使用 Java 管理 Azure Key Vault 加密密钥

解决企业级应用中的密钥安全存储与操作问题：通过 Azure Key Vault Java SDK，在不直接接触私钥的情况下，实现云端密钥的创建、旋转以及高强度的加解密和数字签名操作。

为什么需要这个技能

在生产环境中，将加密密钥硬编码在配置文件或代码中存在极大的安全风险。Azure Key Vault 提供了硬件安全模块（HSM）级别的保护，确保私钥永不离开安全边界。

通过本技能，开发者可以将密钥管理权交给云平台，仅通过 API 调用执行加密算法。这不仅符合合规性要求（如 PCI DSS、HIPAA），还能通过自动旋转策略降低密钥泄露后的潜在影响。

适用场景

• 敏感数据加密：需要对数据库中的个人隐私信息进行加密存储与解密。
• 身份验证与签名：在分布式系统中对消息或文档进行数字签名以验证来源。
• 密钥生命周期管理：需要定期轮换密钥（Key Rotation）或在不同环境间迁移备份。
• 高性能安全需求：需要使用 HSM 硬件保护的 RSA 或椭圆曲线（EC）密钥。

核心工作流

1. 依赖配置与客户端初始化

首先在 pom.xml 中引入 SDK，并使用 DefaultAzureCredential 构建客户端，实现无密码的身份验证。

<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-security-keyvault-keys</artifactId>
    <version>4.9.0</version>
</dependency>

KeyClient keyClient = new KeyClientBuilder()
    .vaultUrl("https://<vault-name>.vault.azure.net")
    .credential(new DefaultAzureCredentialBuilder().build())
    .buildClient();

2. 密钥创建与管理

支持创建 RSA、EC 或对称密钥（OCT）。对于生产环境，建议开启 setHardwareProtected(true) 以启用 HSM 保护。

// 创建 RSA 密钥
KeyVaultKey rsaKey = keyClient.createRsaKey(new CreateRsaKeyOptions("my-rsa-key")
    .setKeySize(2048)
    .setHardwareProtected(true));

3. 执行密码学操作

使用 CryptographyClient 对特定密钥执行加解密或签名验证，而无需将密钥下载到本地。

CryptographyClient cryptoClient = new CryptographyClientBuilder()
    .keyIdentifier("https://<vault-name>.vault.azure.net/keys/<key-name>")
    .credential(new DefaultAzureCredentialBuilder().build())
    .buildClient();

// 加密操作
byte[] plaintext = "Hello, World!".getBytes(StandardCharsets.UTF_8);
EncryptResult encryptResult = cryptoClient.encrypt(EncryptionAlgorithm.RSA_OAEP, plaintext);

4. 维护与备份

通过设置 KeyRotationPolicy 实现自动化轮换，并使用 backupKey 将密钥备份为二进制 blob 以防止误删。

下载和安装

下载 azure-security-keyvault-keys-java 中文版 Skill ZIP

解压后将目录放入你的 AI 工具 skills 文件夹，重启工具后即可使用。具体路径参考内附的 USAGE.zh.md。

你可能还需要

暂无推荐