.NET Core Web API在K8s部署启动时报BIO_new_file:system lib错误如何解决

该error:2006D002:BIO routines:BIO_new_file:system lib是OpenSSL层面的文件读取错误，在确认证书路径正确的前提下，故障根因为容器运行用户无证书文件读取权限，可按以下步骤排查修复：

排查步骤 #

• 临时修改Deployment启动命令为sleep 3600启动容器后执行以下命令，确认权限配置：

  # 查看证书权限
  ls -l /app/APIGateway/Certificates/aspnetapp.pfx
  # 查看当前容器运行用户ID
  id
  

• 微软官方.NET aspnet基础镜像默认使用非root用户（UID=1001）运行应用，若证书打包或挂载时权限为600且属主为root，非root用户无读取权限就会抛出该错误。

修复方案 #

方案1：镜像内权限配置（适用于证书打包到镜像的场景） #

在Dockerfile的base阶段新增权限调整指令：

FROM mcr.microsoft.com/dotnet/aspnet:5.0 AS base
WORKDIR /app
EXPOSE 443
# 新增：调整证书目录权限，允许1001用户读取
RUN chown -R 1001:1001 /app/APIGateway/Certificates \
    && chmod -R 644 /app/APIGateway/Certificates/*
ENV ASPNETCORE_URLS=https://+:443
ENV ASPNETCORE_HTTPS_PORT=443
ENV ASPNETCORE_Kestrel__Certificates__Default__Password={password}
ENV ASPNETCORE_Kestrel__Certificates__Default__Path=APIGateway/Certificates/aspnetapp.pfx

方案2：K8s挂载配置调整（适用于证书通过Secret挂载的场景） #

在Deployment的spec.template.spec下添加安全上下文配置：

spec:
  template:
    spec:
      securityContext:
        runAsUser: 1001
        runAsGroup: 1001
        fsGroup: 1001 # 自动将挂载卷的属主设置为1001用户
      volumes:
      - name: ssl-cert-volume
        secret:
          secretName: aspnet-ssl-cert
          defaultMode: 0644 # 明确配置证书文件全局可读权限

方案3：临时兜底方案（仅测试用，不推荐生产使用） #

配置容器以root用户运行：

spec:
  template:
    spec:
      securityContext:
        runAsUser: 0

内容的提问来源于stack exchange，提问作者Sach K