配置ASP.NET Core数据保护遇异常：无法解密指定密钥

这段代码语法层面无错误，但运行时未生效并触发Duende IdentityServer的密钥找不到错误，核心问题集中在密钥持久化/加载逻辑不匹配或Azure资源配置/权限缺失，具体排查方向如下：

1. 验证Azure Blob存储配置有效性 #

• 确认AspNetCoreDataProtectionOptions中的ConnectionString、ContainerName、BlobName参数正确：
  • 连接字符串需具备Blob容器的读写权限
  • 目标容器必须已创建，首次运行时数据保护系统会自动生成密钥文件存入Blob，需确保路径可访问
• 代码中aspNetCoreDataProtectionOptions.BlobUriWithSasToken = null属于冗余操作，因为当前使用连接字符串初始化PersistKeysToAzureBlobStorage，该字段不影响逻辑，不是报错根源。

2. 检查Azure Key Vault权限与配置 #

• 确认KeyIdentifier是有效的Key Vault密钥URI（格式示例：https://<vault-name>.vault.azure.net/keys/<key-name>）
• 验证DefaultAzureCredential对应的身份（本地开发为当前用户，部署环境为托管身份）是否拥有Key Vault的**Decrypt（解密）**权限：
  权限不足会导致无法解密Blob中存储的密钥，系统会抛出“密钥未找到”的错误（实际是解密失败导致密钥无法加载）

3. 确保应用名称全局一致 #

代码中两个分支都设置了SetApplicationName("Thingamajig")，这部分没问题，但要保证集群内所有实例使用完全相同的应用名称，否则数据保护系统会判定为不同应用，无法共享密钥环。

4. 排查密钥环加载逻辑 #

• 检查Blob中已存在的密钥文件是否完整，是否由目标Key Vault加密
• 可临时注释ProtectKeysWithAzureKeyVault代码段做测试：

  builder.Services.AddDataProtection()
      .PersistKeysToAzureBlobStorage(aspNetCoreDataProtectionOptions.ConnectionString, aspNetCoreDataProtectionOptions.ContainerName, aspNetCoreDataProtectionOptions.BlobName)
      // .ProtectKeysWithAzureKeyVault(new Uri(aspNetCoreDataProtectionOptions.KeyIdentifier), new DefaultAzureCredential())
      .SetApplicationName("Thingamajig");
  

  若此时不再报错，说明Key Vault的配置或权限存在问题。

5. 确认分支逻辑执行正确性 #

验证KeyVaultName的配置值是否有效，确保代码进入了Azure存储/Key Vault分支，而非走本地默认的密钥持久化（本地默认将密钥存在文件系统，集群部署时会导致实例间密钥不共享）。

内容的提问来源于stack exchange，提问作者Richard Barraclough