在 IIS 中托管时，ASP.NET X509Certificate2 访问被拒绝

Question

我正在使用下面的 ASP.NET 代码从文件夹加载 pfx 文件

var certificatePath = $"{HttpContext.Current.Server.MapPath("~")}{certFolderName}\\{certFileName}";
return new X509Certificate2(certificatePath, certPassword, X509KeyStorageFlags.MachineKeySet);

此代码在本地 IIS 中运行良好。然而，当移动到我们的 QA 服务器时，相同的代码会引发访问被拒绝错误，如下所示。

我浏览了许多论坛并了解到这主要是访问文件夹 C:\ProgramData\Microsoft\Crypto\RSA\MachineKey 时的权限问题。我已经在我们的服务器中验证了对该文件夹的访问权限，并且一切正常。 'Everyone' 用户具有读写权限。所以理想情况下不应该有任何访问被拒绝错误。我什至明确授予了对 App Pool 身份的完全控制访问权限，但仍然无法正常工作。 我正在尝试了解还有什么可能导致此访问被拒绝问题。

Answer 1

return new X509Certificate2(certificatePath, certPassword, X509KeyStorageFlags.MachineKeySet);

问题出在最后一个参数上。您的应用程序（应用程序池身份）无权访问本地机器存储。如果必须仅在运行时访问密钥，则应使用当前用户存储（用于持久密钥存储）或临时存储。