在Docker集群中运行多个Identity Server 4实例遇加密异常求助

嘿，这个问题我太熟了！当你把基于.NET Core 2.0的Identity Server 4部署成多实例时，出现的CryptographicException: 密钥{ec55dd66-7caf-4423-9dd6-74768e80675d}在密钥环中未找到错误，核心原因就是ASP.NET Core DataProtection的密钥环没有在多个实例之间共享。每个实例启动时会生成自己独立的密钥环，当用户请求被负载均衡分发到不同实例时，就会出现找不到对应解密密钥的情况。

下面给你几个针对性的解决方案，都是.NET Core 2.0环境下能用的：

1. 将密钥环存储到共享文件系统 #

这是最直接的方案，把所有实例的密钥环统一存到一个网络共享文件夹里，步骤如下：

在Startup.cs的ConfigureServices方法中，添加DataProtection的共享配置：

using Microsoft.AspNetCore.DataProtection;
using System.IO;

public void ConfigureServices(IServiceCollection services)
{
    // 先配置DataProtection，再配置Identity Server
    services.AddDataProtection()
        .SetApplicationName("YourIdentityServerApp") // 重点！所有实例必须用完全相同的应用名称
        .PersistKeysToFileSystem(new DirectoryInfo(@"\\your-network-storage\ids4-keys")); // 替换成你的共享文件夹路径

    // 继续你的Identity Server配置
    services.AddIdentityServer()
        // 生产环境请替换成正式签名证书，不要用开发者临时凭证
        .AddDeveloperSigningCredential()
        .AddInMemoryApiResources(Config.GetApiResources())
        .AddInMemoryClients(Config.GetClients());
}

解释一下：

• SetApplicationName确保所有实例的DataProtection上下文一致，不会因为实例不同生成独立的密钥组
• PersistKeysToFileSystem让所有实例从同一个共享目录读取、写入密钥环，保证密钥统一

2. 用Redis存储密钥环（适合容器化/分布式部署） #

如果你的实例是Docker容器或者分布式部署，用Redis来存储密钥环会更灵活。首先安装Microsoft.AspNetCore.DataProtection.Redis NuGet包，然后配置：

using Microsoft.AspNetCore.DataProtection;
using StackExchange.Redis;

public void ConfigureServices(IServiceCollection services)
{
    // 连接到Redis服务器
    var redisConn = ConnectionMultiplexer.Connect("your-redis-connection-string");

    services.AddDataProtection()
        .SetApplicationName("YourIdentityServerApp")
        .PersistKeysToRedis(redisConn, "IDS4-DataProtection-Keys");

    // Identity Server配置...
    services.AddIdentityServer()
        .AddSigningCredential(new X509Certificate2("path-to-cert.pfx", "cert-password"));
}

3. 生产环境必须注意的细节 #

• 不要用AddDeveloperSigningCredential：这个方法是开发环境用的，每次启动都会生成临时签名密钥，多实例下肯定会出问题。生产环境一定要用持久化的X509证书，从文件、证书存储或者密钥管理服务加载。
• 确保所有实例的.NET Core版本一致：不同版本的DataProtection可能有密钥格式差异，尽量保持所有实例的运行环境一致。

只要让所有实例共享同一个DataProtection密钥环和签名证书，就能解决这个多实例运行的异常问题啦！

内容的提问来源于stack exchange，提问作者Linda Lawton - DaImTo