使用 ASP.Net Core v2.2 ProtectKeysWithAzureKeyVault() 数据保护答案

【问题标题】：Using ASP.Net Core v2.2 ProtectKeysWithAzureKeyVault() data protection使用 ASP.Net Core v2.2 ProtectKeysWithAzureKeyVault() 数据保护
【发布时间】：2019-04-10 21:19:12
【问题描述】：

我正在尝试使用 ASP.NET Core 2.2 配置数据保护，以便将密钥环存储在 Azure Blob 存储中，并使用存储在 KeyVault 中的密钥保护密钥环。

在我的 ConfigureServices() 方法中，我有：

public void ConfigureServices(IServiceCollection services)
{
    services.AddDataProtection()
            .PersistKeysToAzureBlobStorage(new Uri("myblob-sasuri"))
            .ProtectKeysWithAzureKeyVault(keyVaultClient, "key-identifier-uri");
}

一切看起来都不错，但我对访问 keyvault 时出现的 Forbidden 错误感到困惑。我不知道我是否搞砸了密钥标识符（可疑）或 keyVaultClient，或权限。

我怀疑权限，但文档没有告诉我客户需要什么权限。

有人成功完成这项工作吗？

【问题讨论】：

标签： .net-core azure-keyvault data-protection

【解决方案1】：

通过实验，我了解到 KeyVault 访问策略必须在 Key Permissions 的 Cryptographic Operations 部分启用“Unwrap Key”权限。因此，您授予对 KeyVault 访问权限的服务主体必须在您的访问策略中被授予一项特定权限。我们遇到了问题，因为我们没有启用它，我们只是启用了加密和解密权限。这应该记录在案，我在这里向文档添加了反馈：https://docs.microsoft.com/en-us/aspnet/core/security/data-protection/configuration/overview?view=aspnetcore-2.2

【讨论】：