Azure密钥库是否适合存储在客户端应用程序上生成的加密密钥？

Question

我的客户端应用程序生成的数据在设备上加密。加密密钥通过HTTPS发送给Azure函数，该函数使用Azure密钥库存储加密密钥，以便其他授权的客户机可以获得加密密钥并解密数据。

下面是我的Azure函数中执行将加密密钥（秘密）保存在密钥库中的工作的一段代码：

    public async Task InsertEncryptionKeyAsync(EncryptionKeyContract encryptionKey)
    {
        Guard.CheckForNull(encryptionKey, nameof(encryptionKey));

        //  Serializes the encryption key information.
        string serializedEncryptionKey = JsonConvert.SerializeObject(encryptionKey);

        //  Pushes the encryption to the Key-Vault.
        var client = new KeyVaultClient(/* Key-vault- access otken*/, new HttpClient());

        await client.SetSecretAsync(Constants.Vault.Url, encryptionKey.FileId.ToKey(), serializedEncryptionKey);
    }

问题

这样的设计是不是对Azure Key Vault的适当使用？

Answer 1

是的，Azure Key Vault是用来存储密钥/秘密的，所以这是一个完美有效的用例。根据您的客户机是谁以及他们拥有什么权限，您可以删除中间件，并让客户机将加密密钥添加到存储库中。但是通常您不想授予客户机对存储库的权限，因此使用Azure函数看起来也很好。