AKS部署的.NET 8应用密钥环未找到及会话Cookie解密失败咨询

密钥的核心来源 #

1. 默认无外部存储时的本地生成 #

当未配置外部密钥存储时，ASP.NET Core会自动生成密钥，存储在Pod内部的用户目录下：

• 对于mcr.microsoft.com/dotnet/aspnet:8.0镜像（默认以root用户运行），路径为/root/.aspnet/DataProtection-Keys
• 密钥是应用首次启动时自动创建的，Pod销毁/重启后会丢失，导致多实例或重启后无法解密之前的Cookie/加密数据，这也是你遇到"密钥未找到"错误的常见原因。

2. 配置Blob Storage后的来源 #

当你配置Blob Storage作为密钥存储时：

• 首次启动的应用实例会自动生成密钥，并上传到指定的Blob容器中
• 后续所有应用实例都会从Blob容器读取密钥，实现跨实例的密钥共享
• 如果Blob容器中没有密钥，说明首次启动时应用未能成功上传（通常是权限或配置错误导致）

配置未生效的常见排查点 #

• 权限缺失：AKS Pod使用的身份（Managed Identity或存储账户连接字符串）没有Blob容器的Storage Blob Data Contributor权限，导致无法上传/读取密钥
• 代码配置错误：
  • 未正确调用PersistKeysToAzureBlobStorage方法，或Blob容器的URI/连接字符串配置错误
  • 未设置一致的SetApplicationName，不同实例会生成独立的密钥组，导致无法共享
    示例正确配置：

  builder.Services.AddDataProtection()
      .SetApplicationName("external-app")
      .PersistKeysToAzureBlobStorage("<your-blob-container-uri>", "<your-storage-connection-string>");
  

• 本地目录权限问题：即使配置了Blob存储，应用启动时可能会先尝试本地临时目录，如果该目录权限不足，会导致密钥生成失败，无法上传到Blob
• 依赖缺失：如果自定义镜像时移除了Microsoft.AspNetCore.DataProtection.Azure.Storage包，会导致Blob存储配置直接失效

快速验证步骤 #

1. 手动检查配置的Blob容器，确认是否存在DataProtection-Keys目录及xml格式的密钥文件
2. 查看Pod启动日志，搜索"DataProtection"关键词，排查是否有连接Blob失败、权限不足的错误
3. 在Pod内执行ls /root/.aspnet/，确认是否有DataProtection-Keys目录，验证本地密钥是否生成

内容的提问来源于stack exchange，提问作者DevOps-AS