Azure Key Vault 限制

Question

4

我们正在开发身份验证服务（使用identityServer），并希望使用存储在Azure Key Vault HSM中的私钥对返回给用户的JWT令牌进行签名。

我们的领域包括数百万用户，预计平均每小时调用一次身份验证服务（因此也会调用密钥保管库）。

根据Microsoft文档，密钥保管库服务限制为每秒100个调用。请参见：https://azure.microsoft.com/en-us/documentation/articles/key-vault-service-limits/ 我们是否按照预期使用Azure Key Vault？看起来Key Vault交易量非常低。

- Guy Segal

这种情况有点奇怪。你每小时都有数百万的用户身份验证吗？如果是这样，那么你可能需要多个保险库，或者像Michael的回答中建议的那样联系微软。 - fernacolo

你为什么觉得这种情况奇怪？这是一个移动应用程序，每次用户调用后端时都需要使用 outh 令牌。IdentityServer 会向用户提供由 keyvailt 签名的令牌，并设置一个小时的过期时间。 - Guy Segal

不算奇怪，只是不太常见。听起来像是一个拥有如此庞大用户群的大型产品。顺便问一下，1个小时后会发生什么？应用程序会再次要求用户输入凭据（密码、PIN码等）吗？ - fernacolo

如果令牌已过期，则下一次调用后端将会申请一个新的令牌。 - Guy Segal

你是用现有的刷新令牌获取新的访问令牌，对吧？你真的需要使用HSM密钥为每个访问令牌签名吗？我认为只需使用HSM密钥为长期有效的刷新令牌签名即可。访问令牌可以使用您自己的密钥进行签名，而该密钥又由HSM密钥签名，就像Michael所建议的那样。 - fernacolo

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Michael B · Accepted Answer

如果你查看定价页面，会看到一个脚注，它说 -

联系微软以获取超过每月5000万次操作的操作量的价格。

另一种选择是将Key Vault用作密钥签名服务，这样你就有了一个由Key Vault中的密钥签名的密钥，可以在你的服务器之间轮换。这需要额外的工作，但意味着你可以拥有非常短暂的证书，这可能提供额外的安全性。