多实例IdentityServer4使用Azure KeyVault签名凭证仍偶发认证校验失败咨询

核心问题排查与修复步骤 #

• 修复ASP.NET Core数据保护密钥共享配置
  IdentityServer依赖ASP.NET Core数据保护机制加密会话Cookie、授权码、参考Token等临时敏感数据，默认存储在实例本地内存，多实例不共享就会出现跨实例解密失败，这是多实例部署报错的高频原因。
  你可以将数据保护密钥统一存储到Azure KeyVault或Azure Blob存储中，示例配置如下：

  services.AddDataProtection()
      // 持久化密钥到Azure Blob存储
      .PersistKeysToAzureBlobStorage(new Uri("<你的Blob存储容器SAS URI>"))
      // 使用KeyVault密钥加密数据保护密钥本身
      .ProtectKeysWithAzureKeyVault(new Uri("<KeyVault加密密钥URI>"), new ClientSecretCredential(tenantId, clientId, clientSecret));
  

• 替换默认内存缓存为分布式缓存
  IdentityServer默认使用内存缓存存储临时授权数据，多实例场景必须替换为分布式缓存（如Azure Redis Cache），避免请求落到不同实例时读取不到状态数据：

  // 配置Redis分布式缓存
  services.AddStackExchangeRedisCache(options =>
  {
      options.Configuration = "<你的Redis连接字符串>";
      options.InstanceName = "IdentityServer-";
  });
  
  services.AddIdentityServer()
      // 原有配置保留，新增操作存储配置
      .AddOperationalStore(options =>
      {
          options.RedisConnectionString = "<你的Redis连接字符串>";
          options.Db = 1;
      })
      .AddSigningCredential(key, algorithm);
  

  也可选择用EF Core将授权操作数据存储到共享数据库中，只要所有实例连接同一个数据库即可。

• 优化KeyVault签名密钥拉取逻辑
  你当前的代码是在应用启动阶段拉取一次密钥，建议做两个优化避免实例间签名密钥不一致：

  1. 拉取密钥时指定固定版本号，不要使用默认最新版本，避免多实例启动时间差刚好赶上密钥更新，拿到不同版本的密钥：

  // GetKey方法传入固定密钥版本参数
  Response<KeyVaultKey> response = keyClient.GetKey("IdentityServerSigningKeyEcc", "<固定密钥版本号>");
  

  2. 可以使用IdentityServer官方的Azure KeyVault扩展包，配置为运行时自动加载密钥，避免启动阶段拉取失败导致实例启动异常。

• 确认统一发现地址配置生效
  直接在代码中硬写死统一的Issuer地址，避免不同实例返回的发现文档地址不一致：

  services.AddIdentityServer(options =>
  {
      options.IssuerUri = "<对外统一的IdentityServer服务域名，例如https://ids.yourdomain.com>";
  })
  // 其余原有配置保持不变
  

验证方法 #

将副本数调整为2后，分别进入两个Pod内部请求/.well-known/openid-configuration/jwks接口，确认返回的密钥集合中的kid值完全一致；同时验证分布式缓存、数据保护密钥存储所有实例都有权限访问，配置完成后即可解决时好时坏的校验异常问题。

内容的提问来源于stack exchange，提问作者Sai