如何在Azure IoT Edge模块代码中保护ConnectionStrings？

我来分享几个实用的方案，帮你避开把连接字符串直接写在配置文件里的安全风险：

1. 通过部署清单注入环境变量 #

这是最直接的替代方案——你可以在IoT Edge的部署清单中，给目标模块添加环境变量来传递连接字符串，完全不用写在配置文件里。

比如在部署清单的模块配置里添加env字段：

"modules": {
  "YourCustomModule": {
    "version": "1.0",
    "type": "docker",
    "status": "running",
    "restartPolicy": "always",
    "env": {
      "DEVICE_CONN_STRING": {
        "value": "<你的安全连接字符串>"
      }
    }
  }
}

之后在模块代码里直接读取这个环境变量就行，比如Node.js中用process.env.DEVICE_CONN_STRING，.NET中用Environment.GetEnvironmentVariable("DEVICE_CONN_STRING")。这样连接字符串只会在运行时传递给模块，不会出现在任何本地配置文件里。

2. 用Azure Key Vault + IoT Edge机密模块（推荐） #

如果需要更高等级的安全防护，推荐把连接字符串存在Azure Key Vault中，再通过IoT Edge的机密模块来安全获取。

核心步骤大概是：

• 部署Azure IoT Edge Secrets Store模块到你的Edge设备，配置它具有访问云端Key Vault的权限
• 在部署清单中，给你的业务模块挂载机密卷，或者通过环境变量引用Key Vault中的机密
• 模块代码直接从挂载的路径或指定的环境变量读取连接字符串，全程不需要接触明文密钥

这种方式的好处是，连接字符串完全由Key Vault管理，Edge设备只会获取临时的访问权限，就算设备被攻破，也不会泄露原始的连接字符串。

3. 利用模块孪生属性传递（谨慎使用） #

你也可以把连接字符串作为模块孪生的desired属性来传递——模块孪生的通信是加密的，而且只有授权用户能修改孪生属性。不过要注意，孪生属性本身如果以明文存储的话还是有一定风险，所以建议只在内存中使用获取到的连接字符串，不要持久化到本地文件。

模块代码里可以监听孪生属性的更新事件，一旦收到新的连接字符串就加载到内存中使用。

额外注意事项 #

• 绝对不要把连接字符串硬编码到Docker镜像里，否则镜像泄露后密钥会直接暴露
• 如果用CI/CD管道部署模块，记得用管道的机密变量来存储连接字符串，不要明文写在管道配置文件中

内容的提问来源于stack exchange，提问作者Javier Moreno