我在 Azure 中有一个 Web 角色，它必须连接到受 SSL 保护的外部 Web 服务。当应用程序尝试连接到 Web 服务时，它会给出错误：
无法为 SSL/TLS 安全通道建立信任关系 具有“certname.organization.org”权限。
它需要的证书已作为服务证书上传到 Azure，但由于某种原因，它似乎没有正确引用或使用它。
关于如何解决这个问题的任何想法？
【问题讨论】：
标签： asp.net web-services azure ssl-certificate
听起来您在 Azure 中的服务客户端对您调用的外部服务的 SSL 证书不满意 - 您是否可以控制该服务？
您可以使用以下方法来测试这一点，以忽略来自 Azure 中客户端的 SSL 错误：
ServicePointManager.ServerCertificateValidationCallback =
(obj, certificate, chain, errors) => true;
【讨论】：
我也间歇性地看到过这个问题。就我而言，事实证明，获取根证书之一的网络连接有时会超时。然后在将来的请求中它会再次工作。
我最终编写了一个自定义回调，它可以让我感兴趣的特定证书在出现错误的情况下正常工作，而不会影响其他证书的验证。下面是我的代码。正如您可能知道的那样，我正在尝试使用 Android Cloud-to-Device Messaging 端点，并尝试解决 Google 使用的通配符证书的问题，但它应该是可推广的。这也包含我用来诊断特定错误的所有日志记录。即使您不想强制验证证书，日志记录代码也可以帮助您决定如何继续。
private static readonly Uri PUSH_URI = new Uri("https://android.apis.google.com/c2dm/send", UriKind.Absolute);
/**
//The following function needs to be wired up in code somewhere else, like this:
ServicePointManager.ServerCertificateValidationCallback += ValidateDodgyGoogleCertificate;
**/
/// <summary>
/// Validates the SSL server certificate. Note this is process-wide code.
/// Wrote a custom one because the certificate used for Google's push endpoint is not for the correct domain. Go Google.
/// </summary>
/// <param name="sender">either a host name string, or an object derived from WebRequest</param>
/// <param name="cert">The certificate used to authenticate the remote party.</param>
/// <param name="chain">The chain of certificate authorities associated with the remote certificate.</param>
/// <param name="sslPolicyErrors">One or more errors associated with the remote certificate.</param>
/// <returns>
/// Returns a boolean value that determines whether the specified
/// certificate is accepted for authentication; true to accept or false to
/// reject.
/// </returns>
private static bool ValidateDodgyGoogleCertificate(object sender, X509Certificate cert, X509Chain chain, SslPolicyErrors sslPolicyErrors)
{
if (sslPolicyErrors == SslPolicyErrors.None)
{
// Good certificate.
return true;
}
string hostName = sender as string;
if (hostName == null)
{
WebRequest senderRequest = sender as WebRequest;
if (senderRequest != null)
{
hostName = senderRequest.RequestUri.Host;
}
}
//We want to get past the Google name mismatch, but not allow any other errors
if (sslPolicyErrors != SslPolicyErrors.RemoteCertificateNameMismatch)
{
StringBuilder sb = new StringBuilder();
sb.AppendFormat("Rejecting remote server SSL certificate from host \"{0}\" issued to Subject \"{1}\" due to errors: {2}", hostName, cert.Subject, sslPolicyErrors);
if ((sslPolicyErrors | SslPolicyErrors.RemoteCertificateChainErrors) != SslPolicyErrors.None)
{
sb.AppendLine();
sb.AppendLine("Chain status errors:");
foreach (var chainStatusItem in chain.ChainStatus)
{
sb.AppendFormat("Chain Item Status: {0} StatusInfo: {1}", chainStatusItem.Status, chainStatusItem.StatusInformation);
sb.AppendLine();
}
}
log.Info(sb.ToString());
return false;
}
if (PUSH_URI.Host.Equals(hostName, StringComparison.InvariantCultureIgnoreCase))
{
return true;
}
log.Info("Rejecting remote server SSL certificate from host \"{0}\" issued to Subject \"{1}\" due to errors: {2}", hostName, cert.Subject, sslPolicyErrors);
return false;
}
【讨论】：
忽略 SSL 错误是您可以做的一件事。
但是，如果它在您的机器上运行，并且在您的实例上不起作用，则也可能是实例上的证书链不完整。您需要在您的机器上打开证书，转到证书路径并导出路径中的每个证书。
然后，将这些证书添加到您的项目并让启动任务（.bat 或 .cmd 文件）将它们添加到受信任的根 CA：
REM Install certificates.
certutil -addstore -enterprise -f -v root Startup\Certificates\someROOTca.cer
certutil -addstore -enterprise -f -v root Startup\Certificates\otherROOTca.cer
【讨论】：
我将 cer 添加到我的项目的根目录并选择“始终复制”并使用以下命令使 azure 连接到具有 SSL 自签名的服务器
REM Install certificates.
certutil -addstore -enterprise -f -v root startsodev.cer
【讨论】：