Logic App中用Azure Key Vault处理银行SFTP文件遇AES256支持问题求建议

我需要通过SFTP对接银行，完成两个核心业务流程：

• 获取对账单流程：从银行获取加密签名数据 → 用私钥解密 → 验证明文签名文件 → 解压文件处理
• 发送付款文件流程：规范文件名 → 以PKZIP格式压缩 → 用私钥结合SHA2-256哈希算法签名 → 对签名文件进行AES256加密 → 发送加密签名数据

目前遇到的核心问题：Azure Key Vault不支持直接使用AES256算法进行数据加密，恳请提供可行的解决方案建议。

1. 本地实现AES256加密，用Azure Key Vault管理对称密钥 #

Azure Key Vault虽然不支持直接执行AES256数据加密操作，但可以安全存储AES256对称密钥。你可以在应用程序层实现AES256加密逻辑，步骤如下：

• 在AKV中创建并存储一个256位的AES对称密钥（密钥类型选择Oct，指定密钥大小256）
• 应用程序通过AKV SDK获取该AES密钥的密钥材料
• 在本地代码中使用标准加密库（比如.NET的Aes类、Java的Cipher类）执行AES256-CBC/GCM等模式的加密/解密操作
• 示例代码片段（C#）：

// 从AKV获取AES密钥
var client = new KeyClient(new Uri("https://your-vault.vault.azure.net/"), new DefaultAzureCredential());
KeyVaultKey aesKey = await client.GetKeyAsync("your-aes256-key");

// 提取密钥材料
byte[] keyBytes = Convert.FromBase64String(aesKey.KeyMaterial.Value);

// 初始化AES加密器
using Aes aes = Aes.Create();
aes.Key = keyBytes;
aes.GenerateIV(); // 生成初始化向量，需和密文一起传输

// 执行文件流加密
ICryptoTransform encryptor = aes.CreateEncryptor(aes.Key, aes.IV);
using var inputStream = new FileStream("signed-payment-file.bin", FileMode.Open);
using var outputStream = new FileStream("encrypted-file.bin", FileMode.Create);
using var cryptoStream = new CryptoStream(outputStream, encryptor, CryptoStreamMode.Write);
await inputStream.CopyToAsync(cryptoStream);

2. 利用AKV的密钥包装/解包功能管理AES密钥 #

如果不想在应用层直接处理明文AES密钥，可以使用AKV的**密钥包装（Key Wrap）**功能：

• 在本地生成临时的AES256数据加密密钥（DEK）
• 使用AKV中的RSA密钥对这个DEK进行包装（加密），将包装后的DEK随密文一起传输
• 解密时，先从AKV获取RSA密钥对包装后的DEK进行解包，得到明文DEK后执行AES256解密
• 这种方式既避免了明文DEK的存储风险，又能满足AES256数据加密需求

3. 升级到Azure Managed HSM #

如果必须由云服务直接执行AES256数据加密操作，可以切换到Azure Managed HSM——这是AKV的进阶版本，支持FIPS 140-2 Level 3认证，并且支持直接使用AES256算法进行数据加密/解密操作，完全适配金融场景的合规与安全要求。

4. 封装加密逻辑到Azure Functions #

如果你的应用是无服务器架构，可以将AES256加密逻辑封装到Azure Functions中：

• Functions从AKV获取AES密钥
• 接收待加密的文件数据，执行AES256加密后返回密文
• 主应用调用Functions完成加密步骤，再将密文通过SFTP发送给银行

内容的提问来源于stack exchange，提问作者PeterS