如何通过VSTS自动化部署ASP.NET网站的SSL证书配置？

看起来你已经搞定了ASP.NET网站的基础部署流程，现在要把SSL证书的安装和配置也彻底自动化——这个需求太常见了，我结合你提到的思路，给你拆解一套可行的落地方案：

1. 安全存储SSL证书（别直接丢代码库！） #

绝对不建议把PFX证书直接放进VS解决方案的代码仓库里，Azure DevOps本身就有安全存储的工具：

• 登录你的Azure DevOps项目，进入项目设置 > 管道 > 安全文件，上传你的PFX证书，它会被加密存储，只有授权的部署管道能访问。
• 接着在变量组里添加一个秘密变量（比如命名为CertPassword），把证书的密码填进去，记得勾选「保密」选项，避免密码明文泄露。

2. 用远程PowerShell自动安装证书到目标服务器 #

在你的发布管道里，IIS Web App Deploy任务之前，添加两个核心任务：

2.1 先把证书复制到目标服务器 #

添加Windows机器文件复制任务：

• 源路径：先加一个下载安全文件任务，把刚才上传的PFX证书下载到代理的临时目录（比如$(Agent.TempDirectory)/my-ssl-cert.pfx），再把这个路径填到复制任务的源。
• 目标路径：填目标服务器的临时目录，比如\\<你的服务器IP>\C$\Temp，确保执行任务的账号有这个目录的写入权限。

2.2 远程执行PowerShell脚本安装证书 #

添加远程PowerShell任务，配置好目标服务器的WinRM连接（提前确保服务器开启WinRM，且代理能访问对应端口），然后执行以下脚本：

# 证书在目标服务器上的路径
$certPath = "C:\Temp\my-ssl-cert.pfx"
# 从Azure DevOps秘密变量获取证书密码，转成安全字符串
$certPassword = ConvertTo-SecureString "$(CertPassword)" -AsPlainText -Force

# 导入证书到本地计算机的个人存储（LocalMachine\My）
Import-PfxCertificate -FilePath $certPath -CertStoreLocation Cert:\LocalMachine\My -Password $certPassword

# 获取证书拇指纹，后续绑定IIS要用
$certThumbprint = (Get-PfxCertificate -FilePath $certPath).Thumbprint
# 把拇指纹输出为管道变量，方便后续任务引用
Write-Host "##vso[task.setvariable variable=CertThumbprint;]$certThumbprint"

# 给IIS应用池账号授予证书读取权限（这里假设应用池是DefaultAppPool，根据你的实际情况修改）
$acl = Get-Acl "Cert:\LocalMachine\My\$certThumbprint"
$appPoolUser = "IIS AppPool\DefaultAppPool"
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($appPoolUser, "Read", "Allow")
$acl.AddAccessRule($accessRule)
Set-Acl "Cert:\LocalMachine\My\$certThumbprint" $acl

3. 自动配置IIS的SSL绑定 #

这一步有两种方式，选你顺手的就行：

方式一：用IIS Web App Manage任务 #

在部署任务之后，添加IIS Web App Manage任务，选择「绑定」操作：

• 站点名称：填你的目标IIS站点名称
• 绑定类型：选HTTPS
• 端口：443（或者你自定义的HTTPS端口）
• SSL证书拇指纹：直接引用刚才输出的变量$(CertThumbprint)

方式二：在PowerShell脚本里直接搞定 #

如果不想多加任务，可以把绑定配置加到刚才的远程PowerShell脚本末尾：

# 导入IIS管理模块
Import-Module WebAdministration

# 给站点添加HTTPS绑定
New-WebBinding -Name "<你的站点名称>" -Protocol https -Port 443 -SslFlags 1
# 把证书和绑定关联起来
Get-WebBinding -Name "<你的站点名称>" -Protocol https | Set-WebBinding -PropertyName "SslCertHash" -Value $certThumbprint

几个关键注意事项 #

• 权限一定要够：执行远程PowerShell的账号必须是目标服务器的本地管理员（不然没法导入证书到LocalMachine存储）；同时IIS应用池账号必须有证书的读取权限，不然网站启动会报证书访问错误。
• 别泄露敏感信息：永远不要把证书密码或者PFX文件明文写在脚本或代码里，一定要用Azure DevOps的秘密变量和安全文件功能。
• WinRM提前配置好：目标服务器要开启WinRM服务，防火墙要放行5985（HTTP）或5986（HTTPS）端口，不然Azure DevOps代理连不上服务器。

内容的提问来源于stack exchange，提问作者Rob