ASP.NET Core 中的金鑰儲存體提供者

在註冊服務的檔案Program中：

TokenCredential? credential;

if (builder.Environment.IsProduction())
{
    credential = new ManagedIdentityCredential("{MANAGED IDENTITY CLIENT ID}");
}
else
{
    // Local development and testing only
    DefaultAzureCredentialOptions options = new()
    {
        // Specify the tenant ID to use the dev credentials when running the app locally
        // in Visual Studio.
        VisualStudioTenantId = "{TENANT ID}",
        SharedTokenCacheTenantId = "{TENANT ID}"
    };

    credential = new DefaultAzureCredential(options);
}

builder.Services.AddDataProtection()
    .SetApplicationName("{APPLICATION NAME}")
    .PersistKeysToAzureBlobStorage(new Uri("{BLOB URI}"), credential);

{MANAGED IDENTITY CLIENT ID}：Azure 託管的 Identity 客戶端識別碼 (GUID)。

{TENANT ID}：租使用者標識碼。

{APPLICATION NAME}： SetApplicationName 設定資料保護系統中此應用程式的唯一名稱。 應用程式部署間的值應保持一致。

{BLOB URI}：金鑰檔案的完整 URI。 當您建立密鑰檔案時，Azure 記憶體會產生 URI。 請勿使用 SAS。

替代的共用存取簽章 （SAS） 方法：作為使用受控 Identity 存取 Azure Blob 儲存器中密鑰 Blob 的替代方法，您可以呼叫 PersistKeysToAzureBlobStorage 接受具有 SAS 令牌之 Blob URI 的多載：

builder.Services.AddDataProtection()
    .SetApplicationName("{APPLICATION NAME}")
    .PersistKeysToAzureBlobStorage(new Uri("{BLOB URI WITH SAS}"));

在 Startup.ConfigureServices 中：

TokenCredential? credential;

if (_env.IsProduction())
{
    credential = new ManagedIdentityCredential("{MANAGED IDENTITY CLIENT ID}");
}
else
{
    // Local development and testing only
    DefaultAzureCredentialOptions options = new()
    {
        // Specify the tenant ID to use the dev credentials when running the app locally
        // in Visual Studio.
        VisualStudioTenantId = "{TENANT ID}",
        SharedTokenCacheTenantId = "{TENANT ID}"
    };

    credential = new DefaultAzureCredential(options);
}

services.AddDataProtection()
    .SetApplicationName("{APPLICATION NAME}")
    .PersistKeysToAzureBlobStorage(new Uri("{BLOB URI}"), credential);

{MANAGED IDENTITY CLIENT ID}：Azure 託管的 Identity 客戶端識別碼 (GUID)。

{TENANT ID}：租使用者標識碼。

{APPLICATION NAME}： SetApplicationName 設定資料保護系統中此應用程式的唯一名稱。 應用程式部署間的值應保持一致。

{BLOB URI}：金鑰檔案的完整 URI。 當您建立密鑰檔案時，Azure 記憶體會產生 URI。 請勿使用 SAS。

範例：

https://contoso.blob.core.windows.net/data-protection/keys.xml

替代的共用存取簽章 （SAS） 方法：作為使用受控 Identity 存取 Azure Blob 儲存器中密鑰 Blob 的替代方法，您可以呼叫 PersistKeysToAzureBlobStorage 接受具有 SAS 令牌之 Blob URI 的多載：

services.AddDataProtection()
    .SetApplicationName("{APPLICATION NAME}")
    .PersistKeysToAzureBlobStorage(new Uri("{BLOB URI WITH SAS}"));

在註冊服務的檔案Program中：

string connectionString = "{CONNECTION STRING}";
string containerName = "{CONTAINER NAME}";
string blobName = "keys.xml";
var container = new BlobContainerClient(connectionString, containerName);
await container.CreateIfNotExistsAsync();
BlobClient blobClient = container.GetBlobClient(blobName);

builder.Services.AddDataProtection().PersistKeysToAzureBlobStorage(blobClient);

在 Startup.ConfigureServices 中：

string connectionString = "{CONNECTION STRING}";
string containerName = "{CONTAINER NAME}";
string blobName = "keys.xml";
var container = new BlobContainerClient(connectionString, containerName);
await container.CreateIfNotExistsAsync();
BlobClient blobClient = container.GetBlobClient(blobName);

services.AddDataProtection().PersistKeysToAzureBlobStorage(blobClient);

Microsoft.AspNetCore.DataProtection.StackExchangeRedis 套件可讓您將資料保護金鑰儲存在 Redis 快取中。 金鑰可以在 Web 應用程式的數個執行個體之間共用。 應用程式可以跨多部伺服器共用驗證 cookies 或 CSRF 保護。

Microsoft.AspNetCore.DataProtection.Redis 套件可讓您將資料保護金鑰儲存在 Redis 快取中。 金鑰可以在 Web 應用程式的數個執行個體之間共用。 應用程式可以跨多部伺服器共用驗證 cookies 或 CSRF 保護。

若要在 Redis 上進行設定，請呼叫其中一個 PersistKeysToStackExchangeRedis 重載：

public void ConfigureServices(IServiceCollection services)
{
    var redis = ConnectionMultiplexer.Connect("<URI>");
    services.AddDataProtection()
        .PersistKeysToStackExchangeRedis(redis, "DataProtection-Keys");
}

若要在 Redis 上進行設定，請呼叫其中一個 PersistKeysToRedis 重載：

public void ConfigureServices(IServiceCollection services)
{
    var redis = ConnectionMultiplexer.Connect("<URI>");
    services.AddDataProtection()
        .PersistKeysToRedis(redis, "DataProtection-Keys");
}

Entity Framework Core

Microsoft.AspNetCore.DataProtection.EntityFrameworkCore 套件提供一種機制，可讓您使用 Entity Framework Core 將資料保護金鑰儲存至資料庫。 Microsoft.AspNetCore.DataProtection.EntityFrameworkCore NuGet 套件必須新增至專案檔，它不屬於 Microsoft.AspNetCore.App 中繼套件。

使用此套件時，金鑰可以跨 Web 應用程式的多個執行個體共用。

若要設定 EF Core 提供者，請呼叫 PersistKeysToDbContext 方法：

public void ConfigureServices(IServiceCollection services)
{
    services.Configure<CookiePolicyOptions>(options =>
    {
        options.CheckConsentNeeded = context => true;
        options.MinimumSameSitePolicy = SameSiteMode.None;
    });

    services.AddDbContext<ApplicationDbContext>(options =>
        options.UseSqlServer(
            Configuration.GetConnectionString("DefaultConnection")));

    // Add a DbContext to store your Database Keys
    services.AddDbContext<MyKeysContext>(options =>
        options.UseSqlServer(
            Configuration.GetConnectionString("MyKeysConnection")));

    // using Microsoft.AspNetCore.DataProtection;
    services.AddDataProtection()
        .PersistKeysToDbContext<MyKeysContext>();

    services.AddDefaultIdentity<IdentityUser>()
        .AddDefaultUI(UIFramework.Bootstrap4)
        .AddEntityFrameworkStores<ApplicationDbContext>();
    services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);
}

如果您想要查看翻譯為英文以外語言的程式碼註解，請在此 GitHub 討論問題中告訴我們。

泛型參數 TContext 必須繼承自 DbContext 並實作 IDataProtectionKeyContext：

using Microsoft.AspNetCore.DataProtection.EntityFrameworkCore;
using Microsoft.EntityFrameworkCore;
using WebApp1.Data;

namespace WebApp1
{
    class MyKeysContext : DbContext, IDataProtectionKeyContext
    {
        // A recommended constructor overload when using EF Core 
        // with dependency injection.
        public MyKeysContext(DbContextOptions<MyKeysContext> options) 
            : base(options) { }

        // This maps to the table that stores keys.
        public DbSet<DataProtectionKey> DataProtectionKeys { get; set; }
    }
}

建立 DataProtectionKeys 資料表。

Add-Migration AddDataProtectionKeys -Context MyKeysContext
Update-Database -Context MyKeysContext

dotnet ef migrations add AddDataProtectionKeys --context MyKeysContext
dotnet ef database update --context MyKeysContext

MyKeysContext 是上述程式碼範例中定義的 DbContext。 如果您使用不同名稱的 DbContext，請將 DbContext 名稱取代為 MyKeysContext。

DataProtectionKeys 類別/實體採用下表所示的結構。