使用KeyVault机密在Azure应用服务和本地重写appsettings

Question

试图从C#应用程序服务中的KeyVault检索机密。

>

Visual Studio>工具>选项>Azure服务身份验证-经过身份验证的Azure帐户

很可能在DotNet运行的shell中使用AZ登录，如果是vs code等未选中的话。

null

null

...
"KeyVaultName" : "abc123",
"Secrets": {
    "One" : "@Microsoft.KeyVault(Secreturi=[uri to secret copied from Azure blade])"
}
...

...
using Azure.Extensions.AspNetCore.Configuration.Secrets;
using Azure.Identity;
...
public static IHostBuilder CreateHostBuilder(string[] args)
    {
        return Host.CreateDefaultBuilder(args)
            .ConfigureAppConfiguration((context, config) =>
            {
                var builtConfig = config.Build();
                var secretClient = new SecretClient(
                    new Uri($"https://{builtConfig["KeyVaultName"]}.vault.azure.net/"),
                    new DefaultAzureCredential());
                config.AddAzureKeyVault(secretClient, new KeyVaultSecretManager());
            })
            .ConfigureWebHostDefaults(webBuilder =>
            {
                webBuilder.UseStartup<Startup>();
            });
    }

似乎有些不对劲，因为我必须两次定义keyvault的名称，一次在SecretClient中，一次在@microsoft.keyvault引用中。

Answer 1

我好像混合了两种从钥匙库获取秘密的方法。

我在program.cs中添加的是一个配置提供程序，它将机密映射到配置集合中。在startup.cs中放置断点并检查配置集合中的值验证了这一点。

我应该做的是命名为secretsecret--one，它将映射和重写本地配置值{“secret：{”one“：”...“}}。不能使用环境变量配置映射中使用的:或__，因为秘密名称中不支持这些字符。

另一方面，如果希望使用在Azure应用程序设置（App Service Configuration）刀片上设置的环境变量重写配置值，则可以使用KeyVault引用。

这样做的问题是，您仍然需要另一种方法来确保您不会在本地保留机密，并冒着将它们提交给源代码管理的风险。

• Microsoft Docs-KeyVault引用
• Microsoft Docs-KeyVault配置
• Joseph Guandagno-在应用程序设置刀片中使用KeyVault引用的示例