不使用 KeyVault 在 Azure 上加密的策略

Strategies to encrypt on Azure without using KeyVault

需要在 Azure Blob 存储中存储一些内容，并希望在将其存储到 Azure Blob 之前进行加密（我们不想依赖 Azure 存储加密）。问题是我们不想将我们的加密密钥存储在 Azure 上（例如 Key vault），而是将其存储在 Azure 之外。对实现这一目标的策略有什么建议吗？

The issue is we do not want to store our encryption keys on Azure (e.g. Key vault), and store it outside of Azure.

Azure 存储服务加密直到现在才允许我们使用自己的加密密钥。若要使用你自己的加密密钥并将其存储在 Azure 外部，你需要为你的存储服务创建一个代理。

例如，您可以创建一个 Web API 来处理所有 blob read/write 请求。在您的 Web API 中，您可以使用自己的加密密钥来加密或解密数据，然后将数据写入或读取到 Azure Blob 存储。

这种方式的局限在于我们不能使用Azure Storage Client库或其他工具来访问存储代理（Web API），因为它是我们自己编写的。

Any suggestion of on-premise secret options we can use, which are accessible to components on Azure.

我建议您将密钥存储在本地并创建一个内部 API 可以 return 这个密钥。要从 Azure 组件访问此内部 API，您可以使用混合连接。