Как сделать сертификаты X.509 доступными для WCF

Я следовал инструкциям здесь

http://msdn.microsoft.com/en-us/library/aa702621.aspx

Я использую Windows 2003 с IIS6 с отдельной учетной записью пользователя для пула приложений. Я предоставил этому пользователю доступ к закрытому ключу с помощью cacls.exe. Это работает нормально.

Однако, всякий раз, когда что-то изменяется на сайте ASP.NET или в IIS, разрешения теряются. Например, если я изменяю файл web.config, перезапускаю IIS, жду 5 часов, затем вызов сертификата SSL не удается, и я больше не могу получить к нему доступ со своего клиента, который пытается использовать WFC-сервис. Я выполняю вход под учетной записью APP POOL, снова запускаю cacls.exe, и это решает проблему.

Как мне исправить это навсегда, так как в данный момент это останавливается каждые 5 часов?

Обновление

На самом деле, я шагнул назад. Теперь я не могу заставить это работать вообще. Вот шаги, которые я выполняю

C:\FindPrivateKey>FindPrivateKey.exe Trustedpeople currentuser
Директорий закрытого ключа:
C:\Documents and Settings\MYUSER\Application Data\Microsoft\Crypto\RSA\S--5-21-2205538328-2105125954-533649117-1053
Имя файла закрытого ключа:
ab715bc6d3b1ae3bdb1a9e8e21a3b851_817f45df-79ce-4f15-9345-15b5c81281a1

Предоставить разрешения

Cacls.exe "C:\Documents and Settings\MYUSER\Application Data\Microsoft\Crypto\RSA\S-1-5-21-2205538328-2105125954-533649117-1053\ab715bc6d3b1ae3bdb1a9e8e21a3b851_817f45df-79ce-4f15-9345-15b5c81281a1" /E /G "WWWTEST2\MYUSER":R

Проверить разрешения

 Cacls.exe "C:\Documents and Settings\MYUSER\Application Data\Microsoft\Crypto\RSA\S-1-5-21-2205538328-2105125954-533649117-1053\ab715bc6d3b1ae3bdb1a9e8e21a3b851_817f45df-79ce-4f15-9345-15b5c81281a1"
 Все:R
 WWWTEST2\MYUSER:F

Установить владельца

subinacl /file "C:\Documents and Settings\MYUSER\Application Data\Microsoft\Crypto\RSA\S-1-5-21-2205538328-2105125954-533649117-1053\ab715bc6d3b1ae3bdb1a9e8e21a3b851_817f45df-79ce-4f15-9345-15b5c81281a1" /setowner=WWWTEST2\MYUSER

Ошибка, которую я получаю от сайта ASP.NET, пытаясь использовать сервис

Исключение: System.InvalidOperationException 
Сообщение: Не удается найти сертификат X.509 с использованием следующих критериев поиска: StoreName 'TrustedPeople', StoreLocation 'CurrentUser', FindType 'FindByThumbprint', FindValue 'b33e04f057a52cb73007aec81eee86d2f75e3c69'. 
Источник: System.ServiceModel 
в System.ServiceModel.Security.SecurityUtils

Когда я вхожу под учетной записью MYUSER, которая запускает пул приложений IIS, и захожу в “mmc” для управления сертификатами, я вижу сертификат в своем пользовательском аккаунте в разделе TrustedPeople.

ОБНОВЛЕНИЕ

Мне удалось заставить это работать, установив сертификат на Локальном компьютере / Личном и использовав winhttpcertcfg вместо cacls.

Для решения данной проблемы вам сначала нужно понять, что исправить.

Чтобы определить, что вызывает изменения DACL закрытых ключей, включите аудит доступа к объектам и добавьте аудиторскую запись на изменения разрешений для закрытого ключа, применяя Everyone. Для этого выполните следующие простые шаги.

1. Включите аудит доступа к объектам

   1. Перейдите в Панель управления -> Администртивные инструменты -> Локальная политика безопасности (gpedit)
   2. Разверните Конфигурацию компьютера \ Настройки Windows \ Настройки безопасности \ Локальные политики и выберите Политика аудита
   3. Дважды щелкните на политике Аудит доступа к объектам
   4. Убедитесь, что отмечены поля Определить эти настройки политики и Успех.
   5. Примените это изменение, и успешный аудит попыток доступа к объектам теперь включен.

2. Добавьте запись аудита для закрытого ключа

   1. Перейдите в C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys\
   2. Щелкните правой кнопкой мыши на закрытом ключе, выберите Свойства
   3. На вкладке Безопасность выберите Дополнительно
   4. Выберите вкладку Аудит и добавьте запись для группы Everyone.
   5. Отметьте поля Изменить разрешения

Как только разрешения будут казаться “сброшенными”:

1. Проверьте журнал безопасности
   1. Перейдите в Панель управления -> Административные инструменты -> Просмотр событий (eventvwr)
   2. Выберите журнал безопасности
   3. Отфильтруйте журнал по ID события: 567
   4. Ищите “WRITE_DAC“

Разрешение WRITE_DAC — это разрешение на изменение DACL. Когда это разрешение применяется к объекту, будет записано событие с ID 567, при условии, что объект находится под аудитом. Таким образом, вы сможете определить, какой процесс изменил установленные вами разрешения.