X509Certificate2 在调用 Google API 的 Azure Webjobs 中失败

Question

我有一个使用 Azure WebJobs 计划的控制台应用程序。尝试读取 p12 证书的私钥时，执行总是失败。有趣的是，我无法捕捉到异常，我不得不使用旧的Console.WriteLine 进行调试。

这是我的sn-p代码：

var certificate = new X509Certificate2(data, "notasecret", X509KeyStorageFlags.Exportable);

ServiceAccountCredential credential = new ServiceAccountCredential(
 new ServiceAccountCredential.Initializer(serviceAccountEmail)
 {
     Scopes = new[] { BigqueryService.Scope.Bigquery }
 }.FromCertificate(certificate));

其他帖子提到标志应该是X509KeyStorageFlags.MachineKeySet，但不幸的是，这会导致 Google API 出现错误。它需要设置X509KeyStorageFlags.Exportable 标志。

谁能确认X509KeyStorageFlags.Exportable 可用于 Azure 网站和 WebJobs？

Answer 1

在 IIS 中无法使用 X509KeyStorageFlags.Exportable。我已经在自己的虚拟机上使用 Azure Webjobs、Azure 网站和 IIS 进行了尝试。使用 IISExpress 时，它可以在开发环境中工作，因为该进程是在用户的上下文中运行的。

因此，要使其在 IIS 上下文（包括 Webjobs）中工作，必须将其设置为 MachineKeySet，但 Google API 将失败，因为它需要私钥。

我的问题的解决方案实际上很简单，创建一个控制台应用程序，创建带有 Exportable 标志集的 X509Certificate2 对象，然后调用 ToXmlString()。这是sn-p：

var certificate = new X509Certificate2(data, "notasecret", X509KeyStorageFlags.Exportable); var xml = certificate.PrivateKey.ToXmlString(true);

然后我保存 XML 并使用该 XML 创建一个 RSACryptoServiceProvider，如下所示：

var rsa = new RSACryptoServiceProvider();
rsa.FromXmlString(xmlKey);
ServiceAccountCredential credential = new ServiceAccountCredential(
new ServiceAccountCredential.Initializer(serviceAccountEmail)
 {
  Scopes = new[] { BigqueryService.Scope.Bigquery },
  Key = rsa
 });

希望这对其他人有所帮助。

Answer 2

此解决方案适用于 Azure 设置。然而，我也找到了一个更简单的满足我的需求。只需添加额外的标志，让每个人都开心...

 var certificate = new X509Certificate2(data,"notasecret",
                       X509KeyStorageFlags.MachineKeySet | 
                       X509KeyStorageFlags.PersistKeySet | 
                       X509KeyStorageFlags.Exportable);

我找到this solution