I'm calling a WCF service over HTTPS.
=> The certificates are ok. See screenshot: 
客户端证书安装在我的帐户和本地计算机下。 两者均可出口。
所以我有一段可以在控制台应用程序中运行的代码。当我在网络服务下运行控制台应用程序时，服务调用有效。
当我将此代码粘贴到有状态服务（在服务结构内）中时，出现以下异常。
我已经验证了ServicePointManager.SecurityProtocol It's System.Net.SecurityProtocolType.Tls | System.Net.SecurityProtocolType.Tls11 | System.Net.SecurityProtocolType.Tls12在控制台应用程序和服务结构中。
“System.ServiceModel.Security.SecurityNegotiationException：无法使用权限“********.cloudapp.azure.com”建立 SSL/TLS 的安全通道。 ---> System.Net.WebException：请求是已中止: 无法创建 SSL/TLS 安全通道。\r\n 位于 System.Net.HttpWebRequest.GetResponse()\r\n 位于 System.ServiceModel.Channels.HttpChannelFactory
1.HttpRequestChannel.HttpChannelRequest.WaitForReply(TimeSpan timeout)\r\n --- End of inner exception stack trace ---\r\n\r\nServer stack trace: \r\n at System.ServiceModel.Channels.HttpChannelUtilities.ProcessGetResponseWebException(WebException webException, HttpWebRequest request, HttpAbortReason abortReason)\r\n at System.ServiceModel.Channels.HttpChannelFactory1.HttpRequestChannel.HttpChannelRequest.WaitForReply（TimeSpan超时）\r\n在System.ServiceModel.Channels.RequestChannel.Request（消息消息，TimeSpan超时）\r\n在System.ServiceModel.Dispatcher.RequestChannelBinder.Request（消息消息， TimeSpan 超时）\r\n 在 System.ServiceModel.Channels.ServiceChannel.Call（字符串操作、布尔单向、ProxyOperationRuntime 操作、Object[] ins、Object[] outs、TimeSpan 超时）\r\n 在 System.ServiceModel.Channels .ServiceChannelProxy.InvokeService(IMethodCallMessage methodCall, ProxyOperationRuntime 操作)\r\n 在 System.ServiceModel.Channels.ServiceChannelProxy.Invoke(IMessage 消息)\r\n\r\n在 [0] 处重新引发异常: \r\n 在 System. Runtime.Remoting.Proxies.RealProxy.HandleReturnMessage（IMessage reqMsg，IMessage retMsg）\r\n 在 System.Runtime.Remoting.Proxies.RealProxy.PrivateInvoke（MessageData& msgData，Int32 类型）\r\n 在 ****** **************************\r\n 于 ***************** ************** 在 **********************.cs: 第 75 行\r\n 处********************** 在 **********************.cs 中：第 34 行\r\n 位于 ********************** 在 ****************** ****.cs：第 20 行
代码如下
var binding = new BasicHttpBinding();
binding.Security.Mode = BasicHttpSecurityMode.Transport;
binding.Security.Transport = new HttpTransportSecurity
{
ClientCredentialType = HttpClientCredentialType.Certificate,
};
string endpoint = "https://********.cloudapp.azure.com/*****/SomeService.svc";
var endpoint1 = new EndpointAddress(endpoint);
var factory = new ChannelFactory(binding, endpoint);
var clientCredentials = new ClientCredentials();
clientCredentials.ClientCertificate.SetCertificate("CN=my-cn-name",
System.Security.Cryptography.X509Certificates.StoreLocation.LocalMachine,
System.Security.Cryptography.X509Certificates.StoreName.My);
if (factory.Endpoint.EndpointBehaviors.Contains(typeof(ClientCredentials)))
{
factory.Endpoint.EndpointBehaviors.Remove(typeof(ClientCredentials));
}
factory.Endpoint.EndpointBehaviors.Add(clientCredentials);
var channel = factory.CreateChannel();
try
{
var result = channel.GetData(1);
Console.WriteLine("Success");
Console.ReadLine();
}
catch (Exception e)
{
Console.WriteLine(e);
Console.ReadLine();
}
在服务结构中通过 HTTPS 调用 WCF 服务时缺少什么？ 如果我禁用 HTTPS 协议并在现有 WCF 服务上启用 HTTP 协议，我就可以连接。但出于显而易见的原因，我们需要 HTTPS。
Edit 1
Tested:
Edit 2
按照这个答案https://serverfault.com/a/132791/135762（对于网络服务）使其工作。
问题在于网络服务帐户没有正确的访问权限来访问证书的私钥。
您可以通过两种方式解决这个问题。
第一个使用 powershell 和 setup.bat 来安装和配置证书。
在您的 Service Fabric 服务中，将 Setup.bat 添加到项目的根目录中。 编辑服务清单并添加一个设置入口点
<ExeHost> <Program>Setup.bat</Program> <WorkingFolder>CodePackage</WorkingFolder> </ExeHost>
bat 文件可能应该以更高的信任度运行。您可以在以下内容中添加申请清单在 ServiceManifestImport 内部：
<Policies> <RunAsPolicy CodePackageRef="Code" UserRef="SetupAdminUser" EntryPointType="Setup" /> </Policies>
在应用程序清单的底部（在 xml 的根目录中）添加以下内容以管理员身份运行。<Principals> <Users> <User Name="SetupAdminUser"> <MemberOf> <SystemGroup Name="Administrators" /> </MemberOf> </User> </Users> </Principals>
bat文件很简单：powershell.exe -ExecutionPolicy Bypass -Command ".\Scripts\Install-Certificates.ps1"
powershell 脚本可能如下所示
$pwd = ConvertTo-SecureString -String "YourPassword" -Force -AsPlainText
function Set-CertificatePermission
{
param
(
[Parameter(Position=1, Mandatory=$true)]
$cert ,
[Parameter(Position=2, Mandatory=$true)]
[ValidateNotNullOrEmpty()]
[string]$serviceAccount
)
# Specify the user, the permissions and the permission type
$permission = "$($serviceAccount)","Read,FullControl","Allow"
$accessRule = New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule -ArgumentList $permission;
# Location of the machine related keys
$keyPath = $env:ProgramData + "\Microsoft\Crypto\RSA\MachineKeys\";
$keyName = $cert.PrivateKey.CspKeyContainerInfo.UniqueKeyContainerName;
$keyFullPath = $keyPath + $keyName;
try
{
# Get the current acl of the private key
$acl = (Get-Acl $keyFullPath)
# Add the new ace to the acl of the private key
$acl.AddAccessRule($accessRule);
# Write back the new acl
Set-Acl -Path $keyFullPath -AclObject $acl;
}
catch
{
throw $_;
}
}
function Install-RootCA($path){
Write-Host "Installing root certificate"
Import-PfxCertificate -FilePath $path -CertStoreLocation "Cert:\LocalMachine\Root" -Password $pwd -Exportable
}
function Install-Certificate($path){
Write-Host "Installing certificate"
$cert = Import-PfxCertificate -FilePath $path -CertStoreLocation "Cert:\LocalMachine\My" -Password $pwd -Exportable
Set-CertificatePermission $cert "NT AUTHORITY\NETWORK SERVICE"
}
Install-RootCA ".\Certificates\CARoot.pfx"
Install-Certificate ".\Certificates\ClientCert.pfx"
这将在受信任的根存储中安装证书（因为我们使用自签名证书），并在计算机帐户的个人存储中安装证书。 Service Fabric 的重要一点是它还为网络服务访问私钥设置了正确的权限。
第二种方法：手动使用mmc