.Net环境下SAML2证书免存版本控制与Azure目录的访问方案咨询

你提到的Azure Key Vault Certificates完全可用，且是适配你现有技术栈的最优方案，具体可选方案如下：

方案1：Azure Key Vault Certificates（首推） #

• 适配性说明：你已经将应用配置、连接串存储在Azure Key Vault中，无需调整现有权限架构即可复用，完全避免证书文件提交到Git，也不需要手动上传到Azure应用目录。
• .NET Framework 实现步骤：
  1. 为你的WebForms应用关联的托管标识（Managed Identity）授予Key Vault的证书获取权限，若仅需读取私钥也可授予密钥获取权限。
  2. 安装Azure.Security.KeyVault.Certificates NuGet包，通过以下代码读取证书：

  var certClient = new CertificateClient(new Uri("https://<你的Key Vault名称>.vault.azure.cn/"), new DefaultAzureCredential());
  X509Certificate2 samlCert = certClient.DownloadCertificate("<SAML证书在Key Vault中的名称>").Value;
  

  3. 将获取到的X509Certificate2对象直接赋值给Sustainsys.Saml2配置对应的证书属性即可，证书无需落地到本地磁盘。
• 额外优势：可启用Key Vault证书自动轮换功能，证书到期前自动更新，无需修改应用代码。

方案2：Azure App Service加密应用配置（备选） #

如果你不想额外使用Key Vault的证书存储功能，可以用Azure App Service自带的加密配置存储：

• 操作逻辑：将PFX格式的SAML证书转为Base64字符串，作为敏感配置项存储在Azure App Service的应用配置中，不会明文暴露。
• 实现步骤：
  1. 本地将证书转为Base64字符串，可通过以下C#代码实现：
     string certBase64 = Convert.ToBase64String(File.ReadAllBytes(@"本地证书路径\saml-cert.pfx"));
  2. 在Azure门户的App Service配置页，新增应用配置项，将上述Base64字符串作为值，设置为部署槽位 sticky避免发布时被覆盖，证书密码也同样作为加密配置项存储。
  3. 代码中读取配置并转换为证书对象：

  byte[] certBytes = Convert.FromBase64String(ConfigurationManager.AppSettings["SamlCertBase64"]);
  string certPwd = ConfigurationManager.AppSettings["SamlCertPassword"];
  X509Certificate2 samlCert = new X509Certificate2(certBytes, certPwd, X509KeyStorageFlags.MachineKeySet);
  

• 注意：禁止将证书Base64内容、密码写入web.config等提交到Git的文件中。

方案3：本地非跟踪目录存储（仅适用于开发测试环境） #

如果是本地调试场景，可以将证书存放在Git仓库外的本地目录，或者在.gitignore中添加.pfx、.cer等证书格式规则，避免误提交到版本库，代码直接从本地路径读取证书加载到内存即可。

内容的提问来源于stack exchange，提问作者RoLYroLLs