¿Qué sucede exactamente cuando configuro LoadUserProfile del grupo IIS?

Me enfrenté al siguiente problema.

Ejecuto el siguiente código

var binaryData = File.ReadAllBytes(pathToPfxFile);
var cert = new X509Certificate2(binaryData, password);

en dos procesos. Uno de los procesos se ejecuta LOCAL_SYSTEMy allí este código tiene éxito. Otro se ejecuta dentro de IIS bajo una cuenta de usuario local que pertenece al grupo local "Usuarios" y allí obtengo la siguiente excepción:

System.Security.Cryptography.CryptographicException
Object was not found.
at System.Security.Cryptography.CryptographicException.ThrowCryptographicException(Int32 hr)
at System.Security.Cryptography.X509Certificates.X509Utils._LoadCertFromBlob(Byte[] rawData, IntPtr password, UInt32 dwFlags, Boolean persistKeySet, SafeCertContextHandle& pCertCtx)
at System.Security.Cryptography.X509Certificates.X509Certificate.LoadCertificateFromBlob(Byte[] rawData, Object password, X509KeyStorageFlags keyStorageFlags)
at System.Security.Cryptography.X509Certificates.X509Certificate2..ctor(Byte[] rawData, String password)
//my code here

Así que busqué en Google un poco y encontré esta respuesta a una pregunta similar. Intenté habilitar LoadUserProfilepara el grupo de aplicaciones y ahora funciona.

El problema es que no entiendo qué sucede exactamente cuando establezco LoadUserProfiley qué consecuencias podría tener. Quiero decir, si es algo "bueno", ¿por qué no está "activado" por defecto y por qué está ahí después de todo?

¿Qué sucede exactamente cuando configuro el LoadUserProfilegrupo IIS y qué consecuencias negativas puede tener?

Quiero decir, si es algo "bueno", ¿por qué no está "activado" de forma predeterminada y por qué, después de todo, está ahí?

IIS 6 nunca cargó perfiles de usuario. Asumiría que esto está desactivado de forma predeterminada para mantener el comportamiento constante, y un administrador debe optar por ello.

Intenté habilitar LoadUserProfile para el grupo de aplicaciones y ahora funciona.

Lo más probable es que esto se deba a que el proveedor de servicios criptográficos de Windows estaba intentando almacenar o cargar una clave para su certificado en el almacén de usuarios y, dado que no había un perfil disponible, no había un contexto criptográfico disponible. Tenga en cuenta que la Load User Profileconfiguración solo se aplica a las cuentas de usuario. Las cuentas de servicio como NETWORK SERVICE y ApplicationPoolIdentity tienen un manejo especial.

¿Qué sucede exactamente cuando configuro LoadUserProfile en el grupo IIS?

Bueno, el perfil de usuario está cargado. Esto incluye su almacén criptográfico, variables de entorno como% TEMP% y otras.

A lo que finalmente se reduce LoadUserProfilees a que IIS lo llama cuando se inicia AppPool.

¿Qué consecuencias negativas puede tener?

Puede romper la compatibilidad con versiones anteriores con una aplicación que se ejecutó en IIS 6, que no cargó el perfil de usuario. Se cargan las variables de entorno. Por ejemplo, cuando Cargar perfil de usuario es verdadero, la variable de entorno% TEMP% es C:\Users\AccountName\AppData\Local\Temp(por ejemplo). Cuando es falso, lo es C:\WINDOWS\Temp.