Azure Key Vault 和数据保护 API 之间的区别？

Question

我部署了 Asp.Net 核心网络应用程序，我需要为我的客户的私钥构建一个存储（它有很多价值）。我应该使用什么：Azure Key Vault 或 Data Protection APIs？ 第二种似乎更容易编程，但是文档中有信息：

The ASP.NET Core data protection APIs are not primarily intended for indefinite persistence of confidential payloads...

但是我需要长期保存密钥。

Answer 1

如果您使用密钥来保护长期存储的数据，我建议您使用 Azure Key vault。

Azure Key vault 是一种高可用性服务，专为存储秘密和密钥而设计。如果您要处理高度敏感的数据，密钥和机密会自动复制到多个区域的 Key Vault 实例，并使用 PowerShell cmdlets. You can store them in an HSM 轻松安全地备份。

数据保护 API 旨在保护本地或临时数据。

Answer 2

你应该使用 Azure Key Vault 来存储你的密钥。数据保护 API 始终在您的应用程序中使用，例如，它用于加密和保护您的会话 cookie。

但请不要忘记，您还需要配置数据保护密钥并将其存储在安全的地方。如果您没有正确执行此操作，则在您重新部署时可能会将用户踢出您的站点。

有关详细信息，请参阅此文档：

• Key storage providers in ASP.NET Core

如果您确实想将数据保护密钥环存储在 AKZ 中，请在此处查看我的实现：

• Storing the ASP.NET Core Data Protection Key Ring in Azure Key Vault