【发布时间】：2012-11-04 23:29:59
【问题描述】：
我的 C# .net 应用程序正在使用 HTTPS 网络服务。由于证书现在即将到期，我正在尝试使用我已获得的新证书（我已使用 javasdks 的 keytool 转换为 .p12 的 .jks 文件）对其进行更新。我认为这很容易，因为我知道该怎么做，但它就是不合作。
到目前为止我做了什么：
- 已将证书导入到 CURRENT_USER\Personal
- 将证书导入到 LOCAL_MACHINE\Personal
- 让正确的用户 (apppoolidentity) 通过 winhttpcertcfg 工具访问证书的私钥。以下是权限列表 证书。
-
使用 findprivatekey 工具，我还找到了实际的密钥文件，并授予 apppoolidentity 对其的访问权限。 （绝望中）。
C:\Program Files (x86)\Windows Resource Kits\Tools>winhttpcertcfg -l -c LOCAL_MACHINE\My -s "9000 - Blabla" Microsoft (R) WinHTTP 证书配置工具 版权所有 (C) Microsoft Corporation 2001。
匹配证书： CN=9000 - 布拉布拉 C=否 L="c/o Blabla AS, Blablaaddress" 欧=957839827 OID.1.2.240.111111.1.9.8=12345678 OID.1.2.240.111111.1.9.2=Blabla 测试 O=BlaBla AS OU=多重允许
可以访问私钥的其他帐户和组包括： 内置\管理员 NT AUTHORITY\SYSTEM IIS 应用程序\ASP.NET v4.0 内置\用户 NT AUTHORITY\网络服务 DIGITROLLDMZ\IIS_WPG
我访问的网址如下所示：
https://test.blabla.com/blabla-5.0/services/Blabla?wsdl
...如果我从服务器的网络浏览器访问它，我会选择证书，我选择新的证书，它说没关系，绿色和 SSL 按顺序排列，但我的应用程序代码看起来像这样：
public static blabla.service.NettforhandlerService getNettforhandlerService(string applicationPath)
{
blabla.service.NettforhandlerService service = new blabla.service.NettforhandlerService();
if (System.Configuration.ConfigurationManager.AppSettings["CertificateSerialNumber"] != null && System.Configuration.ConfigurationManager.AppSettings["CertificateSerialNumber"].Length > 0)
{
string serviceurl = service.Url;
X509Store store = new X509Store(StoreName.Root, StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);
X509Certificate2Collection col = store.Certificates.Find(X509FindType.FindBySerialNumber, System.Configuration.ConfigurationManager.AppSettings["CertificateSerialNumber"], true);
ServicePointManager.Expect100Continue = true;
ServicePointManager.SecurityProtocol = SecurityProtocolType.Ssl3;
ServicePointManager.CertificatePolicy = new TrustHBSCertificatePolicy();
service.ClientCertificates.Add(col[0]);
}
return service;
}
只输出这个错误：
The request was aborted: Could not create SSL/TLS secure channel.
...我在 web.config 中添加了一些跟踪/调试信息，我从错误中发现是这样的：
[Public Key]
Algorithm: RSA
Length: 2048
Key Blob: 30 82 01 0a 02 82 01 01 00 8e a6 72 c2 e1 67 16 e2 be be c3 30 89 8d bb 57 0b 48 f8 1d 09 b1 e3 26 42 c9 45 9e 02 b2 43 49 16 81 94 1b 18 d6 6d ef ....
System.Net Information: 0 : [15624] SecureChannel#32061089 - Certificate is of type X509Certificate2 and contains the private key.
System.Net Information: 0 : [15624] AcquireCredentialsHandle(package = Microsoft Unified Security Protocol Provider, intent = Outbound, scc = System.Net.SecureCredential)
System.Net Error: 0 : [15624] AcquireCredentialsHandle() failed with error 0X8009030D.
System.Net Information: 0 : [15624] AcquireCredentialsHandle(package = Microsoft Unified Security Protocol Provider, intent = Outbound, scc = System.Net.SecureCredential)
System.Net Error: 0 : [15624] AcquireCredentialsHandle() failed with error 0X8009030D.
System.Net.Sockets Verbose: 0 : [15624] Socket#38259205::Dispose()
System.Net Error: 0 : [15624] Exception in the HttpWebRequest#54558071:: - The request was aborted: Could not create SSL/TLS secure channel.
System.Net Error: 0 : [15624] Exception in the HttpWebRequest#54558071::GetResponse - The request was aborted: Could not create SSL/TLS secure channel.
System.Net Verbose: 0 : [15624]
我知道这看起来像正确的用户/身份没有被授予对证书的访问权限（来自 winhttpcertcfg），但我很确定它有，这就是我在这里不知所措的原因，
希望有一些认真的 https-certificate/web-service -skills 的人可以在这里帮助我:-)
谢谢。
问候， Jørgen E.
edit1：将标题更改为更精确的名称。 编辑2：新信息：
In EventViewer/Windows Logs/Security there is an event "Audit Failure" connected to this:
Cryptographic operation.
Subject:
Security ID: IIS APPPOOL\ASP.NET v4.0
Account Name: ASP.NET v4.0
Account Domain: IIS APPPOOL
Logon ID: 0x32498
Cryptographic Parameters:
Provider Name: Microsoft Software Key Storage Provider
Algorithm Name: Not Available.
Key Name: {00E1A3F5-7400-41CA-8290-02983473AEAF}
Key Type: Machine key.
Cryptographic Operation:
Operation: Open Key.
Return Code: 0x80090010
【问题讨论】：