ASP.NET Core'da Azure Key Vault yapılandırma sağlayıcısını kullanma

Bu makalede, Key Vault gizli dizilerinden uygulama yapılandırma değerlerini yüklemek için Azure Key Vault yapılandırma sağlayıcısının nasıl kullanılacağı açıklanmaktadır. Key Vault, uygulamalar ve hizmetler tarafından kullanılan şifreleme anahtarlarını ve gizli dizileri korumaya yardımcı olan bulut tabanlı bir hizmettir. ASP.NET Core uygulamalarla Key Vault kullanmaya yönelik yaygın senaryolar şunlardır:

• Hassas yapılandırma verilerine erişimi denetleme.
• Yapılandırma verilerini depolarken FIPS 140-2 Düzey 2 doğrulanmış Donanım Güvenlik Modülleri (HSM) gereksinimini karşılar.

Packages

Paket başvurularını aşağıdaki paketler için ekleyin:

• Azure.Extensions.AspNetCore.Configuration.Secrets
• Azure.Identity

Örnek uygulama

Örnek uygulama, #define dosyasının üst kısmındaki ön işlemci yönergesi tarafından belirlenen iki moddan birinde çalışır:

• Certificate: Bir anahtar kasasında depolanan gizli bilgilere erişmek için Key Vault istemci kimliği ile X.509 sertifikasının nasıl kullanılacağını gösterir. örneği, Azure App Service veya bir ASP.NET Core uygulamasına hizmet verebilen herhangi bir konağa dağıtılan herhangi bir konumdan çalıştırabilirsiniz.

• Managed: Azure kaynakları için Yönetilen kimliklerin nasıl kullanılacağını gösterir. Yönetilen kimlik, kimlik bilgilerini uygulama kodunda veya yapılandırmasında depolamadan, Azure kaynakları için Yönetilen Kimlikler kullanarak uygulamanın Key Vault’a kimlik doğrulaması yapmasını sağlar. Örneğin Managed sürümü Azure'a dağıtılmalıdır. Azure kaynakları için yönetilen kimlikleri kullanma bölümündeki yönergeleri izleyin.

kullanarak #defineörnek uygulama yapılandırma hakkında daha fazla bilgi için bkz. Örnek kodda önişlemci yönergeleri.

Örnek kodu görüntüleme veya indirme (indirme)

Geliştirme ortamında gizli depolama

Gizli Yönetimi aracını kullanarak gizli anahtarları yerel olarak ayarlayın. Örnek uygulama Development ortamında yerel makinede çalıştırıldığında, gizli bilgiler yerel kullanıcı gizli bilgiler deposundan yüklenir.

Secret Manager, uygulama projesi dosyasında bir <UserSecretsId> özelliği gerektirir. Özellik değerini ({GUID}) herhangi bir benzersiz GUID olarak ayarlayın:

<PropertyGroup>
  <UserSecretsId>{GUID}</UserSecretsId>
</PropertyGroup>

Sırlar ad-değer çiftleri olarak oluşturulur. Hiyerarşik değerler (yapılandırma bölümleri), : anahtar adlarında ayırıcı olarak iki nokta () kullanır.

Secret Manager, projenin içerik kökünde açılmış bir komut kabuğunda (veya terminalde) kullanılır; burada {SECRET NAME} addır ve {SECRET VALUE} değerdir:

dotnet user-secrets set "{SECRET NAME}" "{SECRET VALUE}"

Aşağıdaki komutları projenin içerik kökünden bir komut kabuğunda çalıştırın. Komutlar örnek uygulama için gizli anahtarları belirler:

dotnet user-secrets set "SecretName" "secret_value_1_dev"
dotnet user-secrets set "Section:SecretName" "secret_value_2_dev"

Bu gizli bilgiler, Key Vault ile Üretim ortamında gizli bilgilerin depolanması bölümünde açıklandığı gibi Key Vault'ta depolandığında, _dev soneki _prod olarak değişir. Sonek, uygulama çıkışında yapılandırma değerlerinin kaynağını gösteren görsel bir ipucu sağlar.

Key Vault ile Üretim ortamında gizli depolama

Aşağıdaki adımları tamamlayarak bir Azure anahtar kasası oluşturun ve örnek uygulama gizli dizilerini depolayın. Daha fazla bilgi için bkz. Hızlı başlangıç: Azure CLI ile Key Vault'ta bir gizli dizi ayarlama ve alma.

1. Azure portalında aşağıdaki yöntemlerden birini kullanarak Azure Cloud Shell açın:

   • Kod bloğunun sağ üst köşesindeki Deneyin’i seçin. Metin kutusundaki "Azure CLI" arama dizesini kullanın.
   • Cloud Shell'i Başlat düğmesiyle tarayıcınızda Cloud Shell'i açın.
   • Azure portalının sağ üst köşesindeki menüden Cloud Shell düğmesini seçin.

   Daha fazla bilgi için Azure CLI belgelerine ve Azure Cloud Shell’e genel bakış bölümüne bakın.

2. Henüz kimliğiniz doğrulanmamışsa komutuyla az login oturum açın.

3. Aşağıdaki komutla bir kaynak grubu oluşturun; burada {RESOURCE GROUP NAME} yeni kaynak grubunun adıdır ve {LOCATION} Azure bölgesidir:

   az group create --name "{RESOURCE GROUP NAME}" --location {LOCATION}
   

4. Kaynak grubunda aşağıdaki komutla bir Azure anahtar kasası oluşturun; burada {KEY VAULT NAME} yeni kasanın adı ve {LOCATION} Azure bölgesidir:

   az keyvault create --name {KEY VAULT NAME} --resource-group "{RESOURCE GROUP NAME}" --location {LOCATION}
   

5. Güvenlik deposunda isim-değer çiftleri olarak gizli anahtarlar oluşturun.

   Key Vault gizli anahtar adları, harf ve rakamlardan oluşan karakterler ile tireler (-) içerebilir. Hiyerarşik değerler (yapılandırma bölümleri), ayraç olarak iki tire (--) kullanır. Key Vault gizli bilgi adlarında iki nokta üst üste karakterine izin verilmez. ASP.NET Core yapılandırmasında iki nokta üst üste, bir bölümü bir alt anahtardan ayırır. Gizli anahtarlar uygulama yapılandırmasına yüklendiğinde, iki tire karakteri dizisi iki nokta üst üste ile değiştirilir.

   Aşağıdaki gizli bilgiler örnek uygulamayla birlikte kullanılması içindir. Değerler, bunları Secret Manager aracılığıyla _prod ortamına yüklenen _dev son ekine sahip değerlerden ayıran bir Development son eki içerir. {KEY VAULT NAME} değerini daha önce oluşturduğunuz anahtar kasasının adıyla değiştirin:

   az keyvault secret set --vault-name {KEY VAULT NAME} --name "SecretName" --value "secret_value_1_prod"
   az keyvault secret set --vault-name {KEY VAULT NAME} --name "Section--SecretName" --value "secret_value_2_prod"
   

Azure'da barındırılan olmayan uygulamalar için Uygulama Kimliği ve X.509 sertifikası kullanma

Azure dışında barındırıldığında uygulamanın bir kasaya kimlik doğrulaması yapmak için Microsoft Entra ID Uygulama Kimliği ve X.509 sertifikası kullanmasını sağlayacak şekilde Key Vault'u ve uygulamayı yapılandırın . Daha fazla bilgi için bkz . Anahtarlar, gizli diziler ve sertifikalar hakkında.

Note

Uygulama Kimliği ve X.509 sertifikasının kullanılması Azure barındırılan uygulamalar için desteklense de bu yaklaşım önerilmez. Bunun yerine, Azure'da bir uygulamayı barındırırken Azure kaynakları için Yönetilen kimlikleri kullanın. Yönetilen kimlikler için uygulamada veya Development ortamda sertifika depolanması gerekmez.

Örnek uygulama, #define dosyasının en üstündeki önişlemci yönergesi Certificate olarak ayarlandığında bir Uygulama Kimliği ve X.509 sertifikası kullanır.

1. PKCS#12 arşiv (.pfx) sertifikası oluşturun. Sertifika oluşturma seçenekleri Arasında Windows'ta New-SelfSignedCertificate ve OpenSSL bulunur.

2. Sertifikayı geçerli kullanıcının kişisel sertifika deposuna yükleyin. Anahtarı dışarı aktarılabilir olarak işaretlemek isteğe bağlıdır. Bu işlemin ilerleyen bölümlerinde kullanılan sertifikanın parmak izini not edin.

3. PKCS#12 arşiv (.pfx) sertifikasını DER ile kodlanmış sertifika (.cer) olarak dışarı aktarın.

4. Uygulamayı Microsoft Entra ID (Uygulama kayıtları) ile kaydedin.

5. DER ile kodlanmış sertifikayı (.cer) Microsoft Entra ID yükleyin:

   1. Microsoft Entra Id'de uygulamayı seçin.
   2. Sertifikalar ve gizli anahtarlar bölümüne gidin.
   3. Sertifikayı karşıya yükle seçeneğini seçin, bu işlem ortak anahtarı içeren sertifikayı karşıya yükleyecektir. .cer, .pem veya .crt sertifikası kabul edilebilir.

6. Anahtar kasası adını, Uygulama Kimliği'ni ve sertifika parmak izini uygulama appsettings.json dosyasında depolayın.

7. Azure portalında Key Vaults adresine gidin.

8. Azure Key Vault ile Üretim ortamında Gizli dizi depolama bölümünde oluşturduğunuz anahtar kasasını seçin.

9. Erişim ilkeleri'ni ve ardından Erişim İlkesi Ekle'yi seçin.

10. Gizli izinleri açın ve uygulamaya Alma ve Listeleme izinlerini sağlayın.

11. Sorumlu seç öğesini seçin. Kayıtlı uygulamayı ada göre seçin ve ardından Seç'i seçin.

12. Tamam'ı ve ardından Kaydet'i seçin.

13. Uygulamayı dağıtın.

Örnek uygulama, yapılandırma değerlerini Certificate, sır adıyla aynı ada sahip IConfigurationRoot'den alır.

• Hiyerarşik olmayan değerler: SecretName için değer, config["SecretName"] ile elde edilir.
• Hiyerarşik değerler (bölümler): İki nokta üst üste (:) gösterimini veya GetSection yöntemini kullanın. Yapılandırma değerini almak için aşağıdaki yaklaşımlardan birini kullanın:
  • config["Section:SecretName"]
  • config.GetSection("Section")["SecretName"]

İşletim sistemi X.509 sertifikasını yönetir. Uygulama, AddAzureKeyVault dosyasının sağladığı değerlerle yöntemini çağırır:

using System.Security.Cryptography.X509Certificates;
using Azure.Identity;

var builder = WebApplication.CreateBuilder(args);

if (builder.Environment.IsProduction())
{
    using var x509Store = new X509Store(StoreLocation.CurrentUser);

    x509Store.Open(OpenFlags.ReadOnly);

    var x509Certificate = x509Store.Certificates
        .Find(
            X509FindType.FindByThumbprint,
            builder.Configuration["AzureADCertThumbprint"],
            validOnly: false)
        .OfType<X509Certificate2>()
        .Single();

    builder.Configuration.AddAzureKeyVault(
        new Uri($"https://{builder.Configuration["KeyVaultName"]}.vault.azure.net/"),
        new ClientCertificateCredential(
            builder.Configuration["AzureADDirectoryId"],
            builder.Configuration["AzureADApplicationId"],
            x509Certificate));
}

var app = builder.Build();

Örnek değerler:

• Anahtar kasası adı: contosovault
• Uygulama kimliği: 00001111-aaaa-2222-bbbb-3333cccc4444
• Sertifika parmak izi: fe14593dd66b2406c5269d742d04b6e1ab03adb1

appsettings.json dosyasındaki değerler:

{
  "KeyVaultName": "Key Vault Name",
  "AzureADApplicationId": "Azure AD Application ID",
  "AzureADCertThumbprint": "Azure AD Certificate Thumbprint",
  "AzureADDirectoryId": "Azure AD Directory ID"
}

Uygulamayı çalıştırdığınızda, bir web sayfası yüklenen gizli dizi değerlerini gösterir. Development ortamında, gizli değerler _dev sonekiyle yüklenir. Production ortamda değerler _prod sonekle birlikte yüklenir.

Azure kaynakları için yönetilen kimlikleri kullanma

Azure'a dağıtılan bir uygulama, Azure kaynakları için Yönetilen kimliklerden yararlanabilir. Yönetilen kimlik, uygulamanın kimlik bilgilerini uygulama kodunda veya yapılandırmasında depolamadan Microsoft Entra ID kimlik doğrulamasını kullanarak Azure Key Vault ile kimlik doğrulaması yapmasına olanak tanır.

Örnek uygulama, #define dosyasının üst kısmında yer alan ön işlemci yönergesi olarak ayarlandığında, Managed sistem tarafından atanan yönetilen kimliği kullanır. Azure App Service uygulaması için yönetilen kimlik oluşturmak için bkz. App Service ve Azure İşlevleri için yönetilen kimlikleri kullanma. Yönetilen kimlik oluşturulduktan sonra, App Service'in Identity panelinde Azure portalında gösterilen uygulama Nesne Kimliği'ni not alın.

Uygulama appsettings.json dosyasına anahtar kasası adını girin. Örnek uygulama, sürüme Managed ayarlandığında Bir Uygulama Kimliği ve Parola (İstemci Gizli Anahtarı) gerektirmez, bu nedenle bu yapılandırma girdilerini yoksayabilirsiniz. Uygulama Azure’a dağıtılır ve Azure, Key Vault’a erişmek için uygulamanın kimliğini yalnızca appsettings.json dosyasında depolanan kasa adını kullanarak doğrular.

Örnek uygulamayı Azure Uygulaması Hizmetine dağıtın.

Azure CLI'yi ve uygulamanın Nesne Kimliğini kullanarak, uygulamaya anahtar kasasına erişmek üzere list ve get izinlerini verin:

az keyvault set-policy --name {KEY VAULT NAME} --object-id {OBJECT ID} --secret-permissions get list

Azure CLI, Azure PowerShell veya Azure portalını kullanarak uygulamayı başlatın.

Örnek uygulama DefaultAzureCredential sınıfının bir örneğini oluşturur. Kimlik bilgisi, Azure kaynakları için ortamdan erişim belirteci almayı dener:

using Azure.Identity;

var builder = WebApplication.CreateBuilder(args);

if (builder.Environment.IsProduction())
{
    builder.Configuration.AddAzureKeyVault(
        new Uri($"https://{builder.Configuration["KeyVaultName"]}.vault.azure.net/"),
        new DefaultAzureCredential());
}

Note

Yukarıdaki örnekte, Azure dağıtan uygulamalar geliştirirken kimlik doğrulamasını basitleştirmek için DefaultAzureCredential sınıfı kullanılır. Bu yaklaşım, Azure barındırma ortamlarında kullanılan kimlik bilgilerini yerel geliştirmede kullanılan kimlik bilgileriyle birleştirir. Uygulamayı üretime taşıdığınızda, sınıfı gibi ManagedIdentityCredential bir alternatif daha iyi bir seçimdir. Daha fazla bilgi için bkz. Sistem tarafından atanan yönetilen kimlik kullanarak Azure’da barındırılan .NET uygulamalarının Azure kaynaklarına kimlik doğrulaması yapması.

Anahtar kasası için örnek ad: contosovault

appsettings.json dosyasındaki ad değeri:

{
  "KeyVaultName": "Key Vault Name"
}

Kullanıcı tarafından atanan yönetilen kimlik kullanan uygulamalar için, aşağıdaki yaklaşımlardan birini kullanarak yönetilen kimliğin İstemci Kimliğini yapılandırın:

• AZURE_CLIENT_ID ortam değişkenini ayarlayın.

• DefaultAzureCredentialOptions.ManagedIdentityClientId yöntemini çağırırken AddAzureKeyVault özelliğini ayarlayın:

  builder.Configuration.AddAzureKeyVault(
      new Uri($"https://{builder.Configuration["KeyVaultName"]}.vault.azure.net/"),
      new DefaultAzureCredential(new DefaultAzureCredentialOptions
      {
          ManagedIdentityClientId = builder.Configuration["AzureADManagedIdentityClientId"]
      }));
  

Uygulamayı çalıştırdığınızda, bir web sayfası yüklenen gizli dizi değerlerini gösterir. Development Ortamda gizli değerler, Gizli Yönetici tarafından sağlandığı için _dev son eke sahiptir. Production ortamında, değerler Azure Key Vault tarafından sağlandığı için _prod sonekiyle yüklenir.

Access denied hatası alırsanız, uygulamanın Microsoft Entra ID'ye kaydedildiğini ve kasaya erişimi olduğunu doğrulayın. hizmeti Azure'de yeniden başlattığınızdan emin olun.

Sağlayıcıyı bir yönetilen kimlik ve Azure Pipelines ile kullanma konusunda bilgi için bkz. Azure Resource Manager hizmet bağlantısıyla Azure’a bağlanma.

Yapılandırma seçenekleri

AddAzureKeyVault yöntemi bir AzureKeyVaultConfigurationOptions nesneyi kabul edebilir:

// using Azure.Extensions.AspNetCore.Configuration.Secrets;

builder.Configuration.AddAzureKeyVault(
    new Uri($"https://{builder.Configuration["KeyVaultName"]}.vault.azure.net/"),
    new DefaultAzureCredential(),
    new AzureKeyVaultConfigurationOptions
    {
        // ...
    });

AzureKeyVaultConfigurationOptions nesnesi aşağıdaki özellikleri içerir:

Property	Description
Manager	Gizli bilgilerin yüklenmesini kontrol etmek için kullanılan bir KeyVaultSecretManager örneğini belirtir.
ReloadInterval	Değişiklikler için anahtar kasasında yoklama yapma denemeleri arasında beklenecek TimeSpan değerini belirtir. Varsayılan değerdir null (yapılandırma yeniden yüklenmez).

Anahtar adı ön eki kullanma

AddAzureKeyVault yöntemi, Key Vault gizli dizilerinin yapılandırma anahtarlarına nasıl dönüştürüldüğünü denetlemenize olanak tanıyan KeyVaultSecretManager uygulamasını kabul eden bir aşırı yükleme sağlar. Örneğin, uygulama başlangıcında sağladığınız bir ön ek değerine göre gizli değerleri yüklemek için arabirimi uygulayabilirsiniz. Bu teknik, örneğin uygulamanın sürümüne göre gizli verileri yüklemenizi sağlar.

Important

Key Vault sırlarında aşağıdakiler için ön ek kullanmayın:

• Birden çok uygulamanın gizli anahtarlarını aynı anahtar kasasında depolayın.
• Ortam sırlarını (örneğin, Development ve Production sırlarını) aynı anahtar kasasına yerleştirin.

Farklı uygulamalar ve geliştirme/üretim ortamları, en yüksek güvenlik düzeyi için uygulama ortamlarını yalıtmak için ayrı anahtar kasaları kullanmalıdır.

Aşağıdaki örnekte, Development ortamı için Secret Manager kullanılarak 5000-AppSecret için Key Vault'ta bir gizli dizi oluşturulur (Key Vault gizli dizi adlarında nokta kullanımına izin verilmez). Bu gizli anahtar, uygulamanın 5.0.0.0 sürümü için uygulamanın gizli anahtarını temsil eder. Uygulamanın 5.1.0.0 olan başka bir sürümü için, 5100-AppSecret adına aynı anahtar kasasına Gizli Dizi Yöneticisi kullanılarak bir gizli dizi eklenir. Her uygulama sürümü, sürümüne ait gizli değeri AppSecret olarak yapılandırmasına yükler ve gizli değeri yüklerken sürümü kaldırır.

AddAzureKeyVault yöntemi özel KeyVaultSecretManager bir uygulamayla çağrılır:

// using Azure.Extensions.AspNetCore.Configuration.Secrets;

builder.Configuration.AddAzureKeyVault(
    new Uri($"https://{builder.Configuration["KeyVaultName"]}.vault.azure.net/"),
    new DefaultAzureCredential(),
    new SamplePrefixKeyVaultSecretManager("5000"));

Uygulama, yapılandırmaya uygun gizli anahtarı yüklemek için gizli anahtarların sürüm ön eklerine göre tepki verir.

• Load yöntemi, adı bu ön ekle başladığında bir gizli anahtar yükler. Diğer sırlar yüklenmedi.
• Yöntemi GetKey :
  • Gizli isimden ön eki kaldırır.
  • Herhangi bir adda bulunan iki tireyi (--) KeyDelimiter ile değiştirir. Bu ayırıcı (genellikle iki nokta üst üste :), yapılandırmada kullanılır çünkü Key Vault'ta gizli adlarında iki nokta üst üste (:) kullanılamaz.

public class SamplePrefixKeyVaultSecretManager : KeyVaultSecretManager
{
    private readonly string _prefix;

    public SamplePrefixKeyVaultSecretManager(string prefix)
        => _prefix = $"{prefix}-";

    public override bool Load(SecretProperties properties)
        => properties.Name.StartsWith(_prefix);

    public override string GetKey(KeyVaultSecret secret)
        => secret.Name[_prefix.Length..].Replace("--", ConfigurationPath.KeyDelimiter);
}

Bir sağlayıcı algoritması, Load yöntemini çağırır ve sürüm ön ekine sahip gizli dizileri bulmak için anahtar kasasındaki gizli diziler arasında dolaşır. Bir sürüm ön eki Load ile bulunduğunda, algoritma GetKey yöntemini kullanarak gizli adıyla ilgili yapılandırma adını döndürür. Sırrın adındaki sürüm ön ekini kaldırır. Gizli adın geri kalanı, uygulama yapılandırmasının ad-değer çiftlerine yüklenmek üzere döndürülür.

Bu yaklaşımı uyguladığınızda aşağıdaki adımları tamamlayın:

1. Uygulama proje dosyasında uygulama sürümünü belirtin. Aşağıdaki örnekte uygulama sürümü olarak 5.0.0.0ayarlanmıştır:

   <PropertyGroup>
     <Version>5.0.0.0</Version>
   </PropertyGroup>
   

2. <UserSecretsId> kullanıcı tarafından sağlanan bir GUID olmak üzere, {GUID} özelliğinin uygulama proje dosyasında tanımlandığını onaylayın:

   <PropertyGroup>
     <UserSecretsId>{GUID}</UserSecretsId>
   </PropertyGroup>
   

   Aşağıdaki gizli anahtarları Gizli Dizi Yöneticisi kullanarak yerel olarak kaydedin:

   dotnet user-secrets set "5000-AppSecret" "5.0.0.0_secret_value_dev"
   dotnet user-secrets set "5100-AppSecret" "5.1.0.0_secret_value_dev"
   

3. Aşağıdaki Azure CLI komutlarını kullanarak gizli anahtarları Azure Key Vault’a kaydedin:

   az keyvault secret set --vault-name {KEY VAULT NAME} --name "5000-AppSecret" --value "5.0.0.0_secret_value_prod"
   az keyvault secret set --vault-name {KEY VAULT NAME} --name "5100-AppSecret" --value "5.1.0.0_secret_value_prod"
   

İşlem aşağıdaki görevleri tamamlar:

• Uygulama çalıştığında, uygulama mantığı Anahtar Kasası'ndaki gizli anahtarları yükler. 5000-AppSecret için gizli dize, uygulamanın proje dosyasında (5.0.0.0) belirtilen uygulama sürümüyle eşleştirilir.

• Sürüm, (5000 ile birlikte tire), anahtar adından çıkarılır. Uygulama genelinde, AppSecret anahtarını kullanarak okuma işlemi, gizli değeri yükler.

• Proje dosyasında uygulama sürümü 5.1.0.0 olarak değiştirilir ve uygulama yeniden çalıştırılırsa, döndürülen gizli değer 5.1.0.0_secret_value_dev ortamında Development ve 5.1.0.0_secret_value_prod ortamında Production olur.

Note

Kendi SecretClient uygulamanızı da AddAzureKeyVault yöntemine sağlayabilirsiniz. Özel istemci, istemcinin tek bir örneğinin uygulama genelinde paylaşılmasına olanak tanır.

Bir diziyi sınıfa bağlama

Sağlayıcı, POCO dizisine bağlamak için konfigürasyon değerlerini bir diziye okuyabilir.

Anahtarların iki nokta (:) ayırıcıları içermesine izin veren bir yapılandırma kaynağından okurken, bir diziyi oluşturan anahtarları (:0:, :1:, ... :{n}:) ayırt etmek için sayısal bir anahtar kesimi kullanılır. Daha fazla bilgi için bkz . Yapılandırma: Diziyi bir sınıfa bağlama.

Key Vault anahtarlarında ayırıcı olarak iki nokta (:) kullanılamaz. Bu makalede açıklanan yaklaşım, hiyerarşik değerler (bölümler) için ayırıcı olarak çift tireler (--) kullanır. Dizi anahtarları, Key Vault’ta çift kısa çizgiler ve sayısal anahtar segmentleriyle (--0--, --1--, … --{n}--) depolanır.

Bir JSON dosyasında sağlanan aşağıdaki Serilog günlüğü sağlayıcısı yapılandırmasını inceleyin. Dizide, günlüğe kaydetme çıkışına yönelik hedefleri açıklayan iki Serilog WriteTo yansıtan iki nesne değişmez değeri tanımlanmıştır.

"Serilog": {
  "WriteTo": [
    {
      "Name": "AzureTableStorage",
      "Args": {
        "storageTableName": "logs",
        "connectionString": "DefaultEnd...ountKey=Eby8...GMGw=="
      }
    },
    {
      "Name": "AzureDocumentDB",
      "Args": {
        "endpointUrl": "https://contoso.documents.azure.com:443",
        "authorizationKey": "Eby8...GMGw=="
      }
    }
  ]
}

JSON dosyasındaki yapılandırma, çift tire (--) notasyonu ve sayısal bölümler kullanılarak Key Vault'ta depolanır:

Key	Value
Serilog--WriteTo--0--Name	AzureTableStorage
Serilog--WriteTo--0--Args--storageTableName	logs
Serilog--WriteTo--0--Args--connectionString	DefaultEnd...ountKey=Eby8...GMGw==
Serilog--WriteTo--1--Name	AzureDocumentDB
Serilog--WriteTo--1--Args--endpointUrl	https://contoso.documents.azure.com:443
Serilog--WriteTo--1--Args--authorizationKey	Eby8...GMGw==

Gizli verileri yeniden yükle

Varsayılan olarak, yapılandırma sağlayıcısı uygulama ömrü için gizli dizileri önbelleğe alır. Uygulama, daha sonra anahtar kasasında devre dışı bırakılan veya güncellenen gizli anahtarları yoksayar.

Gizli anahtarları yeniden yüklemek için IConfigurationRoot.Reload yöntemini çağırın:

config.Reload();

Belirli aralıklarla gizli bilgileri yeniden yüklemek için AzureKeyVaultConfigurationOptions.ReloadInterval özelliğini ayarlayın. Daha fazla bilgi için bkz . Yapılandırma seçenekleri.

Devre dışı bırakılmış ve süresi dolmuş gizli anahtarlar

Süresi dolmuş gizli veriler varsayılan olarak yapılandırma sağlayıcısına eklenir. Uygulama yapılandırmasında bu gizli dizilerin değerlerini dışlamak için süresi dolan gizli diziyi güncelleştirin veya özel bir yapılandırma sağlayıcısı kullanarak yapılandırmayı sağlayın:

class SampleKeyVaultSecretManager : KeyVaultSecretManager
{
  public override bool Load(SecretProperties properties) =>
    properties.ExpiresOn.HasValue &&
    properties.ExpiresOn.Value > DateTimeOffset.Now;
}

Bu özel KeyVaultSecretManager sağlayıcıyı AddAzureKeyVault yöntemine iletin:

// using Azure.Extensions.AspNetCore.Configuration.Secrets;

builder.Configuration.AddAzureKeyVault(
    new Uri($"https://{builder.Configuration["KeyVaultName"]}.vault.azure.net/"),
    new DefaultAzureCredential(),
    new SampleKeyVaultSecretManager());

Devre dışı bırakılmış gizli bilgiler Key Vault’tan alınamaz ve hiçbir zaman dahil edilmez.

Note

Yukarıdaki örnekte, Azure dağıtan uygulamalar geliştirirken kimlik doğrulamasını basitleştirmek için DefaultAzureCredential sınıfı kullanılır. Bu yaklaşım, Azure barındırma ortamlarında kullanılan kimlik bilgilerini yerel geliştirmede kullanılan kimlik bilgileriyle birleştirir. Uygulamayı üretime taşıdığınızda, sınıfı gibi ManagedIdentityCredential bir alternatif daha iyi bir seçimdir. Daha fazla bilgi için bkz. Sistem tarafından atanan yönetilen kimlik kullanarak Azure’da barındırılan .NET uygulamalarının Azure kaynaklarına kimlik doğrulaması yapması.

Yapılandırma yükleme sorunlarını giderme

Uygulama, yapılandırmayı sağlayıcı aracılığıyla yükleyemezse, ASP.NET Core günlükleme altyapısına bir hata iletisi yazılır.

Aşağıdaki koşullar yapılandırmanın yüklenmesini engelleyebilir:

• Uygulama veya sertifika Microsoft Entra Id'de doğru yapılandırılmamış.
• Azure Key Vault'ta depo bulunmamaktadır.
• Uygulamanın kasaya erişme yetkisi yoktur.
• Erişim ilkesi Get ve List izinlerini içermez.
• Kasada yapılandırma verileri (ad-değer çifti) yanlış adlandırılmış, eksik veya devre dışı bırakılmış.
• Uygulamadaki anahtar kasası adı (KeyVaultName), Microsoft Entra ID Uygulama Kimliği (AzureADApplicationId), Microsoft Entra ID sertifika parmak izi (AzureADCertThumbprint) veya Microsoft Entra ID Dizin Kimliği (AzureADDirectoryId) yanlış.
• Uygulama için Key Vault erişim ilkesi eklendiğinde, ilke başarıyla oluşturulur, ancak kullanıcı Access ilkeleri iletişim kutusunda Save seçmedi.

İlgili içerik

• Örnek kodu görüntüleme veya indirme (indirme)
• ASP.NET Core'da yapılandırma
• Azure Key Vault belgeleri
• HSM korumalı anahtarları Azure Key Vault
• Hızlı başlangıç: .NET için Azure Key Vault gizli dizi istemci kitaplığı
• Öğretici: .NET'te sanal makineyle Azure Key Vault kullanma