基于Blob Trigger的Azure Function自动化PGP加密实现咨询

先明确核心结论：Azure Functions完全可以不手动存环境变量，通过托管身份+应用配置引用的方式直接从Key Vault拉取密钥，这是官方推荐的安全、低复杂度方案。以下是具体落地步骤：

1. 配置Function App访问Key Vault的权限 #

• 登录Azure Portal，找到你的Function App，进入「身份」选项卡，启用「系统分配托管身份」。
• 打开你的Key Vault，进入「访问策略」页面，添加新策略：
  • 权限选择：如果你的PGP公钥存在Key Vault的「密钥」中，选「密钥」->「获取」；如果存在「机密」中（更推荐存机密），选「机密」->「获取」。
  • 主体选择：找到你的Function App的系统分配身份名称并选中，保存策略。

2. 在Function App中配置Key Vault引用 #

• 进入Function App的「配置」->「应用程序设置」，点击「新建应用程序设置」：
  • 名称填PGP_PUBLIC_KEY（自定义名称也可以，但要和后续代码里的变量名一致）。
  • 值填@Microsoft.KeyVault(SecretUri=https://<你的KeyVault名称>.vault.azure.net/secrets/pgp-public-key/)——如果是密钥类型，把secrets替换成keys。
  • 保存后，Function App会自动处理身份验证并拉取密钥值，不需要你写额外代码对接Key Vault SDK。

3. 修改仓库代码适配你的需求 #

3.1 读取并解码PGP公钥 #

打开仓库中的BlobTriggerPGPEncrypt.cs，替换原有的公钥读取逻辑为：

// 从应用设置读取Base64格式的PGP公钥
var pgpPublicKeyBase64 = Environment.GetEnvironmentVariable("PGP_PUBLIC_KEY");
// 解码Base64为字节流
var publicKeyBytes = Convert.FromBase64String(pgpPublicKeyBase64);
using var publicKeyStream = new MemoryStream(publicKeyBytes);
// 加载PGP公钥
var publicKey = PgpUtilities.GetPublicKey(publicKeyStream);

3.2 修改加密文件的输出路径 #

原代码的输出路径是固定容器，你需要改成同容器的指定子文件夹。比如触发文件路径是input/{filename}.csv，要输出到encrypted/{filename}.csv.pgp：

• 方式一（用Blob绑定）：修改函数参数的绑定路径

// 把原输出绑定的路径改成目标子文件夹
[Blob("encrypted/{name}.csv.pgp", FileAccess.Write)] Stream outputBlob

• 方式二（手动写入，更灵活）：如果需要动态调整路径，用BlobClient直接操作

// 获取触发文件的无扩展名名称
var fileNameWithoutExt = Path.GetFileNameWithoutExtension(name);
// 构建目标路径
var outputPath = $"encrypted/{fileNameWithoutExt}.csv.pgp";
// 初始化Blob客户端并写入加密后的流
var blobServiceClient = new BlobServiceClient(Environment.GetEnvironmentVariable("AzureWebJobsStorage"));
var outputBlobClient = blobServiceClient.GetBlobContainerClient("<你的容器名称>").GetBlobClient(outputPath);
await outputBlobClient.UploadAsync(encryptedStream, overwrite: true);

3.3 限制触发时段（仅夜间运行） #

Blob Trigger默认有新文件就触发，要限制夜间运行可二选一：

• 方案一：用Azure Automation或Logic Apps定时启停Function App（在Function App「配置」->「常规设置」中关闭「始终开启」），仅夜间开启。
• 方案二：在代码中判断当前时间，非夜间直接跳过：

var currentUtcHour = DateTime.UtcNow.Hour;
// 示例：仅处理UTC时间20:00至次日6:00的文件（根据你的时区调整）
if (currentUtcHour < 20 && currentUtcHour > 6)
{
    log.LogInformation("当前非夜间时段，跳过文件处理");
    return;
}

4. 部署与测试 #

• 用VS Code Azure扩展、GitHub Actions或Azure CLI将修改后的代码部署到Function App。
• 上传测试CSV到触发文件夹，检查目标子文件夹是否生成.pgp加密文件。
• 查看Function App的「日志流」（「监测」->「日志流」）排查错误，比如公钥加载失败、Blob权限不足等问题。

常见疑问解答 #

• Q：为什么不直接在代码里读Key Vault？
  A：官方推荐用应用配置引用的方式，平台会自动处理身份验证、密钥缓存，不需要你写Key Vault SDK调用代码，既减少复杂度，又避免泄露Key Vault访问凭据。
• Q：如果公钥存的是Key Vault的「机密」而非「密钥」，要改什么？
  A：只需把应用设置引用中的keys换成secrets，并在Key Vault访问策略中选择「机密」权限即可。
• Q：Blob Trigger没触发怎么办？
  A：检查Function App的「始终开启」是否开启（消耗计划必须开启），检查Blob路径是否匹配触发器的路径模式，查看日志流里的错误信息定位问题。

内容的提问来源于stack exchange，提问作者user14065682