証明書ストア内の証明書の秘密キーへのASP.NETアクセスを許可するにはどうすればよいですか？

111

証明書ストア内の証明書の秘密キーにアクセスするASP.NETアプリケーションがあります。Windows Server 2003では、winhttpcertcfg.exeを使用して、ネットワークサービスアカウントに秘密キーアクセスを与えることができました。IIS 7.5 WebサイトのWindows Server 2008 R2の証明書ストア（Local Computer \ Personal）にある証明書の秘密キーにアクセスするためのアクセス許可を与えるにはどうすればよいですか？

「Everyone」、「IIS AppPool \ DefaultAppPool」、「IIS_IUSRS」、および証明書MMC（Server 2008 R2）を使用して見つけることができるその他すべてのセキュリティアカウントに、完全信頼アクセス権を与えようとしました。ただし、以下のコードは、コードが秘密キーでインポートされた証明書の秘密キーにアクセスできないことを示しています。代わりに、秘密キープロパティにアクセスするたびにコードがスローされてエラーが発生します。

Default.aspx 

<%@ Page Language="C#" AutoEventWireup="true" CodeFile="Default.aspx.cs" Inherits="_Default" %>
<%@ Import Namespace="System.Security.Cryptography.X509Certificates" %>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title></title>
</head>
<body>
    <form id="form1" runat="server">
    <div>
        <asp:Repeater ID="repeater1" runat="server">
            <HeaderTemplate>
                <table>
                    <tr>
                        <td>
                            Cert
                        </td>
                        <td>
                            Public Key
                        </td>
                        <td>
                            Private Key
                        </td>
                    </tr>
            </HeaderTemplate>
            <ItemTemplate>
                <tr>
                    <td>
                    <%#((X509Certificate2)Container.DataItem).GetNameInfo(X509NameType.SimpleName, false) %>
                    </td>
                    <td>
                    <%#((X509Certificate2)Container.DataItem).HasPublicKeyAccess() %>
                    </td>
                    <td>
                    <%#((X509Certificate2)Container.DataItem).HasPrivateKeyAccess() %>
                    </td>
                </tr>
            </ItemTemplate>
            <FooterTemplate>
                </table></FooterTemplate>
        </asp:Repeater>
    </div>
    </form>
</body>
</html>

Default.aspx.cs 

using System;
using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using System.Web.UI;
public partial class _Default : Page 
{
    public X509Certificate2Collection Certificates;
    protected void Page_Load(object sender, EventArgs e)
    {
        // Local Computer\Personal
        var store = new X509Store(StoreLocation.LocalMachine);
        // create and open store for read-only access
        store.Open(OpenFlags.ReadOnly);
        Certificates = store.Certificates;
        repeater1.DataSource = Certificates;
        repeater1.DataBind();
    }
}
public static class Extensions
{
    public static string HasPublicKeyAccess(this X509Certificate2 cert)
    {
        try
        {
            AsymmetricAlgorithm algorithm = cert.PublicKey.Key;
        }
        catch (Exception ex)
        {
            return "No";
        }
        return "Yes";
    }
    public static string HasPrivateKeyAccess(this X509Certificate2 cert)
    {
        try
        {
            string algorithm = cert.PrivateKey.KeyExchangeAlgorithm;
        }
        catch (Exception ex)
        {
            return "No";
        }
        return "Yes";
    }
}

asp.net  certificate  iis-7.5  winhttp 
— テムズ
ソース

回答:

195
  1. 証明書を作成/購入します。秘密鍵があることを確認してください。
  2. 証明書を「ローカルコンピュータ」アカウントにインポートします。証明書MMCを使用するのが最適です。「秘密鍵のエクスポートを許可する」にチェックを入れてください

  3. これに基づいて、IIS 7.5アプリケーションプールのIDは次のいずれかを使用します。

    • IIS 7.5 WebサイトはApplicationPoolIdentityの下で実行されています。MMCを開く=>証明書（ローカルコンピューター）スナップイン=>証明書（ローカルコンピューター）=>個人=>証明書=>対象の証明書を右クリック=>すべてのタスク=>秘密キーの管理=>追加IIS AppPool\AppPoolNameして付与Full control。「AppPoolName」をアプリケーションプールの名前に置き換える（時々IIS_IUSRS）
    • IIS 7.5 WebサイトはNETWORK SERVICEの下で実行されています。証明書MMCを使用して、「ローカルコンピュータ\個人」の証明書の完全信頼に「ネットワークサービス」を追加しました。
    • IIS 7.5 Webサイトは、 "MyIISUser"ローカルコンピューターのユーザーアカウントで実行されています。証明書MMCを使用して、「MyIISUser」（新しいローカルコンピューターユーザーアカウント）を「ローカルコンピューター\個人」の証明書の完全信頼に追加しました。

@Phil Haleコメントに基づく更新：

ドメインを使用している場合、ドメインはデフォルトで「ロケーションボックスから」で選択されます。必ず「ローカルコンピュータ」に変更してください。場所を「ローカルコンピューター」に変更して、アプリプールIDを表示します。

— テムズ
ソース
3
Windows Server 2008 R2で（ "ローカルコンピューター\個人"の証明書の "XXX"から完全信頼へ）を構成する方法 run / mmc / file / add snap-in / certificatesおよび??? ありがとう
— コバイア
7
ローカルコンピューター\個人用にMMC証明書を開いたら、「証明書」をクリックして証明書を表示します。（注：以下では、証明書が既にインポートされていると想定しています。そうでない場合は、最初に証明書をインポートしてください）フルコントロールを許可する証明書を右クリックします。コンテキストメニューで[すべてのタスク]をクリックし、次にサブメニューで[秘密キーの管理]をクリックします。そこから、証明書の秘密鍵への「読み取り」アクセスを許可するユーザーを追加できます。
— テムズ
5
「場所から」ボックスでローカルコンピュータが選択されていることを確認します。これはしばらくの間私を困らせました。ドメインはデフォルトで選択されたため、場所をローカルコンピューターに変更するまでアプリプールIDユーザーは見つかりませんでした
— Phil Hale
3
AWSのWindows 2012 R2 EC2 VM（IIS 8ベース）ではIIS_IUSRS、証明書の秘密鍵へのアクセス権を付与する必要があります
— DeepSpace101
4
powershellを使用してこれを行う方法はありますか？
— sonjz 2014
43

MMC、証明書、証明書の選択、右クリック、すべてのタスク、「秘密鍵の管理」を介した権限の付与に関する注意

[秘密キーの管理]は、個人用のメニューリストにのみあります...したがって、証明書を信頼できる人などに置いた場合、運が悪くなります。

これを回避する方法が見つかりました。証明書を[個人]にドラッグアンドドロップし、[秘密キーの管理]を実行してアクセス許可を付与します。オブジェクトタイプのビルトインを使用するように設定し、ドメインではなくローカルマシンを使用することを忘れないでください。DefaultAppPoolユーザーに権限を付与し、そのままにしました。

完了したら、証明書を元の場所にドラッグアンドドロップします。プレスト。

— ギャレットゲーベル
ソース
はい、これはうまくいきます。私は次の投稿の回答でそれを述べましたが、受け入れられた回答ははるかに長く、WCFファイルをダウンロードする必要があるにもかかわらず、別の回答が受け入れられました。stackoverflow.com/questions/10580326/…–
— テムズ
2
win2003サーバーの解決策はありますか？Windows 7のようなオプションとしてManage Private Keysがありません
— sonjz
1
@sonjz- コマンドラインを使用して言及しているこのtechnetを確認してくださいwinhttpcertcfg
— mlhDev 14
個人用以外の証明書の秘密鍵が必要な場合は、おそらく何かが間違っているでしょう...他のすべての場所は、信頼できる他の/外部エンティティ用です。あなたは彼らの秘密鍵を持っていてはいけません。それらの公開鍵（証明書）で十分です。秘密鍵を持っているのなら、信用してはいけないと言ってもいいでしょう。
— マーティン
15

IISの.pfxファイルから証明書をロードしようとしている場合、ソリューションは、このオプションをApplication Pool。

アプリプールを右クリックして、を選択しますAdvanced Settings。

次に有効にします Load User Profile


ここに画像の説明を入力してください

— Simon_Weaver
ソース
1
なぜこれが違いを生むのですか？
— MichaelD 2018年
3
それはちょうどウィンドウが配線されている方法でなければなりません。プロファイルをユーザープロファイルに一時的にロードしている可能性があるため、このオプションが必要です。IISがアクセスできるファイルからロードするときに、これが必要になるのは奇妙なことに同意します。
— Simon_Weaver 2018年
これは、PDFのデジタル署名を設定するときに役立ちました。
— Fred Wilson、
7

私はPowershellでこれを行う方法を誰かが尋ねたことを理解しました：

$keyname=(((gci cert:\LocalMachine\my | ? {$_.thumbprint -like $thumbprint}).PrivateKey).CspKeyContainerInfo).UniqueKeyContainerName
$keypath = $env:ProgramData + “\Microsoft\Crypto\RSA\MachineKeys\”
$fullpath=$keypath+$keyname

$Acl = Get-Acl $fullpath
$Ar = New-Object System.Security.AccessControl.FileSystemAccessRule("IIS AppPool\$iisAppPoolName", "Read", "Allow")
$Acl.SetAccessRule($Ar)
Set-Acl $fullpath $Acl
— イアン・ロバートソン
ソース
6

私にとっては、[秘密キーのエクスポートを許可する]チェックボックスをオンにして証明書を再インポートするだけでした。

必要だと思いますが、この証明書にアクセスするサードパーティのアプリなので不安になります。

— ネイサン・ハートレイ
ソース
このようにしてくれてありがとうX509Certificate2 cert = new X509Certificate2（certBytes、password、X509KeyStorageFlags.Exportable | X509KeyStorageFlags.PersistKeySet）;
— フアン・ロソヤ
1

回答を補完するものは、証明書の秘密鍵を見つけて権限を追加するためのガイドです。

これは、証明書の秘密キーを見つけるためのガイドにあるFindPrivateKey.exeを取得するためのガイドです。

— フアン・ロゾヤ
ソース
0

私は上記に参加しましたが、多くの試みを経て、ここまで来ました。1-ストアから証明書にアクセスしたい場合は、例としてこれを行うことができます2-証明書を生成してパスを介して使用する方がはるかに簡単でクリーンです

Asp.net Core 2.2 OR1：

using Org.BouncyCastle.Asn1;
using Org.BouncyCastle.Asn1.Pkcs;
using Org.BouncyCastle.Asn1.X509;
using Org.BouncyCastle.Crypto;
using Org.BouncyCastle.Crypto.Generators;
using Org.BouncyCastle.Crypto.Operators;
using Org.BouncyCastle.Crypto.Parameters;
using Org.BouncyCastle.Crypto.Prng;
using Org.BouncyCastle.Math;
using Org.BouncyCastle.Pkcs;
using Org.BouncyCastle.Security;
using Org.BouncyCastle.Utilities;
using Org.BouncyCastle.X509;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using System.Text;
using System.Threading.Tasks;

namespace Tursys.Pool.Storage.Api.Utility
{
    class CertificateManager
    {
        public static X509Certificate2 GetCertificate(string caller)
        {
            AsymmetricKeyParameter caPrivateKey = null;
            X509Certificate2 clientCert;
            X509Certificate2 serverCert;

            clientCert = GetCertificateIfExist("CN=127.0.0.1", StoreName.My, StoreLocation.LocalMachine);
            serverCert = GetCertificateIfExist("CN=MyROOTCA", StoreName.Root, StoreLocation.LocalMachine);
            if (clientCert == null || serverCert == null)
            {
                var caCert = GenerateCACertificate("CN=MyROOTCA", ref caPrivateKey);
                addCertToStore(caCert, StoreName.Root, StoreLocation.LocalMachine);

                clientCert = GenerateSelfSignedCertificate("CN=127.0.0.1", "CN=MyROOTCA", caPrivateKey);
                var p12 = clientCert.Export(X509ContentType.Pfx);

                addCertToStore(new X509Certificate2(p12, (string)null, X509KeyStorageFlags.Exportable | X509KeyStorageFlags.PersistKeySet), StoreName.My, StoreLocation.LocalMachine);
            }

            if (caller == "client")
                return clientCert;

            return serverCert;
        }

        public static X509Certificate2 GenerateSelfSignedCertificate(string subjectName, string issuerName, AsymmetricKeyParameter issuerPrivKey)
        {
            const int keyStrength = 2048;

            // Generating Random Numbers
            CryptoApiRandomGenerator randomGenerator = new CryptoApiRandomGenerator();
            SecureRandom random = new SecureRandom(randomGenerator);

            // The Certificate Generator
            X509V3CertificateGenerator certificateGenerator = new X509V3CertificateGenerator();

            // Serial Number
            BigInteger serialNumber = BigIntegers.CreateRandomInRange(BigInteger.One, BigInteger.ValueOf(Int64.MaxValue), random);
            certificateGenerator.SetSerialNumber(serialNumber);

            // Signature Algorithm
            //const string signatureAlgorithm = "SHA256WithRSA";
            //certificateGenerator.SetSignatureAlgorithm(signatureAlgorithm);

            // Issuer and Subject Name
            X509Name subjectDN = new X509Name(subjectName);
            X509Name issuerDN = new X509Name(issuerName);
            certificateGenerator.SetIssuerDN(issuerDN);
            certificateGenerator.SetSubjectDN(subjectDN);

            // Valid For
            DateTime notBefore = DateTime.UtcNow.Date;
            DateTime notAfter = notBefore.AddYears(2);

            certificateGenerator.SetNotBefore(notBefore);
            certificateGenerator.SetNotAfter(notAfter);

            // Subject Public Key
            AsymmetricCipherKeyPair subjectKeyPair;
            var keyGenerationParameters = new KeyGenerationParameters(random, keyStrength);
            var keyPairGenerator = new RsaKeyPairGenerator();
            keyPairGenerator.Init(keyGenerationParameters);
            subjectKeyPair = keyPairGenerator.GenerateKeyPair();

            certificateGenerator.SetPublicKey(subjectKeyPair.Public);

            // Generating the Certificate
            AsymmetricCipherKeyPair issuerKeyPair = subjectKeyPair;

            ISignatureFactory signatureFactory = new Asn1SignatureFactory("SHA512WITHRSA", issuerKeyPair.Private, random);
            // selfsign certificate
            Org.BouncyCastle.X509.X509Certificate certificate = certificateGenerator.Generate(signatureFactory);


            // correcponding private key
            PrivateKeyInfo info = PrivateKeyInfoFactory.CreatePrivateKeyInfo(subjectKeyPair.Private);


            // merge into X509Certificate2
            X509Certificate2 x509 = new System.Security.Cryptography.X509Certificates.X509Certificate2(certificate.GetEncoded());

            Asn1Sequence seq = (Asn1Sequence)Asn1Object.FromByteArray(info.PrivateKeyAlgorithm.GetDerEncoded());
            if (seq.Count != 9)
            {
                //throw new PemException("malformed sequence in RSA private key");
            }

            RsaPrivateKeyStructure rsa = RsaPrivateKeyStructure.GetInstance(info.ParsePrivateKey());
            RsaPrivateCrtKeyParameters rsaparams = new RsaPrivateCrtKeyParameters(
                rsa.Modulus, rsa.PublicExponent, rsa.PrivateExponent, rsa.Prime1, rsa.Prime2, rsa.Exponent1, rsa.Exponent2, rsa.Coefficient);

            try
            {
                var rsap = DotNetUtilities.ToRSA(rsaparams);
                x509 = x509.CopyWithPrivateKey(rsap);

                //x509.PrivateKey = ToDotNetKey(rsaparams);
            }
            catch(Exception ex)
            {
                ;
            }
            //x509.PrivateKey = DotNetUtilities.ToRSA(rsaparams);
            return x509;

        }

        public static AsymmetricAlgorithm ToDotNetKey(RsaPrivateCrtKeyParameters privateKey)
        {
            var cspParams = new CspParameters
            {
                KeyContainerName = Guid.NewGuid().ToString(),
                KeyNumber = (int)KeyNumber.Exchange,
                Flags = CspProviderFlags.UseMachineKeyStore
            };

            var rsaProvider = new RSACryptoServiceProvider(cspParams);
            var parameters = new RSAParameters
            {
                Modulus = privateKey.Modulus.ToByteArrayUnsigned(),
                P = privateKey.P.ToByteArrayUnsigned(),
                Q = privateKey.Q.ToByteArrayUnsigned(),
                DP = privateKey.DP.ToByteArrayUnsigned(),
                DQ = privateKey.DQ.ToByteArrayUnsigned(),
                InverseQ = privateKey.QInv.ToByteArrayUnsigned(),
                D = privateKey.Exponent.ToByteArrayUnsigned(),
                Exponent = privateKey.PublicExponent.ToByteArrayUnsigned()
            };

            rsaProvider.ImportParameters(parameters);
            return rsaProvider;
        }

        public static X509Certificate2 GenerateCACertificate(string subjectName, ref AsymmetricKeyParameter CaPrivateKey)
        {
            const int keyStrength = 2048;

            // Generating Random Numbers
            CryptoApiRandomGenerator randomGenerator = new CryptoApiRandomGenerator();
            SecureRandom random = new SecureRandom(randomGenerator);

            // The Certificate Generator
            X509V3CertificateGenerator certificateGenerator = new X509V3CertificateGenerator();

            // Serial Number
            BigInteger serialNumber = BigIntegers.CreateRandomInRange(BigInteger.One, BigInteger.ValueOf(Int64.MaxValue), random);
            certificateGenerator.SetSerialNumber(serialNumber);

            // Signature Algorithm
            //const string signatureAlgorithm = "SHA256WithRSA";
            //certificateGenerator.SetSignatureAlgorithm(signatureAlgorithm);

            // Issuer and Subject Name
            X509Name subjectDN = new X509Name(subjectName);
            X509Name issuerDN = subjectDN;
            certificateGenerator.SetIssuerDN(issuerDN);
            certificateGenerator.SetSubjectDN(subjectDN);

            // Valid For
            DateTime notBefore = DateTime.UtcNow.Date;
            DateTime notAfter = notBefore.AddYears(2);

            certificateGenerator.SetNotBefore(notBefore);
            certificateGenerator.SetNotAfter(notAfter);

            // Subject Public Key
            AsymmetricCipherKeyPair subjectKeyPair;
            KeyGenerationParameters keyGenerationParameters = new KeyGenerationParameters(random, keyStrength);
            RsaKeyPairGenerator keyPairGenerator = new RsaKeyPairGenerator();
            keyPairGenerator.Init(keyGenerationParameters);
            subjectKeyPair = keyPairGenerator.GenerateKeyPair();

            certificateGenerator.SetPublicKey(subjectKeyPair.Public);

            // Generating the Certificate
            AsymmetricCipherKeyPair issuerKeyPair = subjectKeyPair;

            // selfsign certificate
            //Org.BouncyCastle.X509.X509Certificate certificate = certificateGenerator.Generate(issuerKeyPair.Private, random);

            ISignatureFactory signatureFactory = new Asn1SignatureFactory("SHA512WITHRSA", issuerKeyPair.Private, random);
            // selfsign certificate
            Org.BouncyCastle.X509.X509Certificate certificate = certificateGenerator.Generate(signatureFactory);


            X509Certificate2 x509 = new System.Security.Cryptography.X509Certificates.X509Certificate2(certificate.GetEncoded());

            CaPrivateKey = issuerKeyPair.Private;

            return x509;
            //return issuerKeyPair.Private;

        }

        public static bool addCertToStore(System.Security.Cryptography.X509Certificates.X509Certificate2 cert, System.Security.Cryptography.X509Certificates.StoreName st, System.Security.Cryptography.X509Certificates.StoreLocation sl)
        {
            bool bRet = false;

            try
            {
                X509Store store = new X509Store(st, sl);
                store.Open(OpenFlags.ReadWrite);
                store.Add(cert);

                store.Close();
            }
            catch
            {

            }

            return bRet;
        }

        protected internal static X509Certificate2 GetCertificateIfExist(string subjectName, StoreName store, StoreLocation location)
        {
            using (var certStore = new X509Store(store, location))
            {
                certStore.Open(OpenFlags.ReadOnly);
                var certCollection = certStore.Certificates.Find(
                                           X509FindType.FindBySubjectDistinguishedName, subjectName, false);
                X509Certificate2 certificate = null;
                if (certCollection.Count > 0)
                {
                    certificate = certCollection[0];
                }
                return certificate;
            }
        }

    }
}

または2：

    services.AddDataProtection()
//.PersistKeysToFileSystem(new DirectoryInfo(@"c:\temp-keys"))
.ProtectKeysWithCertificate(
        new X509Certificate2(Path.Combine(Directory.GetCurrentDirectory(), "clientCert.pfx"), "Password")
        )
.UnprotectKeysWithAnyCertificate(
        new X509Certificate2(Path.Combine(Directory.GetCurrentDirectory(), "clientCert.pfx"), "Password")
        );
— ハミット・イルディリム
ソース
0

証明書パネルで、いくつかの証明書を右クリックします->すべてのタスク->秘密鍵の管理->フルコントロールでIIS_IUSRSユーザーを追加

私の場合、他の回答で述べたように、「秘密鍵のエクスポートを許可する」オプションをオンにして証明書をインストールする必要はありませんでした。

— フェルナンドメネセスゴメス
ソース
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.