在Azure上加密而不使用KeyVault的策略

需要在Azure Blob存储中存储一些内容，并希望在将其存储到Azure Blob之前进行加密（我们不希望在rest上依赖Azure存储加密）。问题是我们不想将加密密钥存储在Azure上（例如密钥库），而将其存储在Azure之外。有没有关于实现这一目标的战略建议

问题是我们不想将加密密钥存储在Azure上（例如密钥库），而将其存储在Azure之外

Azure存储服务加密直到现在才允许我们使用自己的加密密钥。要使用您自己的加密密钥并将其存储在Azure之外，您需要为您的存储服务创建一个代理

例如，您可以创建一个Web API来处理所有blob读/写请求。在Web API中，您可以使用自己的加密密钥加密或解密数据，然后将数据写入或读取到Azure Blob存储

这种方式的限制是，我们不能使用Azure存储客户端库或其他工具来访问存储代理（Web API），因为它是由您自己编写的

任何关于我们可以使用的内部秘密选项的建议，Azure上的组件都可以访问这些选项

我建议您将密钥存储在本地，并创建一个可以返回该密钥的内部API。要从azure组件访问此内部API，可以使用混合连接

---

谢谢你，亲爱的。实际上，我正在寻找在Azure之外存储加密密钥的方法（内部部署）。任何关于我们可以使用的内部秘密选项的建议，Azure上的组件都可以访问这些选项。