Asp.net 核心数据保护解密 Azure KeyVault 密钥

Question

我们有一个 .net5 asp.net 核心应用程序，它遵循此处官方文档中描述的 Microsoft 数据保护指南。

public void ConfigureServices(IServiceCollection services)
{
    services.AddDataProtection()
        .PersistKeysToAzureBlobStorage(new Uri("<blobUriWithSasToken>"))
        .ProtectKeysWithAzureKeyVault("<keyIdentifier>", "<clientId>", "<clientSecret>");
}

通过这样做我们

1. 将我们的密钥存储在 blob 存储容器中
2. 使用 Azure 密钥库对它们进行加密。

然而，我们有点担心使用 Azure 密钥库会将我们锁定在 Azure 中，因为我们可以看到存储在 Z3A580F142203677F13F0BC30898F63F 存储中的文件中的加密密钥。

从 blob 存储中的文件中提取加密密钥并将其转换为例如将密钥存储在文件系统或数据库中的格式有多难？

Answer 1

从 blob 存储中的文件中提取加密密钥并将其转换为例如将密钥存储在文件系统或数据库中的格式有多难？

不知道你是什么意思这里How hard ，如果你的意思是安全问题，因为你可以在存储 blob 中看到加密的密钥，我认为你不需要担心。 要访问存储 blob，客户端/用户需要 RBAC 角色/SAS 令牌/连接字符串/访问密钥。 获取 blob 后，要对其进行解密，客户端/用户还需要 keyvault 访问策略中的密钥权限（例如Unwrap Key和Wrap Key ，可能还有其他权限，尚未测试过）（或 RBAC 角色Key Vault Administrator如果你select Azure keyvault 的Access policies刀片中Azure role-based access control ）。

如果您只想从存储 blob 中解密加密密钥，可以尝试使用 SDK，请参阅此文档 - Encrypt and decrypt blobs using Azure Key Vault - Decrypt blob and download ，另请参阅有关如何解密的源代码此博客中此功能的工作原理和详细信息。

Answer 2

我写了一篇关于如何在 Azure Key Vault 中存储数据保护密钥环和保护密钥的实验博客。

将 ASP.NET 核心数据保护密钥环存储在 Azure 密钥库中

钥匙环很容易移动到其他位置。 通常它只是一个普通的 XML 文件。