书加载阶段，排除密码错误、路径不存在的问题后，核心原因是Kestrel默认的证书加载配置不适配Windows容器的权限上下文：

• Kestrel默认加载X509证书时，会尝试将私钥导入当前用户的证书存储区，但Windows容器内的默认运行用户没有权限写入用户级证书存储，也没有对应存储区的访问权限。
• 部分自签名证书导出时未包含完整私钥，或者开启了强密钥保护，也会触发该类报错。

解决方案 #

1. 新增密钥存储标志环境变量（优先使用，操作最简单） #

在docker-compose.yaml的environment配置段，新增Kestrel证书加载的密钥存储标志配置：

environment:
  - ASPNETCORE_Kestrel__Certificates__Default__Password=somepass
  - ASPNETCORE_Kestrel__Certificates__Default__Path=c:\certificates\servercert.pfx
  # 新增以下配置
  - ASPNETCORE_Kestrel__Certificates__Default__KeyStorageFlags=MachineKeySet,PersistKeySet,Exportable

三个标志的作用：

• MachineKeyStore：将私钥存储到计算机级别的证书存储，不需要用户级存储权限
• PersistKeySet：导入证书时持久化保存私钥，避免加载后被系统自动清理
• Exportable：允许Kestrel读取私钥内容用于TLS握手

2. 重新导出PFX证书（方法1不生效时使用） #

重新导出自签名证书时注意两个配置：

• 必须勾选「导出私钥」选项
• 取消勾选「启用强密钥保护」选项
  导出后替换宿主机d:/certificates路径下的servercert.pfx文件即可。

额外注意项 #

你当前使用的启动命令存在拼写错误：docker-compose run wepApp中的服务名应为webApp，拼写错误会直接导致服务启动失败。
不需要额外配置localhost的host映射，Kestrel监听的是+通配符，会匹配所有入站域名，只要证书的SAN/CN字段包含访问使用的域名即可正常握手。

内容的提问来源于stack exchange，提问作者MiguelSlv