Azure Key Vault和Data Protection API之间的区别？

Question

我部署了Asp.Net Core Web应用程序，我需要为我的客户端的私钥构建一个存储空间（这是很多值）。我应该使用什么：Azure Key Vault或Data Protection APIs？ 第二个似乎更容易编程，但有来自文档的信息：

  

ASP.NET核心数据保护API主要不适用于   无限期保密的有效载荷......

但我需要长期存储密钥。

Answer 1

如果您使用密钥保护数据以进行长期存储，我建议您使用Azure Key保险库。

Azure Key保管库是一种高可用性服务，旨在存储机密和密钥。密钥和机密会自动复制到多个区域中的密钥保管库实例，并使用PowerShell cmdlets轻松安全备份。如果处理高度敏感的数据，可以将它们存储在HSM中。

数据保护API更适用于保护本地或短暂数据。

Answer 2

您应该使用Azure Key Vault存储您的密钥。数据保护API始终在您的应用程序中使用，例如，它用于加密和保护会话cookie。

但是请不要忘记，您还需要在安全的地方配置和存储数据保护密钥。如果操作不当，则重新部署时可能会将使用权踢出您的网站。

有关更多详细信息，请参阅此文档：

• Key storage providers in ASP.NET Core

如果您确实希望将数据保护密钥环存储在AKZ中，请在此处查看我的实现：

• Storing the ASP.NET Core Data Protection Key Ring in Azure Key Vault