如何使用Microsoft.Web.Administration将证书导入IIS服务器？

你提到的代码其实已经把证书放到了IIS需要的存储位置——LocalMachine的My（个人）证书存储，IIS本身就是从这个存储池里读取SSL证书的。你觉得没“加到IIS服务器中”，大概率是因为缺少两个关键步骤：将证书绑定到具体的IIS网站，以及给IIS的应用池身份授予证书私钥的访问权限。

下面是完整的实现步骤：

1. 正确安装证书到LocalMachine存储 #

首先完善证书安装的代码，确保私钥存储在机器级（而非用户级），这是IIS能访问到证书的前提：

using System.Security.Cryptography.X509Certificates;

var certFilePath = "path/to/your/certificate.pfx";
var certPassword = "your-cert-password"; // PFX格式证书需要填写密码

// 打开LocalMachine的个人证书存储
using var store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadWrite);

// 加载证书，指定私钥存储在机器级并持久化
var certificate = new X509Certificate2(
    certFilePath, 
    certPassword, 
    X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.MachineKeySet
);

// 避免重复添加证书
if (!store.Certificates.Find(X509FindType.FindByThumbprint, certificate.Thumbprint, false).Any())
{
    store.Add(certificate);
}

store.Close();

2. 给IIS应用池身份授予私钥访问权限 #

IIS的应用池默认身份（比如IIS_IUSRS或自定义的AppPoolIdentity）需要读取证书私钥的权限，否则会出现证书无法加载的错误。可以通过以下代码设置：

using System.Security.AccessControl;
using System.Security.Principal;
using System.IO;

// 获取证书私钥的物理文件路径
var privateKeyBasePath = Path.Combine(
    Environment.GetFolderPath(Environment.SpecialFolder.CommonApplicationData),
    @"Microsoft\Crypto\RSA\MachineKeys"
);
var privateKeyFileName = certificate.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName;
var privateKeyFullPath = Path.Combine(privateKeyBasePath, privateKeyFileName);

// 设置文件访问权限，允许IIS_IUSRS读取私钥
var fileInfo = new FileInfo(privateKeyFullPath);
var accessControl = fileInfo.GetAccessControl();
var iisUser = new NTAccount("IIS_IUSRS");
accessControl.AddAccessRule(
    new FileSystemAccessRule(iisUser, FileSystemRights.Read, AccessControlType.Allow)
);
fileInfo.SetAccessControl(accessControl);

3. 将证书绑定到IIS网站 #

最后用Microsoft.Web.Administration把证书绑定到指定网站的HTTPS端口，完成IIS层面的配置：

using Microsoft.Web.Administration;

using var serverManager = new ServerManager();
var targetSite = serverManager.Sites["YourTargetSiteName"]; // 替换为你的网站名称

// 检查是否已存在相同端口的HTTPS绑定
var existingHttpsBinding = targetSite.Bindings.FirstOrDefault(
    b => b.Protocol == "https" && b.EndPoint.Port == 443
);

if (existingHttpsBinding == null)
{
    // 创建新的HTTPS绑定，关联已安装的证书
    targetSite.Bindings.Add("*:443:", certificate.Thumbprint, "My");
    serverManager.CommitChanges();
}

注意：运行这段代码的进程必须拥有管理员权限，否则无法修改IIS配置和证书存储。

内容的提问来源于stack exchange，提问作者Michael