OpenShift容器中ASP.NET Core应用TLS连接报UntrustedRoot异常

问题分析 #

你遇到的错误核心是UntrustedRoot，说明OpenShift容器的系统信任根存储中不包含目标WebService的SSL根CA证书。本地环境正常是因为你的开发机（Windows/macOS）的信任存储已经包含该根CA，而OpenShift使用的容器镜像默认没有这个CA。

虽然openssl s_client -connect api.example.com:443 -prexit能显示证书链，但该命令默认不会验证根CA是否被系统信任，所以无法反映容器的实际信任状态。

下面提供两种可行的解决方案，根据你的部署权限选择：

方案一：容器层面添加信任根（推荐，系统级信任） #

通过修改Dockerfile将根CA证书添加到容器的信任存储，这样容器内所有应用（包括自动生成的WCF代理）都会信任该CA，无需修改应用代码。

步骤： #

1. 获取根CA证书：从目标WebService的证书链中提取根CA证书（可以通过openssl s_client输出的-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----块保存为文件，比如customer-root-ca.crt），或直接向客户索要根CA证书文件。
2. 修改Dockerfile：
   根据你使用的基础镜像类型，执行不同的复制和更新命令：
   • Debian/Ubuntu系镜像（如官方.NET ASP.NET镜像）：

     # 假设基础镜像是mcr.microsoft.com/dotnet/aspnet:7.0
     # 复制CA证书到系统证书目录
     COPY customer-root-ca.crt /usr/local/share/ca-certificates/
     # 更新系统信任存储
     RUN update-ca-certificates
     

   • RHEL/CentOS系镜像：

     COPY customer-root-ca.crt /etc/pki/ca-trust/source/anchors/
     RUN update-ca-trust extract
     

3. 重新构建镜像并部署：将修改后的镜像推送到镜像仓库，重新部署到OpenShift即可。

方案二：应用内自定义证书验证（无需修改容器） #

如果你无法修改容器镜像，可以在ASP.NET Core应用中为WCF代理配置自定义证书验证逻辑，强制信任目标CA。

步骤： #

1. 创建自定义证书验证器：

   using System.Net.Security;
   using System.Security.Cryptography.X509Certificates;
   
   public class TrustedRootValidator : X509CertificateValidator
   {
       private readonly X509Certificate2 _trustedRoot;
   
       public TrustedRootValidator(X509Certificate2 trustedRoot)
       {
           _trustedRoot = trustedRoot;
       }
   
       public override void Validate(X509Certificate2 certificate)
       {
           using var chain = new X509Chain();
           // 将信任的根CA添加到验证链的额外存储
           chain.ChainPolicy.ExtraStore.Add(_trustedRoot);
           // 启用严格验证（可根据需求调整VerificationFlags）
           chain.ChainPolicy.VerificationFlags = X509VerificationFlags.NoFlag;
   
           if (!chain.Build(certificate))
           {
               throw new SecurityNegotiationException("SSL证书验证失败：根CA未被信任");
           }
       }
   }
   

2. 为WCF代理配置验证器：
   在创建WCF客户端实例时，添加自定义证书验证行为：

   // 加载根CA证书（可从嵌入资源、配置文件或环境变量读取，示例从文件加载）
   var trustedCa = new X509Certificate2("customer-root-ca.crt");
   
   // 实例化自动生成的WCF代理客户端
   var serviceClient = new YourWcfServiceClient();
   
   // 替换默认的证书验证逻辑
   var clientCredentials = serviceClient.Endpoint.Behaviors.Find<ClientCredentials>();
   if (clientCredentials != null)
   {
       clientCredentials.ServiceCertificate.Authentication.CertificateValidationMode = 
           X509CertificateValidationMode.Custom;
       clientCredentials.ServiceCertificate.Authentication.CustomCertificateValidator = 
           new TrustedRootValidator(trustedCa);
   }
   
   // 调用服务方法
   var response = await serviceClient.YourServiceOperationAsync();
   

   如果是通过依赖注入注册WCF客户端，需要在注册时配置该行为。

内容的提问来源于stack exchange，提问作者Simone