在.NET Core中加载Azure密钥保险库的秘密是什么更好的？

Question

我们已将ConnectInsTring值存储在Azure密钥库中。我已经阅读了两种方法来从我的.NET Core应用程序中获取秘密价值。 一种是使用以下代码加载configurationManager中的所有秘密：

var keyVaultUrl = builder.Configuration["KeyVaultUrl"];
builder.Host.ConfigureAppConfiguration(builder =>
{
    builder.AddAzureKeyVault(new Uri(keyVaultUrl), new DefaultAzureCredential());
});

另一种方法是使用以下代码并获取秘密值：

string keyVaultName = Environment.GetEnvironmentVariable("KEY_VAULT_NAME");
var kvUri = "https://" + keyVaultName + ".vault.azure.net";

var client = new SecretClient(new Uri(kvUri), new DefaultAzureCredential());
var secret = await client.GetSecretAsync(secretName);

在静态类中保存这些值一次，并在需要时通过应用程序使用。

哪种选项在什么情况下更适合。

还提供一些有关重新加载秘密值的输入，如果它更改。

我只有几个秘密

Answer 1

尽管两种情况都可以重复使用值的方式，但i do 都有个人喜好：使用第一个选项。

这种方法的最大优势是可以通过 iconfiguration 检索值。这意味着在整个应用程序的其余部分中，开发人员甚至不必知道价值的来源。他们可以从 ICONFIGURATION 获得设置，无论设置的来源如何。使用您的第二种方法，仍然可以重复使用从密钥库中获得值的代码，但是开发人员需要知道从哪里获得值。

就重新加载而言：在 azurekeykeyvaultConfigurationOptions 的情况下，请查看通过。这具有 ReloAdinterval 属性，这是...

timespan 在两次尝试对密钥库进行更改的尝试之间等待。默认值是 null （配置未重新加载）。

来源：

甚至更丰富的解决方案是将应用程序配置和密钥库组合在一起，以使您重新加载秘密和钥匙库自动的秘密和证书。

应用程序配置和钥匙库是在许多应用程序中并排使用的补充服务。应用程序配置可以通过在应用程序配置存储中创建键来帮助您一起使用服务，以引用存储在密钥库中的秘密或证书。由于Key Vault将证书的公共和私钥对存储为秘密，因此您的应用程序可以从Key Vault中检索任何证书作为秘密。

作为一种良好的安全惯例，应定期旋转秘密和证书。一旦将它们旋转在钥匙库中，您将希望您的应用程序选择最新的秘密和证书值。有两种方法可以实现此目的，而无需重新启动您的应用程序：

• 更新Sentinel键值，以触发整个配置的刷新，从而重新加载所有钥匙库的秘密和证书。有关更多信息，请参阅如何在ASP.NET Core App中使用动态配置。
• 定期重新加载钥匙库中的一些或所有秘密和证书。