identityserver4 - Identity Server 4 启动后使用新的签名 key

Question

我在 aspnetcore API 服务(作为无状态服务在 Service Fabric 中运行)中设置了 IdentityServer4，该服务使用生成并保存在 Azure Key Vault 中的签名证书。在 Startup 类中，我使用了 AddSigningCredential设置初始签名证书的方法，但我不确定在初始签名证书到期时使用新签名证书所需的步骤。

我已将 Key Vault 配置为在前一个证书过期之前生成一个新证书，并在我的服务中运行一个后台进程，以定期从 Key Vault 检索证书并检查它是否与 IdentityServer 当前使用的证书不同。

我不知道如何设置新证书以供 IdentityServer 使用。据我所知，我不能使用 AddSigningCredential再次方法，因为 DI 容器不允许在启动后注册新的依赖项。还有 DefaultSigningCredentialsStore已注册 ISigningCredentialStore依赖项不允许更新 SigningCredentials施工后。

我是否必须编写自己的 ISigningCredentialStore 版本？和 IValidationKeysStore允许更新 SigningCredentials被制造？这似乎是一种常见用法，应该在产品本身中，还是我遗漏了什么？

Answer 1

我想知道 IdentityServer 是否会查看它的到期时间。因为这无关紧要，因为它仅用于加密 token 。否则，您应该防止证书过期。

证书用于加密和解密 token 。这可以防止其他人篡改 token 。

如果您更改证书，那么所有现有 token 都会立即失效，因为服务器无法再解码传入的 token 。这与使用 TemporarySigningCredentials 并重新启动 IdentityServer 时的行为相同。

所以它根本不应该改变。我认为最好仅为 IdentityServer 创建一个特定的证书(可以选择永不过期)。