azure - 在 IIS 当前用户/个人存储中安装证书

Question

我们在 azure 上托管一些网站，而在 azure 中的虚拟机上托管一些网站。我们希望重用尽可能多的代码。在 azure 应用程序服务(网站)中，可以使用以下代码段在 CurrentUser/Personal 存储中找到已安装的证书:

using (var certStore = new X509Store(StoreName.My, StoreLocation.CurrentUser))
{
    certStore.Open(OpenFlags.ReadOnly);
    var certCollection =
        certStore.Certificates.Find(
            X509FindType.FindByThumbprint,
            thumbprint,
            false);
}

我也想在 IIS 上使用完全相同的代码片段。应用程序池标识设置为 ApplicationPoolIdentity。我已经尝试在各个地方安装证书，但无法检索所需的证书...我还尝试在本地计算机/个人存储中安装证书并授予私钥权限

我应在 MMC 管理单元中使用哪个身份？我在那里找不到 ApplicationPoolIdentity 用户帐户。只有一个 Application Identity 帐户无法解决我的问题...

Answer 1

如果您想使用本地计算机存储而不是指定用户的个人存储，则需要在调用 X509Store 构造函数时使用 StoreLocation.LocalMachine ，枚举由两个值组成，在上面的代码中您使用另一个值 - CurrentUser。如果您使用证书的私钥，IIS AppUser\ApplicationPoolIdentity 用户将需要访问本地计算机存储中的相关证书，这可以通过添加 DefaultAppPool 用户来授予相关证书的私钥权限对话框中允许的用户。这可以从证书的上下文菜单中访问，在所有任务下，然后在管理私钥下。

我目前不确定是否可以为 ApplicationPoolIdentity 用户安装证书，我目前正在尝试自己寻找答案。根据Microsoft's IIS documentation ApplicationPoolIdentity 帐户是为池的生命周期创建的虚拟帐户，因此我开始得出结论，此类用户可能无法使用 CurrentUser 存储。如果我最终找到答案，我会回来更新我的答案。