ASP.NET核心OpenIdConnectServer数据保护密钥位置

Question

你好,

在我的ASP.NET核心应用程序中，我使用OpenIdConnectServer进行Api身份验证。一切都很好。

但是有一件事我无法解决--如何设置自定义文件夹来保存令牌签名密钥？

在服务配置中，我有：

services.AddDataProtection()
        .PersistKeysToFileSystem(new DirectoryInfo(@"keys/"));

第一次运行后，将在那里创建一个应用程序键。但是OpenIdServer以某种方式自行管理密钥。

app.UseOpenIdConnectServer(options => {
    ...
    options.DataProtectionProvider = app.ApplicationServices.GetDataProtectionProvider();
    ...
});

尽管如此，凭据签名键还是在默认位置创建的：

 A new RSA key ... persisted on the disk: /home/.../.aspnet/aspnet-contrib/oidc-server/<some guid>.key.

那是窃听器还是功能？如何迫使服务器也将密钥存储在keys/文件夹中？

摘要-为什么我要这么做

我的想法是从n个码头映像中构建一个API，将其隐藏在一个负载均衡器后面，然后在云中某个地方运行。问题是，当docker中的每个实例创建自己的应用程序&签名密钥时，加密的auth令牌将不适用于任何其他实例，只有创建并用其密钥对令牌进行签名的实例除外。因此，我试图将相同的密钥分发到每个正在运行的码头映像中。到预定义的应用程序文件夹，如果可能的话。

或者是否有更好的方法或最佳做法？

提前谢谢你。

Answer 1

嗯，我想出来了。

首先，我们必须生成一个x509证书(带有私钥)，如描述的here

openssl genrsa -out private.key 1024
openssl req -new -x509 -key private.key -out publickey.cer -days 365
openssl pkcs12 -export -out certificate.pfx -inkey private.key -in publickey.cer

将其复制到您喜欢的文件夹中，在本例中为key/certificate.pfx。

然后，轻轻地将新证书插入OpenIdConnectServer：

appsettings.json

"Keys": {
    "CertificatePath": "keys/certificate.pfx",
    "CertificatePassword": "<password you provider>"
}

Startup.cs

private X509Certificate2 CreateOauthCertificate(){
        var path = Configuration["Keys:CertificatePath"];
        var password = Configuration["Keys:CertificatePassword"];
        return new X509Certificate2(path, password);
    }

Starup.cs -配置

app.UseOpenIdConnectServer(
    ...
    options.SigningCredentials.AddCertificate(CreateOauthCertificate());
    ...
});

现在我很好奇有没有更好的方法。

但这个很管用。

问候