我在我的Web应用程序中添加了对JWT令牌的支持，并且我有一个X509证书，它需要该证书来签署这些令牌。
我已经拒绝了使用与HTTP相同的证书的想法（参见Can I use the Private Key Certificate of Web App to sign JWT?）。
我认为一个自签名证书应该可以做到这一点，事实上，我看不到信任网在这种情况下的任何优势（这并不意味着没有任何优势，我只是想不起来）。
Web应用程序在一个Web服务器场中运行。我目前的计划是生成一个自签名证书，并将X509证书放入每台计算机上Windows的证书存储区。我们的IT部门正在检查，但他们认为可以使用组策略将其推广到场中的所有Web服务器。因此，这似乎是一个可行的计划。
windows中的证书存储看起来很混乱。我认为有两种选择：
1)将证书放在运行IIS应用程序池的用户的“我的”存储中。有许多应用程序池，因此证书可能会位于许多存储中。
2)将其放在LocalMachine存储下，然后为IIS用户授予对特定证书的显式访问权限。
3)还有一些我想不出来的。
这些类型的证书是否有一个“正确”的位置，如果有，在哪里？
1条答案
按热度按时间inn6fuwd1#
用于签署证书的常用CertificateStore是My存储区。我通常将它们放在LocalMachine位置，但将它们放在应用程序池标识本身的证书存储区中可能更安全。
然后，我将只给予应用程序池对此证书的只读访问权限（右键单击证书，然后单击“所有任务”〉“管理私钥”，然后添加您的应用程序池身份并只授予“读取”权限）。