Azure密钥存储库即使在禁用安装程序后也会返回机密

Question

我正在为一个业余项目试验Azure密钥库。起初，我在本地开发，但现在我的数据库是在Azure中。所以我希望这个connectionstring在密钥库中是安全的。我设法通过visual Studio中的connected service选项完成了此操作。连接建立了，一切按预期工作。不过，现在我希望在开发中使用AppSettings.json中的配置值访问本地db。我认为，通过在Program.cs中的ConfigureAppConfiguration委托中包装安装程序，如下所示，可以绕过Key Vault，转到本地AppSettings。但是当运行这段代码时，我仍然会得到Key Vault secret值（在调试中，代码被跳过（所以IsDevelopment是真的）

            if (!context.HostingEnvironment.IsDevelopment())
            {
                var builtConfig = config.Build();
                var keyVaultEndpoint = GetKeyVaultEndpoint();
                if (!string.IsNullOrEmpty(keyVaultEndpoint))
                {
                    var azureServiceTokenProvider = new AzureServiceTokenProvider();
                    var keyVaultClient = new KeyVaultClient(
                        new KeyVaultClient.AuthenticationCallback(
                            azureServiceTokenProvider.KeyVaultTokenCallback));
                    config.AddAzureKeyVault(
                        keyVaultEndpoint, keyVaultClient, new DefaultKeyVaultSecretManager());
                }
            }

1. 还有其他人经历过这种奇怪的行为吗？
2. 如何正确处理在本地计算机上切换密钥库

Answer 1

为此，我通常使用环境变量，而不是在程序类中访问宿主环境。由于keyvault可能会更改，所以我将keyvault存储为生产中的环境变量。我现在可以将函数定义为：

string GetKeyVaultEndpoint() => Environment.GetEnvironmentVariable("KeyVaultURL");

这里的“KeyVaulturl”是存储URLendpoint的环境变量名。一旦这样定义了函数，就可以简单地检查它是否返回NULL。如果返回null，则可以跳过密钥库设置。这样，即使您将网站移动到您选择使用其他东西而不是密钥库的位置，即使在生产环境中也不会出现问题。