Kubernetes中.NET Core服务出现DataProtection密钥未持久化警告相关咨询

首先说明警告触发的根本原因：

Storing keys in a directory '{path}' that may not be persisted outside of the container. Protected data will be unavailable when container is destroyed.

上述警告是ASP.NET Core DataProtection模块抛出的。.NET Core 3.1/5版本中，services.AddAuthentication()、services.AddMvc() 这类常用的服务注册方法会隐式注入DataProtection服务，而.NET Core 2.1版本没有这套隐式注册逻辑，所以只会在高版本中出现该警告，不需要显式调用services.AddDataProtection()才会触发。

问题1：当前场景是否可以直接忽略该警告？ #

分两种情况判断：

• 如果你确认当前所有业务逻辑都不依赖DataProtection的相关能力：比如认证只用了无状态的JWT（签名逻辑完全独立，不依赖ASP.NET Core内置的加密逻辑）、没有使用TempData、防伪令牌、会话加密等依赖DataProtection的内置功能，测试阶段也没有出现任何加密解密相关的异常，暂时可以忽略该警告。
• 但即使当前没有用到，也建议优先处理，避免后续新增功能引入相关依赖时出现线上故障。

问题2：是否会导致跨Pod身份认证失败？是否需要优化？ #

• 如果你的认证逻辑依赖DataProtection能力，比如用了ASP.NET Core内置的Cookie认证，Cookie的加密解密用的就是当前Pod本地生成的DataProtection密钥，不同Pod生成的密钥互不相同，同一用户的请求分发到不同Pod时，目标Pod无法解密其他Pod加密的Cookie，就会出现身份认证失败的情况。如果用的是完全无状态的JWT这类不依赖DataProtection的认证方案，就不会出现跨Pod认证失败的问题。
• 生产环境建议统一配置DataProtection密钥持久化，常见的K8s环境下的实现方案包括：
  • 挂载共享持久卷，将密钥存储路径指向共享存储目录，所有Pod读取同一份密钥文件
  • 配置用分布式缓存（比如Redis）存储密钥
  • 对接企业统一的密钥管理服务存储密钥

内容的提问来源于stack exchange，提问作者Michael Freidgeim