使用应用服务计划的 Azure Functions : The remote certificate is invalid according to the validation procedure

Question

我在使用应用服务计划的 Azure Functions 上使用证书连接远程 FTP 服务器时遇到问题，出现以下异常:

The remote certificate is invalid according to the validation procedure. System.Exception System.Security.Authentication.AuthenticationException

以下是我在 Azure Functions 上的设置

1.两个公共(public)证书已通过以下链接上传到 Azure Functions，如下所示:

https://learn.microsoft.com/en-us/azure/app-service/app-service-web-ssl-cert-load 请注意上面的位置，使用了App Service Plan，所以应该是LocalMachine\My吗？

This setting places the specified certificates in the Current User\My store for most pricing tiers, but in the Isolated tier (i.e. app runs in an App Service Environment), it places the certificates in the Local Machine\My store.

https://learn.microsoft.com/en-us/azure/app-service/app-service-web-ssl-cert-load

2.下面的代码也用于在Azure Functions上加载证书。

https://learn.microsoft.com/en-us/azure/app-service/app-service-web-ssl-cert-load#load-the-certificate-in-code

X509Store certStore = new X509Store(StoreName.My, StoreLocation.CurrentUser);
certStore.Open(OpenFlags.ReadOnly);
X509Certificate2Collection certCollection = certStore.Certificates.Find(
                            X509FindType.FindByThumbprint,
                            // Replace below with your certificate's thumbprint
                            "E661583E8FABEF4C0BEF694CBC41C28FB81CD870",
                            false);
// Get the first cert with the thumbprint
if (certCollection.Count > 0)
{
    X509Certificate2 cert = certCollection[0];
    // Use certificate
    Console.WriteLine(cert.FriendlyName);
}
certStore.Close();

下面是我的本地设置

使用下面的代码，结合下面我的本地计算机上的两个证书设置，连接到本地计算机上的远程 FTP 服务器没有问题

 private X509Certificate2 GetX509Certificate2FromFile()
    {
        return new X509Certificate2(Path.Combine("myCert.cer"));
    }

根 CA 证书安装在受信任的根证书颁发机构文件夹下

正在颁发 CA 证书，安装在 Intermediate Certification Authorities 文件夹下

更新详细异常可参见https://jsoneditoronline.org/?id=d1db13e9ee7143cf98653b807cfad75b

Answer 1

该错误似乎是客户端不信任 FTP 服务器证书的问题。我相信您可能正在谈论应用程序服务环境(隔离)。如果您使用的 ILB ASE 版本支持您自己的自定义域，并且所使用的证书不是来自受信任的 CA，则需要使用 WEBSITE_LOAD_ROOT_CERTIFICATES 加载证书。

https://learn.microsoft.com/en-us/azure/app-service/environment/certificates#private-client-certificate