デプロイスロットをスワップするとすべてのユーザーがログアウトされてしまう問題

Azure App ServiceでホストされているASP.NET Coreアプリケーションでデプロイスロットを切り替えると、ログインしていたすべてのユーザーがログアウトされてしまうという問題に遭遇しました。

調べてみると、Microsoftのドキュメントに下記のような記載がありました。

アプリが Azure Apps でホストされている場合、キーは %HOME%ASP.NET_DataProtection-Keys フォルダーに保持されます。このフォルダーはネットワークストレージにバックアップされ、アプリをホストしているすべてのマシンで同期されています。

保存中のキーは保護されていません。

DataProtection-Keys フォルダーから、単一のデプロイスロットのアプリのすべてのインスタンスにキーリングが提供されます。

ステージングや運用などの別のデプロイスロットでは、キーリングが共有されません。ステージングから運用へのスワップや A/B テストの使用など、デプロイスロットをスワップすると、データ保護を使っているアプリからは、前のスロット内のキーリングを使って格納されたデータを復号化できなくなります。その結果、標準の ASP.NET Core cookie 認証を使うアプリでは、データ保護を使って cookie が保護されているため、ユーザーがログアウトされます。スロットに依存しないキーリングが必要な場合は、Azure Blob Storage、Azure Key Vault、SQL ストア、Redis キャッシュなどの外部キーリングプロバイダーを使います。

データ保護キーは、認証cookieの保護やCSRFトークン生成時のキーとして利用されるものですが、Asp.NETCoreアプリの既定の設定ではデプロイスロット間で共有されない場所に保管されるためにスロットの切り替え後に認証cookieが復号できずにログアウトされてしまうようです。

Azure Blob Storage と Azure Key Vaultを利用したデータ保護キーの構成

上記の問題は、異なるデプロイスロット間で共有できる場所にデータ保護キーを保管することで解決できるようです。

保護キーの保管先はデータベースやRedisキャッシュなども選択できますが、今回はAzure Blob Storageを利用することとします。
また、保護キー自体を保護するための暗号化キーをAzure Key Vaultで管理するようにします。

コードの修正

まずは、ソースコード側でデータ保護の構成を行います。

下記ライブラリをNuGetでインストール後、DataProtectionのミドルウェアを下記の様に構成します。

Azure.Extensions.AspNetCore.DataProtection.Blobs
Azure.Extensions.AspNetCore.DataProtection.Keys
Azure.Identity

using Microsoft.AspNetCore.DataProtection;
using Azure.Identity;
using Azure.Storage.Blobs;

public class Startup
{
    //....

    public void ConfigureServices(IServiceCollection services)
    {
        //....
        //アプリケーション設定からBlobコンテナのURLとKey Vaultのキー識別子を取得
        var blobContainerUri = configuration["DataProtectionBlobContainerUri"];
        var keyIdentifier = configuration["DataProtectionKeyIdentifier"];
        //Blobコンテナクライアントを作成
        var blobContainer = new BlobContainerClient(
                new Uri(blobContainerUri), new DefaultAzureCredential());
        blobContainer.CreateIfNotExists();
        var blobClient = blobContainer.GetBlobClient("keys.xml");
        //サービスに登録
        services
            .AddDataProtection()
            .PersistKeysToAzureBlobStorage(blobClient)
            .ProtectKeysWithAzureKeyVault(new Uri(keyIdentifier), new DefaultAzureCredential());
     }
}