无外网Java Spring内网应用更新Azure JWKS密钥的最佳实践咨询

针对你提到的内网Java Spring Web应用无法联网、Azure SSO JWKS密钥定期更新导致手动维护失效的问题，以下是几种可行方案，按推荐优先级排序：

1. 说服安全团队开放必要的微软服务端点 #

这是最标准、最省心的长期解决方案。Azure AD的OpenID配置（.well-known/openid-configuration）和JWKS密钥端点（jwks_uri）属于微软官方可信服务地址，仅用于拉取公开的密钥元数据，不存在数据外泄风险。

开放后，直接在Spring Security配置中指定官方JWKS端点：

spring.security.oauth2.resourceserver.jwt.jwk-set-uri=https://login.microsoftonline.com/{tenant-id}/discovery/v2.0/keys

Spring Security会自动定期拉取并更新密钥集，完全无需人工干预，从根源避免密钥过期导致的签名验证失败。

2. 搭建内网代理/密钥同步服务 #

如果安全团队坚决不允许内网服务器访问互联网，可以在DMZ区域部署一个中间代理服务：

• 代理服务仅允许访问Azure AD的JWKS和OpenID配置端点
• 通过定时任务（如Linux crontab、Windows任务计划）定期拉取JWKS内容，同步到内网可访问的存储（比如内部HTTP服务器、文件共享、数据库）
• 将Spring应用的JWKS配置指向内网同步后的地址，比如：

spring.security.oauth2.resourceserver.jwt.jwk-set-uri=http://internal-proxy.example.com/azure-jwks.json

这种方案既满足安全隔离要求，又实现了密钥的自动更新，避免人工操作的误差。

3. 启用Azure AD密钥轮换告警（临时过渡方案） #

如果以上两种方案都无法快速落地，可以启用Azure AD的密钥轮换通知机制：

• 在Azure Portal中配置Azure Monitor告警，当JWKS密钥即将轮换时触发通知
• 管理员收到通知后提前手动更新内网应用中的密钥内容

不过这种方案仍依赖人工操作，仅适合短期过渡，长期来看还是前两种方案更可靠。

内容的提问来源于stack exchange，提问作者Sidadl