如何在 .net 中禁用 fips

Question

我想在 asp .net x64 应用程序中禁用 fips。在 web.config 中，我添加了

<runtime>
    <enforceFIPSPolicy enabled = "false">
</runtime>

将 debug 设置为 false。

但是我的应用程序不起作用。我应该在 << 中声明运行时部分吗？配置部分> ？如果是，那么这是一条正确的线

<section name="runtime" type="System.Configuration.IgnoreSection, System.Configuration, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a" allowLocation="false"/>

Answer 1

解决方案仅适用于 IIS >= 7.5

看起来 IIS 不允许您通过 Web 应用程序的 web.config 来操作此设置。一种解决方法是创建一个（或多个）专用应用程序池，并配置应用程序池的 CLR 并禁用 FIPS 强制。 IIS 7.5 引入了 CLRConfigFile 属性，您可以使用该属性来指定应用程序池的 .NET 配置文件。这使我们能够更精细地控制配置影响哪些应用程序 - 而不是我们在 machine.config 或组策略设置中禁用它的霰弹枪方法。

1. 创建一个配置文件 c:\inetpub\AppPoolClrConfig\noFipsWeb.config，其中包含以下内容（文件的位置和名称并不重要）：

<configuration>
    <runtime>
        <enforceFIPSPolicy enabled = "false" />
    </runtime> 
</configuration>

2. 授予对文件的读取权限应用程序池运行的身份：

icacls c:\inetpub\AppPoolClrConfig\noFipsWeb.config /grant "IIS APPPOOL\YourAppPoolName":(R)

3. 通过设置池的 CLRConfigFile 属性来配置应用程序池以加载此配置文件：

cmd:

%windir%\System32\inetsrv\appcmd.exe set config  -section:system.applicationHost/applicationPools /[name='{AppPoolName}'].CLRConfigFile:"{FilePath}"  /commit:apphost

sample:

%windir%\System32\inetsrv\appcmd.exe set config  -section:system.applicationHost/applicationPools /[name='YourAppPoolName'].CLRConfigFile:"c:\inetpub\AppPoolClrConfig\noFipsWeb.config"  /commit:apphost

由于 IIS 7.5 中的错误，我们还需要清除managedRuntimeLoader 属性，否则 CLRConfigFile 将被忽略：

%windir%\System32\inetsrv\appcmd.exe set config  -section:system.applicationHost/applicationPools /[name='YourAppPoolName'].managedRuntimeLoader:""  /commit:apphost

4.重新启动 IIS。使用上述应用程序池的 Asp.NET 应用程序现在应该忽略 FIPS。

致谢：

Scott Forsyth 解释如何配置应用程序池使用与标准 aspnet.config 文件不同的 CLR 文件。

Jose Reyes 记录了 IIS 7.5 中忽略 CLRConfigFile 属性的错误