如何在.NET Core API跨环境场景下安全存储AWS Access Key与Secret Key

我所在的团队维护近20个.NET Core服务，跨3套AWS环境（开发、预发、生产），落地过完整的密钥管理方案，以下是实际使用的最优实践：

核心原则 #

所有场景下都不建议把AWS Access Key、Secret Key硬编码到appsettings.json或者其他代码仓库里的配置文件，避免密钥泄露。你提到的.NET Secret Manager仅适合本地单人开发场景，它的存储没有加密，且只对应当前用户的当前项目，没法在多成员、多环境的场景下同步，不要用于非本地环境。

分环境落地方案 #

1. 本地开发环境 #

优先选择以下两种方案，优先级从高到低：

• AWS CLI本地配置：安装AWS CLI后执行aws configure，会自动把AK/SK存储在当前用户目录的.aws/credentials文件中，.NET Core的AWS SDK默认会自动读取该位置的凭证，完全不需要把密钥写入项目配置，从根源避免误提交到代码库
• .NET Secret Manager：如果需要和项目其他本地配置统一管理，可以通过dotnet user-secrets set "AWS:AccessKey" "你的密钥值"命令存储，密钥存在本地用户目录，不会进入代码仓库，仅适合单人本地开发使用

2. 部署在AWS资源内的预发/生产环境 #

最优方案是IAM角色（IAM Role），这也是AWS官方首推的生产级凭证方案，完全不需要人工管理AK/SK：

• 给应用部署的载体（EC2实例、ECS任务、Lambda函数、EKS Pod等）绑定对应权限的IAM角色，按需给角色配置AWS服务访问权限
• .NET Core的AWS SDK会自动从实例元数据服务读取临时凭证，凭证会自动轮换，不需要做任何额外的代码修改，也不需要把任何密钥写入配置文件
• 配置上仅需要在appsettings.json中留空AWS凭证字段，或者显式配置AWS::CredentialProfile=InstanceProfile即可

3. 部署在AWS外的预发/生产环境 #

如果应用部署在AWS外部的服务器、边缘节点，无法使用IAM角色，优先用AWS Systems Manager Parameter Store（SSM参数存储）或者AWS Secrets Manager存储加密后的AK/SK：

• 把分环境的AK/SK加密存储在上述服务中，应用启动时用最小权限的临时凭证拉取对应环境的密钥，密钥全程不会落地到本地配置文件
• .NET Core可以直接通过官方的Amazon.Extensions.Configuration.SystemsManager NuGet包，把SSM参数存储直接作为配置源，集成代码示例：

// Program.cs 配置示例
builder.Configuration.AddSystemsManager(configureSource =>
{
    // 按环境区分配置路径，避免不同环境密钥混用
    configureSource.Path = $"/{builder.Environment.EnvironmentName}/你的应用名/";
    configureSource.Optional = false;
    // 自动刷新配置，不需要重启应用即可更新密钥
    configureSource.ReloadAfter = TimeSpan.FromMinutes(5);
});

企业级管理流程 #

我们团队的管理规则如下，落地3年没有出现过密钥泄露问题：

• 所有环境的IAM角色、权限都通过Terraform统一编排，禁止手动在控制台创建修改
• 本地开发人员的AWS凭证通过AWS IAM Identity Center统一分配，默认有效期8小时，过期自动失效，不发放长期AK/SK
• 生产环境的密钥变更走独立审批流程，只有运维岗有权限修改SSM/Secrets Manager中的密钥，开发人员没有生产密钥的查看权限
• 代码仓库接入自动扫描规则，只要命中AK/SK的正则匹配规则就直接阻断提交
• 每季度做一次全环境权限审计，清理过期的角色、权限和凭证

补充避坑：不要用环境变量存储长期AK/SK，很多应用崩溃时会把环境变量打印到错误日志，泄露风险非常高。

内容的提问来源于stack exchange，提问作者user2208746